Vulnerabilidade

Pesquisadores em cibersegurança revelaram uma vulnerabilidade crítica no Google Chrome, identificada como CVE-2026-0628, que poderia permitir que atacantes escalassem privilégios e acessassem arquivos locais do sistema. A falha, classificada com um CVSS de 8.8, foi atribuída a uma aplicação insuficiente de políticas no tag WebView. O problema foi corrigido pela Google em janeiro de 2026 nas versões 143.0.7499.192/.193 para Windows/Mac e 143.0.7499.192 para Linux.

A vulnerabilidade permitia que extensões maliciosas, mesmo com permissões básicas, injetassem scripts ou HTML em páginas privilegiadas, como o novo painel Gemini do Chrome, que foi introduzido em setembro de 2025. Isso poderia resultar em acesso não autorizado à câmera, microfone e arquivos locais do usuário. A pesquisa destaca um vetor de ataque emergente relacionado à integração de inteligência artificial (IA) nos navegadores, que, embora ofereça funcionalidades úteis, também pode ser explorado para ações privilegiadas indesejadas.

Uma falha de segurança recentemente divulgada e corrigida pela Microsoft, identificada como CVE-2026-21513, apresenta uma gravidade alta (CVSS 8.8) e afeta o MSHTML Framework. Segundo a Akamai, essa vulnerabilidade pode ter sido explorada pelo grupo de ameaças patrocinado pelo Estado russo, conhecido como APT28. A falha permite que atacantes não autorizados contornem mecanismos de segurança ao manipular arquivos HTML ou de atalho (LNK) enviados por e-mail ou links maliciosos. Ao abrir esses arquivos, o sistema operacional pode executar código malicioso, comprometendo a segurança do usuário. A Microsoft, em sua nota, confirmou que a vulnerabilidade foi utilizada em ataques reais antes de ser corrigida no Patch Tuesday de fevereiro de 2026. A Akamai também identificou um artefato malicioso associado à APT28, que foi detectado em uma análise do VirusTotal. A falha reside na lógica do arquivo ‘ieframe.dll’, que não valida adequadamente URLs, permitindo que entradas controladas por atacantes alcancem caminhos de código que invocam a execução de comandos fora do contexto de segurança do navegador. Essa situação destaca a necessidade de vigilância contínua e atualização de sistemas para mitigar riscos associados a vulnerabilidades conhecidas.

Nesta semana, o cenário de cibersegurança apresenta uma série de incidentes e vulnerabilidades que refletem a evolução das ameaças digitais. Um dos principais destaques é a exploração ativa de uma falha crítica no Cisco Catalyst SD-WAN, identificada como CVE-2026-20127, que permite a atacantes não autenticados obterem privilégios administrativos. Além disso, a Anthropic acusou três empresas chinesas de realizar ataques em larga escala para extrair informações de seu modelo de IA, enquanto o Google desmantelou a infraestrutura de um grupo de espionagem cibernética ligado à China, conhecido como UNC2814, que visava organizações globais. Outro ponto crítico é a exposição de chaves de API do Google Cloud, que poderiam ser utilizadas para acessar dados sensíveis. Por fim, um novo grupo de ameaças, UAT-10027, tem como alvo os setores de educação e saúde nos EUA, utilizando um backdoor chamado Dohdoor. Esses eventos ressaltam a necessidade de vigilância constante e atualização de sistemas para mitigar riscos.

Pesquisadores de segurança revelaram uma vulnerabilidade crítica, chamada “ClawJacked”, na popular plataforma de IA OpenClaw. Essa falha permite que sites maliciosos realizem ataques de força bruta silenciosos em instâncias locais do OpenClaw, possibilitando o controle total sobre a plataforma. A vulnerabilidade foi descoberta pela Oasis Security, que notificou a OpenClaw, resultando em um patch liberado na versão 2026.2.26 em 26 de fevereiro. O problema decorre do serviço de gateway do OpenClaw estar vinculado ao localhost por padrão, expondo uma interface WebSocket. Como as políticas de origem cruzada dos navegadores não bloqueiam conexões WebSocket para localhost, um site malicioso pode usar JavaScript para abrir uma conexão com o gateway local e tentar autenticação sem alertas. Apesar de o OpenClaw ter limitações de taxa para prevenir ataques de força bruta, o endereço de loopback (127.0.0.1) é isento por padrão, permitindo que tentativas de login sejam feitas a centenas por segundo. Com acesso autenticado, um atacante pode interagir diretamente com a plataforma de IA, comprometendo dados sensíveis e executando comandos arbitrários. A Oasis demonstrou a exploração da vulnerabilidade e enfatizou a necessidade urgente de atualização para a versão corrigida para evitar comprometimentos.

A OpenClaw, plataforma de segurança para agentes de inteligência artificial (IA), corrigiu uma vulnerabilidade de alta severidade, identificada como ClawJacked, que poderia permitir que sites maliciosos se conectassem a um agente de IA local e assumissem o controle. Segundo a Oasis Security, a falha reside no sistema central da OpenClaw, sem depender de plugins ou extensões. O ataque ocorre quando um desenvolvedor acessa um site controlado por um atacante, onde um JavaScript malicioso abre uma conexão WebSocket com o gateway da OpenClaw, utilizando um método de força bruta para descobrir a senha de acesso. Uma vez autenticado, o script registra-se como um dispositivo confiável, permitindo ao invasor controlar completamente o agente de IA, acessar dados de configuração e logs de aplicação. A OpenClaw lançou uma correção em menos de 24 horas após a divulgação responsável da vulnerabilidade. Além disso, a plataforma enfrenta uma crescente análise de segurança devido ao acesso que os agentes de IA têm a sistemas diversos, aumentando o potencial de danos em caso de comprometimento. Os usuários são aconselhados a aplicar atualizações imediatamente e a auditar o acesso concedido aos agentes de IA.

A Shadowserver Foundation revelou que mais de 900 instâncias do Sangoma FreePBX estão infectadas com web shells, resultado de ataques que exploraram uma vulnerabilidade de injeção de comando, identificada como CVE-2025-64328, com uma pontuação CVSS de 8.6. Essa falha de segurança, que permite a execução de comandos arbitrários por usuários com acesso ao painel de administração do FreePBX, foi descoberta em dezembro de 2025 e afeta versões do FreePBX a partir da 17.0.2.36. A vulnerabilidade foi corrigida na versão 17.0.3. Entre as instâncias comprometidas, 401 estão localizadas nos Estados Unidos e 51 no Brasil. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) incluiu essa vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) devido à sua exploração ativa. A Fortinet FortiGuard Labs também relatou que um grupo de atacantes, conhecido como INJ3CTOR3, está utilizando essa vulnerabilidade para implantar um web shell chamado EncystPHP, que permite a execução de comandos com privilégios elevados e a realização de chamadas externas através do ambiente PBX. Os usuários do FreePBX são aconselhados a atualizar suas implementações para a versão mais recente para mitigar os riscos associados a essa ameaça.

A empresa japonesa de cibersegurança Trend Micro anunciou a correção de duas vulnerabilidades críticas em sua plataforma de segurança de endpoints, Apex One, que permitem a execução remota de código (RCE) em sistemas Windows vulneráveis. A primeira falha, identificada como CVE-2025-71210, resulta de uma vulnerabilidade de travessia de caminho na console de gerenciamento do Apex One, permitindo que atacantes sem privilégios executem código malicioso em sistemas não corrigidos. A segunda vulnerabilidade, CVE-2025-71211, é semelhante, mas afeta um executável diferente. A Trend Micro recomenda que os clientes que expuserem o endereço IP da console de gerenciamento considerem restrições de origem para mitigar riscos. Embora a empresa não tenha identificado exploração ativa dessas falhas, outras vulnerabilidades do Apex One foram exploradas em ataques nos últimos anos. A Trend Micro lançou o Critical Patch Build 14136, que corrige essas falhas e outras relacionadas a escalonamento de privilégios. A U.S. Cybersecurity and Infrastructure Security Agency (CISA) monitora atualmente 10 vulnerabilidades do Apex que foram ou ainda estão sendo exploradas.

Uma vulnerabilidade crítica foi identificada no sistema operacional Junos OS Evolved, utilizado em roteadores da série PTX da Juniper Networks. Denominada CVE-2026-21902, essa falha pode permitir que um atacante não autenticado execute código remotamente com privilégios de root. A origem do problema está na atribuição incorreta de permissões no framework de ‘Detecção de Anomalias On-Box’, que deveria ser acessível apenas por processos internos através da interface de roteamento interna. Contudo, a falha permite o acesso ao framework por meio de uma porta exposta externamente. Como o serviço é executado com privilégios de root e está habilitado por padrão, um atacante que já estiver na rede pode obter controle total do dispositivo sem autenticação. A vulnerabilidade afeta versões do Junos OS Evolved anteriores a 25.4R1-S1-EVO e 25.4R2-EVO. A Juniper Networks já disponibilizou correções para as versões afetadas. Embora a empresa não tenha conhecimento de exploração maliciosa até o momento da publicação do aviso de segurança, recomenda-se restringir o acesso aos pontos vulneráveis e, se necessário, desabilitar o serviço vulnerável. Essa situação é preocupante, especialmente considerando que equipamentos da Juniper são alvos atrativos para hackers avançados, devido ao seu uso por provedores de serviços de internet e grandes empresas.

Uma nova vulnerabilidade de alta severidade foi descoberta nos sistemas Cisco Catalyst SD-WAN Controller e SD-WAN Manager, permitindo que atacantes remotos não autenticados contornem a autenticação e obtenham privilégios administrativos. A falha, identificada como CVE-2026-20127, possui uma pontuação CVSS de 10.0, indicando seu potencial crítico. A exploração bem-sucedida pode permitir que um invasor acesse configurações da rede SD-WAN, comprometendo a segurança de sistemas em diversas configurações, incluindo ambientes on-premises e na nuvem. A Cisco já lançou correções para várias versões afetadas e recomenda que os usuários auditem logs de autenticação para identificar acessos não autorizados. A Australian Cyber Security Centre (ASD-ACSC) alertou que a exploração dessa vulnerabilidade está em andamento desde 2023, com um grupo de ameaças sofisticadas, identificado como UAT-8616, utilizando-a para comprometer redes SD-WAN. A CISA também emitiu uma diretiva de emergência exigindo que agências federais apliquem as correções rapidamente, destacando a urgência da situação.

A Cisco alertou sobre uma vulnerabilidade crítica de bypass de autenticação, identificada como CVE-2026-20127, que está sendo ativamente explorada em ataques zero-day. Essa falha afeta o Cisco Catalyst SD-WAN Controller e o Cisco Catalyst SD-WAN Manager, tanto em instalações locais quanto na nuvem. A vulnerabilidade permite que atacantes remotos comprometam controladores e adicionem pares maliciosos a redes-alvo. A falha está relacionada a um mecanismo de autenticação de peering que não funciona corretamente, permitindo que um invasor envie solicitações manipuladas e obtenha acesso a contas de usuário privilegiadas. Com esse acesso, o atacante pode manipular a configuração da rede SD-WAN. A Cisco recomenda que as organizações atualizem seus sistemas imediatamente, pois não há soluções alternativas que mitiguem completamente o problema. Além disso, a CISA emitiu uma diretiva de emergência exigindo que agências federais realizem inventários e apliquem patches até 27 de fevereiro de 2026, dada a gravidade da situação. A exploração da vulnerabilidade representa uma ameaça iminente para redes federais e privadas, e as organizações devem investigar atividades maliciosas em seus sistemas expostos à internet.

Pesquisadores de cibersegurança identificaram várias vulnerabilidades no Claude Code, um assistente de codificação baseado em inteligência artificial da Anthropic, que podem levar à execução remota de código e ao roubo de credenciais da API. As falhas exploram mecanismos de configuração, como Hooks e variáveis de ambiente, permitindo a execução de comandos de shell arbitrários e a exfiltração de chaves da API da Anthropic ao clonar repositórios não confiáveis. As vulnerabilidades se dividem em três categorias principais: uma falha de injeção de código sem CVE, que permite a execução de código arbitrário sem confirmação do usuário; uma vulnerabilidade CVE-2025-59536, que executa comandos de shell automaticamente ao iniciar o Claude Code em um diretório não confiável; e uma falha CVE-2026-21852, que permite a exfiltração de dados, incluindo chaves da API, de repositórios maliciosos. A exploração bem-sucedida dessas vulnerabilidades pode comprometer a infraestrutura de IA do desenvolvedor, permitindo acesso a arquivos de projetos compartilhados e gerando custos inesperados com a API. A Anthropic já lançou correções para essas falhas, mas a situação destaca a necessidade de cautela ao trabalhar com ferramentas de IA em ambientes de desenvolvimento.

A Zyxel, fornecedora de redes de Taiwan, divulgou atualizações de segurança para corrigir uma vulnerabilidade crítica que afeta mais de uma dúzia de modelos de roteadores. Identificada como CVE-2025-13942, essa falha de injeção de comandos foi encontrada na função UPnP de dispositivos como CPE 4G LTE/5G NR, CPE DSL/Ethernet, ONTs de fibra e extensores sem fio. A Zyxel alerta que atacantes remotos não autenticados podem explorar essa vulnerabilidade para executar comandos do sistema operacional em dispositivos não corrigidos, utilizando requisições SOAP UPnP maliciosas. No entanto, a empresa ressalta que a exploração bem-sucedida é limitada, pois requer que tanto o UPnP quanto o acesso WAN estejam habilitados, sendo que este último está desativado por padrão. Além disso, a Zyxel também corrigiu duas vulnerabilidades de injeção de comandos pós-autenticação (CVE-2025-13943 e CVE-2026-1459) que permitem a execução de comandos do sistema por meio de credenciais comprometidas. A CISA dos EUA está monitorando 12 vulnerabilidades da Zyxel que estão sendo ativamente exploradas. A empresa recomenda fortemente que os usuários instalem os patches para garantir a proteção adequada.

O OpenClaw, um framework de automação impulsionado por IA, surgiu como um projeto para facilitar tarefas como gerenciamento de e-mails e agendamento. No entanto, sua arquitetura modular, que permite a instalação de plugins, expõe o sistema a riscos significativos de segurança. Pesquisadores identificaram vulnerabilidades críticas, como a CVE-2026-25253, que permite execução remota de código com um único clique, e a distribuição de skills maliciosas na marketplace ClawHub, que podem roubar credenciais e instalar malware. Embora o OpenClaw tenha gerado um aumento nas discussões sobre segurança cibernética, a análise de dados sugere que, até o momento, não houve uma exploração em massa dessas vulnerabilidades. A conversa em fóruns e canais de Telegram é dominada por pesquisas de segurança e especulações, sem evidências claras de operações criminosas em larga escala. Contudo, a combinação de automação e permissões elevadas torna o OpenClaw um alvo atrativo para ataques de cadeia de suprimentos, exigindo atenção dos profissionais de segurança. A situação atual indica um potencial de risco alto, mas em um estágio inicial de exploração.

A SolarWinds divulgou um alerta sobre quatro vulnerabilidades críticas em seu software Serv-U, uma solução popular de transferência de arquivos para empresas. As falhas, que receberam uma classificação de severidade de 9.1/10, permitem a execução de código arbitrário no sistema subjacente. As vulnerabilidades incluem uma falha de Controle de Acesso Quebrado (CVE-2025-40538) e duas falhas de confusão de tipo (CVE-2025-40540 e CVE-2025-40539), além de uma falha de Referência Direta Insegura (CVE-2025-40541). A empresa não observou nenhuma exploração dessas falhas até o momento, mas enfatiza a importância de atualizar para a versão 15.5.4 ou superior para mitigar riscos. O Serv-U é um alvo atrativo para ciberataques, como demonstrado em incidentes anteriores envolvendo soluções de transferência de arquivos. A SolarWinds se comprometeu a monitorar a situação e trabalhar em estreita colaboração com seus clientes para resolver rapidamente quaisquer problemas de segurança.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma nova vulnerabilidade, identificada como CVE-2026-25108, ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). Com uma pontuação CVSS v4 de 8.7, essa falha de injeção de comandos do sistema operacional pode permitir que um usuário autenticado execute comandos arbitrários através de requisições HTTP especialmente elaboradas. A vulnerabilidade afeta as versões 4.2.1 a 4.2.8 e 5.0.0 a 5.0.10 do FileZen, um produto de transferência de arquivos da Soliton Systems K.K. A exploração bem-sucedida dessa falha só é possível se a opção de verificação de antivírus do FileZen estiver ativada. A empresa já recebeu relatos de danos causados por essa vulnerabilidade. Para mitigar o risco, os usuários são aconselhados a atualizar para a versão 5.0.11 ou posterior e a trocar todas as senhas de usuários, uma vez que um atacante pode logar com contas reais. A CISA recomenda que as agências federais dos EUA apliquem as correções necessárias até 17 de março de 2026.

A SolarWinds lançou atualizações para corrigir quatro vulnerabilidades críticas em seu software de transferência de arquivos Serv-U, que, se exploradas, podem resultar em execução remota de código. Todas as falhas, classificadas com 9.1 no sistema de pontuação CVSS, incluem: CVE-2025-40538, uma vulnerabilidade de controle de acesso quebrado que permite a criação de um usuário administrador do sistema; CVE-2025-40539 e CVE-2025-40540, ambas relacionadas a confusão de tipos que possibilitam a execução de código nativo arbitrário; e CVE-2025-40541, uma vulnerabilidade de referência direta insegura (IDOR) que também permite a execução de código nativo como root. A SolarWinds destacou que essas vulnerabilidades exigem privilégios administrativos para serem exploradas, mas representam um risco médio em implementações do Windows, pois os serviços geralmente operam sob contas de serviço com menos privilégios por padrão. As falhas afetam a versão 15.5 do Serv-U e foram corrigidas na versão 15.5.4. Embora não haja menção de exploração ativa, vulnerabilidades anteriores foram alvo de grupos de hackers, incluindo um grupo baseado na China conhecido como Storm-0322.

Pesquisadores da Novee Security identificaram 16 vulnerabilidades de dia zero nas plataformas de PDF da Foxit e da Apryse, que podem permitir o acesso não autorizado a sistemas através da execução remota de códigos maliciosos. As falhas foram detectadas utilizando ferramentas de inteligência artificial, revelando que os hackers exploram a confiança que os usuários têm em arquivos PDF. Um único clique pode ser suficiente para ativar a armadilha, seja ao abrir um documento ou clicar em um link. Além disso, foram observados métodos de execução de scripts que roubam dados de login e mensagens enganosas que levam à execução de códigos maliciosos. Os pesquisadores alertam que essas vulnerabilidades podem dar controle total do dispositivo ao agente malicioso, muitas vezes sem que a vítima perceba. A situação é alarmante, pois o uso de leitores de PDF é comum em ambientes corporativos, aumentando o risco de compromissos de segurança em empresas. O estudo destaca a necessidade urgente de atualização e monitoramento das plataformas afetadas para evitar possíveis ataques.

Uma vulnerabilidade descoberta no GitHub Codespaces, chamada RoguePilot, permitiu que atacantes injetassem instruções maliciosas no GitHub Copilot, potencialmente assumindo o controle de repositórios. Essa falha, identificada pela Orca Security, foi corrigida pela Microsoft após uma divulgação responsável. O ataque ocorre quando um usuário abre um Codespace a partir de um problema no GitHub que contém instruções ocultas. Essas instruções são processadas automaticamente pelo Copilot, permitindo que os atacantes executem comandos maliciosos sem que o usuário perceba. A vulnerabilidade é um exemplo de injeção de prompt passiva, onde comandos maliciosos são incorporados em dados processados por modelos de linguagem. Além disso, a pesquisa revelou que técnicas de aprendizado de reforço podem ser usadas para remover características de segurança dos modelos, aumentando o risco de exploração. O uso de backdoors em sistemas de IA também foi destacado, permitindo que atacantes interceptem e manipulem dados sem o conhecimento do usuário. Essa situação levanta preocupações significativas sobre a segurança em ambientes de desenvolvimento baseados em IA, especialmente em relação à proteção de dados sensíveis.

A SolarWinds lançou atualizações de segurança para corrigir quatro vulnerabilidades críticas no software de transferência de arquivos Serv-U, que podem permitir que atacantes obtenham acesso root a servidores não corrigidos. A falha mais grave, identificada como CVE-2025-40538, permite que atacantes com altos privilégios criem um usuário administrador do sistema e executem código arbitrário como root. Além disso, foram corrigidas duas falhas de confusão de tipo e uma vulnerabilidade de Referência Direta Insegura (IDOR), todas exigindo que os atacantes já possuam privilégios elevados nos servidores-alvo. Atualmente, mais de 12.000 servidores Serv-U estão expostos na Internet, tornando-os alvos atraentes para grupos de cibercrime, que já exploraram vulnerabilidades anteriores para roubo de dados e ataques de ransomware. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) está monitorando nove falhas de segurança da SolarWinds que estão sendo ativamente exploradas. É crucial que as organizações que utilizam o Serv-U apliquem as atualizações de segurança imediatamente para mitigar riscos potenciais.

Um estudo recente revelou que vários aplicativos móveis de saúde mental, com milhões de downloads na Google Play, contêm vulnerabilidades de segurança que podem expor informações médicas sensíveis dos usuários. Pesquisadores da empresa Oversecured identificaram mais de 1.575 falhas de segurança em dez aplicativos, incluindo 54 de alta severidade. Esses aplicativos, que oferecem suporte a condições como depressão e ansiedade, afirmam que as conversas dos usuários são privadas ou criptografadas. No entanto, muitos deles não validam adequadamente as URIs fornecidas pelos usuários, permitindo que atacantes acessem dados confidenciais, como registros de terapia. Além disso, a falta de detecção de root em alguns aplicativos pode permitir que dados de saúde sejam acessados por aplicativos maliciosos em dispositivos comprometidos. Com um total de downloads superior a 14,7 milhões, a segurança desses aplicativos é uma preocupação crescente, especialmente considerando que dados de terapia podem ser vendidos por altos valores no mercado negro. A pesquisa destaca a necessidade urgente de atualizações e melhorias na segurança desses aplicativos para proteger a privacidade dos usuários.

Uma pesquisa realizada pelas Universidades de Zurique e da Svizzera Italiana revelou falhas críticas em gerenciadores de senha populares, como Bitwarden, LastPass e Dashlane. O estudo, liderado por Kenneth Paterson, demonstrou que 27 ataques bem-sucedidos foram realizados, comprometendo a segurança dos dados dos usuários. Embora esses serviços utilizem a Encriptação Zero-Knowledge, que promete que nem mesmo as empresas podem acessar os dados dos usuários, os resultados mostraram que essa proteção é falha. Os pesquisadores identificaram vulnerabilidades que permitem que hackers manipulem dados armazenados, como logins, para obter senhas desencriptadas. Além disso, métodos de segurança obsoletos ainda ativos em alguns aplicativos aumentam o risco de ataques. O 1Password se destacou como o mais seguro, utilizando uma tecnologia de Chave Secreta que mantém os dados no dispositivo do usuário. As empresas afetadas já começaram a lançar atualizações para corrigir as falhas, mas os usuários são aconselhados a atualizar seus aplicativos imediatamente para garantir a segurança de suas informações.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) identificou duas vulnerabilidades críticas no Roundcube Webmail, um cliente de e-mail amplamente utilizado, especialmente em servidores que operam com cPanel. A primeira, CVE-2025-49113, é uma falha de execução remota de código que está sendo ativamente explorada por agentes maliciosos, com mais de 84.000 instalações vulneráveis. A segunda vulnerabilidade, CVE-2025-68461, permite ataques de cross-site scripting (XSS) por atacantes remotos e não autenticados, utilizando a tag animate em documentos SVG. Ambas as falhas foram adicionadas ao catálogo de vulnerabilidades conhecidas da CISA, que exige que as agências federais dos EUA apliquem patches em suas instalações em até três semanas. O Roundcube já lançou versões atualizadas (1.6.12 e 1.5.12) para corrigir essas falhas. A CISA também monitora outras vulnerabilidades no Roundcube, que têm sido alvo de grupos de cibercrime e ameaças patrocinadas por estados, como o grupo russo Winter Vivern. A situação é crítica, e a CISA recomenda a atualização imediata das instalações afetadas.

Com o aumento do uso de Modelos de Linguagem de Grande Escala (LLMs) nas organizações, surgem novos riscos de segurança, principalmente relacionados à infraestrutura que suporta esses modelos. Os endpoints, que são interfaces de comunicação com os LLMs, frequentemente acumulam permissões excessivas e credenciais de longa duração, tornando-se alvos atrativos para cibercriminosos. A falta de monitoramento e a confiança implícita em endpoints internos contribuem para a exposição dessas interfaces, que podem ser acessadas sem a devida autenticação ou com tokens fracos. Uma vez comprometidos, esses endpoints podem permitir que atacantes realizem ações prejudiciais, como a exfiltração de dados sensíveis ou a manipulação de ferramentas internas. Para mitigar esses riscos, é crucial que as organizações adotem princípios de segurança de confiança zero, implementando acesso com privilégios mínimos e monitorando continuamente as atividades em endpoints. A gestão adequada de identidades não humanas (NHIs) também é vital, pois credenciais mal geridas podem ampliar a superfície de ataque. Portanto, a segurança em ambientes de LLMs deve ser uma prioridade para evitar consequências graves.

Nesta semana, o cenário de cibersegurança apresenta uma série de incidentes e vulnerabilidades críticas. Um dos destaques é a exploração de uma falha de segurança de gravidade máxima no Dell RecoverPoint para Máquinas Virtuais, identificada como CVE-2026-22769, que permite a execução de comandos como root e a instalação de backdoors. Além disso, dois ex-engenheiros do Google foram indiciados por roubo de segredos comerciais, transferindo informações sensíveis para o Irã. Outro ponto alarmante é a descoberta do malware PromptSpy, que utiliza inteligência artificial para garantir sua persistência em dispositivos Android, visando usuários na Argentina. Também foi identificado um novo malware chamado Keenadu, embutido no firmware de dispositivos Android, que pode coletar dados e controlar remotamente os aparelhos. Por fim, um estudo questionou as alegações de ‘zero knowledge’ de gerenciadores de senhas como Bitwarden e LastPass, revelando que, em certas circunstâncias, dados podem ser acessados por insiders maliciosos. Esses eventos ressaltam a necessidade urgente de vigilância e atualização de sistemas para mitigar riscos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu duas falhas de segurança do software de webmail Roundcube em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), devido a evidências de exploração ativa. As vulnerabilidades são: CVE-2025-49113, com uma pontuação CVSS de 9.9, que permite a execução remota de código por usuários autenticados devido à falta de validação do parâmetro _from em uma URL; e CVE-2025-68461, com pontuação CVSS de 7.2, que permite a execução de scripts entre sites via a tag animate em documentos SVG. Ambas as falhas foram corrigidas, a primeira em junho de 2025 e a segunda em dezembro do mesmo ano. A empresa de cibersegurança FearsOff, que descobriu a CVE-2025-49113, alertou que a vulnerabilidade foi rapidamente explorada e disponibilizada para venda em um curto espaço de tempo após a divulgação pública. Embora não haja informações sobre os responsáveis pela exploração, o histórico de ataques a software de email sugere que atores de ameaças de nações, como APT28, possam estar envolvidos. As agências do Federal Civilian Executive Branch (FCEB) têm até 13 de março de 2026 para remediar as vulnerabilidades identificadas, a fim de proteger suas redes contra essa ameaça ativa.

Recentemente, foi identificado que mais de um bilhão de smartphones Android, representando cerca de 42% dos dispositivos ativos, estão vulneráveis a malwares devido a falhas de segurança que não serão corrigidas. Essa situação afeta principalmente aparelhos que operam com Android 12 ou versões anteriores, que não receberão mais atualizações de segurança. A fragmentação do sistema operacional entre diferentes fabricantes dificulta a aplicação de correções em massa, tornando esses dispositivos alvos fáceis para hackers.

O hardcoding é uma prática de programação que envolve a inserção de informações sensíveis, como senhas e chaves de API, diretamente no código-fonte de um aplicativo. Essa abordagem é comparada a deixar uma chave embaixo do tapete ou escrever a senha na parede, tornando essas informações facilmente acessíveis a hackers. Com o crescimento da demanda por aplicativos, especialmente impulsionada pela inteligência artificial, desenvolvedores podem optar por soluções rápidas e inadequadas, resultando em vulnerabilidades. Um hacker pode descompactar um arquivo .apk e encontrar senhas em texto claro, permitindo acesso a servidores e dados sensíveis. Para os usuários, é crucial evitar aplicativos de desenvolvedores desconhecidos e estar atento às permissões solicitadas. A segurança deve ser uma prioridade, e a conscientização sobre práticas de programação seguras é fundamental para mitigar riscos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) alertou que hackers estão explorando ativamente a vulnerabilidade CVE-2026-1731 no produto BeyondTrust Remote Support. Essa falha de segurança afeta as versões 25.3.1 ou anteriores do Remote Support e 24.3.4 ou anteriores do Privileged Remote Access, permitindo a execução remota de código. A CISA incluiu essa vulnerabilidade no catálogo de Vulnerabilidades Conhecidas Exploitadas (KEV) em 13 de fevereiro, dando um prazo de três dias para que agências federais aplicassem o patch ou interrompessem o uso do produto. A BeyondTrust divulgou a CVE-2026-1731 em 6 de fevereiro, classificando-a como uma vulnerabilidade de execução remota de código pré-autenticação, causada por uma fraqueza de injeção de comando do sistema operacional. Explorações de prova de conceito (PoC) surgiram rapidamente, e a exploração no mundo real começou quase imediatamente. A BeyondTrust confirmou que a exploração foi detectada em 31 de janeiro, tornando a CVE-2026-1731 uma vulnerabilidade zero-day por pelo menos uma semana. Para clientes da aplicação em nuvem, o patch foi aplicado automaticamente em 2 de fevereiro. Já os clientes de instâncias auto-hospedadas precisam verificar a aplicação do patch ou instalá-lo manualmente. As versões recomendadas são 25.3.2 para Remote Support e 25.1.1 ou mais recente para Privileged Remote Access.

Uma vulnerabilidade crítica, identificada como CVE-2026-1731, está sendo ativamente explorada por agentes maliciosos em produtos da BeyondTrust, como o Remote Support (RS) e o Privileged Remote Access (PRA). Com uma pontuação CVSS de 9.9, a falha permite que atacantes executem comandos do sistema operacional no contexto do usuário do site. Segundo um relatório da Palo Alto Networks, a exploração da vulnerabilidade tem sido utilizada para uma variedade de ações maliciosas, incluindo reconhecimento de rede, instalação de backdoors e ferramentas de gerenciamento remoto, além de roubo de dados. Os setores mais afetados incluem serviços financeiros, jurídicos, tecnologia, educação superior, varejo e saúde, com alvos localizados nos EUA, França, Alemanha, Austrália e Canadá. A falha é resultado de uma falha de sanitização em um script acessível via interface WebSocket, permitindo a injeção e execução de comandos shell arbitrários. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) atualizou seu catálogo de Vulnerabilidades Conhecidas para confirmar que a falha está sendo explorada em campanhas de ransomware. A relação entre CVE-2026-1731 e outra vulnerabilidade anterior destaca um problema recorrente de validação de entrada em diferentes caminhos de execução.

Pesquisadores da ETH Zurich e da USI University identificaram vulnerabilidades em quatro gerenciadores de senhas populares: Bitwarden, LastPass, Dashlane e 1Password. Essas falhas, que afetam cerca de 40 milhões de usuários, permitem que hackers acessem e alterem senhas de forma não autorizada. A análise envolveu 27 cenários de ataques, revelando problemas de segurança que vão desde violações de integridade até o comprometimento total dos cofres dos usuários. Os especialistas destacaram que a criptografia utilizada por esses serviços apresenta falhas, como chaves públicas não autenticadas e uma separação inadequada das chaves guardadas, criando uma falsa sensação de segurança entre os usuários. Os provedores foram notificados sobre as vulnerabilidades e recomendações foram feitas para melhorar a segurança, incluindo a combinação de métodos de autenticação e criptografia. A situação é alarmante, pois muitos usuários confiam nesses gerenciadores para proteger suas credenciais mais sensíveis.

Recentemente, o programador Don Ho lançou a versão 8.9.2 do Notepad++, que corrige uma falha crítica de segurança que permitia a hackers invadir o mecanismo de atualização do editor de códigos e inserir malwares. Essa vulnerabilidade, identificada como CVE-2026-25927, possibilitava a execução arbitrária de códigos no contexto do aplicativo, afetando usuários em diversas regiões, incluindo América do Sul, Austrália e Europa. A nova versão implementa medidas de segurança robustas, como a verificação da assinatura do instalador e a remoção de componentes inseguros, como o libcurl.dll, que poderia ser explorado para carregamento lateral de DLLs. Pesquisadores de segurança, como os da Rapid7 e Kaspersky, relataram que a backdoor chamada Chrysalis foi utilizada por um grupo hacker chinês, o Lotus Panda, desde junho de 2025. Diante disso, é altamente recomendável que os usuários atualizem imediatamente para a versão 8.9.2 e verifiquem a origem do instalador para garantir a segurança de seus sistemas.

O artigo de Ivan Milenkovic discute a crescente tensão entre velocidade e segurança no desenvolvimento de software. Apesar da ideia de ‘shift left’, que sugere que os desenvolvedores assumam mais responsabilidades de segurança, a realidade é que a pressão por entregas rápidas tem levado a práticas arriscadas. A análise de mais de 34.000 imagens de contêineres revelou que cerca de 7,3% eram maliciosas, com 70% delas contendo software de mineração de criptomoedas. Além disso, 42% das imagens continham segredos que poderiam comprometer recursos valiosos, como chaves de acesso AWS. O autor critica a visão de que os desenvolvedores são descuidados, argumentando que eles estão sobrecarregados e que as ferramentas de segurança muitas vezes são vistas como obstáculos à produtividade. Para mitigar esses riscos, Milenkovic sugere que as equipes de infraestrutura implementem controles automáticos que garantam a segurança sem sobrecarregar os desenvolvedores, criando um ‘caminho dourado’ que facilita a conformidade com as práticas de segurança. Essa abordagem visa integrar a segurança ao fluxo de trabalho de desenvolvimento, permitindo que as empresas mantenham a agilidade sem sacrificar a proteção.

A Microsoft divulgou uma vulnerabilidade crítica no Windows Admin Center, identificada como CVE-2026-26119, que permite a um atacante autorizado elevar seus privilégios em uma rede. Com uma pontuação CVSS de 8.8, essa falha foi descoberta pelo pesquisador Andrea Pierini e corrigida na versão 2511 do software, lançada em dezembro de 2025. A vulnerabilidade se origina de uma autenticação inadequada, que possibilita que um usuário padrão obtenha os direitos do usuário que está executando a aplicação afetada. Embora a Microsoft não tenha relatado a exploração ativa dessa falha, ela foi classificada como ‘Exploitation More Likely’, indicando um risco elevado. Pierini alertou que, sob certas condições, essa vulnerabilidade poderia levar a uma comprometimento total do domínio a partir de um usuário padrão. Dada a importância do Windows Admin Center em ambientes corporativos, a correção imediata é essencial para evitar possíveis ataques e garantir a segurança da rede.

Um alerta recente da Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) revelou que várias câmeras de segurança da Honeywell apresentam uma falha crítica de segurança, classificada com um escore de 9.8/10. Essa vulnerabilidade, identificada como CVE-2026-1670, permite que atacantes não autenticados acessem feeds de vídeo e até assumam contas de usuários. A falha é caracterizada pela ‘falta de autenticação para funções críticas’, o que significa que um invasor pode alterar o endereço de e-mail de recuperação e comprometer ainda mais a rede alvo. A lista de modelos afetados inclui câmeras utilizadas em ambientes empresariais de médio porte, que são comuns em operações industriais e de infraestrutura crítica. A CISA recomenda que os proprietários das câmeras apliquem patches de segurança imediatamente e adotem medidas adicionais, como isolar redes de controle e utilizar VPNs seguras para acesso remoto. Embora a falha ainda não tenha sido explorada ativamente, a divulgação pode incentivar cibercriminosos a buscar sistemas vulneráveis. Portanto, a situação exige atenção urgente dos responsáveis pela segurança cibernética.

Uma vulnerabilidade crítica nos telefones VoIP da série GXP1600 da Grandstream permite que um atacante remoto e não autenticado obtenha privilégios de root e escute comunicações de forma silenciosa. Essa falha, identificada como CVE-2026-2329, possui um escore de severidade de 9.3 e afeta seis modelos da série que utilizam versões de firmware anteriores à 1.0.7.81. Mesmo que o dispositivo vulnerável não esteja acessível diretamente pela internet, um invasor pode explorá-lo a partir de outro host na mesma rede. A falha reside no serviço API baseado na web do dispositivo, que aceita parâmetros sem autenticação, permitindo que um atacante cause um estouro de pilha e ganhe controle sobre os registros da CPU. A exploração possibilita a execução de comandos arbitrários, extração de credenciais de usuários locais e reconfiguração do dispositivo para usar um proxy SIP malicioso, permitindo a escuta de chamadas. A Grandstream lançou uma atualização de firmware em 3 de fevereiro para corrigir a vulnerabilidade. Usuários de produtos vulneráveis são fortemente aconselhados a aplicar as atualizações de segurança disponíveis o mais rápido possível.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências governamentais corrijam uma vulnerabilidade crítica da Dell em seus sistemas em um prazo de três dias. A falha, identificada como CVE-2026-22769, está sendo explorada ativamente por um grupo de hackers suspeito de ser ligado à China, conhecido como UNC6201. Essa vulnerabilidade, que envolve credenciais hardcoded no Dell RecoverPoint, uma solução para backup e recuperação de máquinas virtuais VMware, permite que os atacantes acessem redes de vítimas e implantem malwares, incluindo uma nova backdoor chamada Grimbolt. A CISA incluiu essa falha em seu catálogo de Vulnerabilidades Conhecidas e Explotadas (KEV), destacando a urgência de mitigações. Além disso, a CISA também alertou sobre outra vulnerabilidade crítica em instâncias do BeyondTrust Remote Support, exigindo ações rápidas para proteger as redes. A situação ressalta a importância de uma resposta ágil a vulnerabilidades críticas, especialmente em um cenário onde grupos de hackers estão cada vez mais sofisticados e ativos.

Especialistas da empresa de cibersegurança Irregular emitiram um alerta sobre as vulnerabilidades das senhas geradas por ferramentas de inteligência artificial, como ChatGPT, Gemini e Claude. A análise revelou que, embora essas senhas pareçam complexas e seguras, na realidade, elas podem ser facilmente decifradas por cibercriminosos. Durante os testes, foram solicitadas senhas de 16 caracteres que incluíssem letras maiúsculas, minúsculas, números e caracteres especiais. Apesar de muitos verificadores online indicarem que essas senhas eram robustas, os pesquisadores descobriram que as senhas apresentavam padrões comuns, tornando-as previsíveis. Por exemplo, ao solicitar 50 senhas ao Claude, apenas 30 eram únicas, e muitas começavam e terminavam com os mesmos caracteres. O Gemini 3 Pro se destacou ao gerar senhas menos padronizadas, mas ainda assim alertou que essas senhas não deveriam ser usadas em contas sensíveis. O estudo destaca a necessidade de cautela ao utilizar senhas geradas por IA, especialmente em contas que lidam com informações críticas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade crítica em diversos produtos de CCTV da Honeywell, que pode permitir acesso não autorizado a feeds de câmeras e sequestro de contas. Identificada pelo pesquisador Souvik Kanda e classificada como CVE-2026-1670, a falha é categorizada como ‘falta de autenticação para função crítica’ e recebeu uma pontuação de severidade crítica de 9.8. A vulnerabilidade permite que um atacante não autenticado altere o endereço de e-mail de recuperação associado a uma conta de dispositivo, possibilitando o sequestro da conta e o acesso não autorizado às imagens das câmeras. A CISA recomenda que os usuários minimizem a exposição de dispositivos de controle em suas redes, utilizando firewalls e métodos seguros de acesso remoto, como VPNs atualizadas. Embora a Honeywell ainda não tenha publicado um aviso sobre a CVE-2026-1670, os usuários são aconselhados a entrar em contato com a equipe de suporte da empresa para orientações sobre correções. Até o momento, não há relatos conhecidos de exploração pública dessa vulnerabilidade.

Pesquisadores de cibersegurança revelaram uma falha crítica nos telefones VoIP da série GXP1600 da Grandstream, identificada como CVE-2026-2329, com uma pontuação CVSS de 9.3. Essa vulnerabilidade permite que um atacante remoto execute código malicioso com privilégios de root, explorando um buffer overflow baseado em pilha. O problema está na API web do dispositivo, acessível sem autenticação em configurações padrão. Um parâmetro de ‘request’ malicioso pode causar um estouro de buffer, permitindo a execução remota de código e a possibilidade de reconfigurar o dispositivo para usar um proxy SIP malicioso, comprometendo a privacidade das chamadas VoIP. Modelos afetados incluem GXP1610, GXP1615, GXP1620, GXP1625, GXP1628 e GXP1630. A vulnerabilidade foi corrigida em uma atualização de firmware lançada no mês passado. A Rapid7 demonstrou que a exploração pode levar à extração de credenciais armazenadas no dispositivo comprometido. A situação é preocupante para organizações que utilizam esses dispositivos em ambientes expostos, onde a segurança pode ser facilmente comprometida.

Pesquisadores da Flare monitoraram canais subterrâneos do Telegram e fóruns de cibercrime, observando que atores de ameaças compartilharam rapidamente exploits e credenciais de administrador roubadas relacionadas a vulnerabilidades do SmarterMail, como CVE-2026-24423 e CVE-2026-23760. Essas falhas críticas permitem execução remota de código e bypass de autenticação em servidores de e-mail expostos. A exploração dessas vulnerabilidades já foi confirmada em ataques reais, incluindo campanhas de ransomware, evidenciando que os atacantes visam cada vez mais a infraestrutura de e-mail como ponto de acesso inicial às redes corporativas. Com um CVSS de 9.3, a CVE-2026-24423 é particularmente alarmante, pois não requer interação do usuário, facilitando a automação de ataques em larga escala. O SmarterTools, fabricante do SmarterMail, também foi comprometido por uma falha em seu próprio produto, demonstrando a gravidade da situação. A CISA confirmou a exploração ativa dessas vulnerabilidades em campanhas de ransomware, destacando a necessidade urgente de ações corretivas por parte das organizações.

Uma vulnerabilidade de segurança de severidade máxima no Dell RecoverPoint for Virtual Machines, identificada como CVE-2026-22769, está sendo explorada como um zero-day por um grupo de ameaças suspeito de estar ligado à China, denominado UNC6201. Essa falha, que afeta versões anteriores à 6.0.3.1 HF1, envolve credenciais hard-coded que permitem a um atacante remoto não autenticado acessar o sistema operacional subjacente e obter persistência em nível root. A Dell recomenda que o RecoverPoint seja utilizado em redes internas confiáveis e controladas, uma vez que não é adequado para redes não confiáveis ou públicas. O grupo UNC6201 tem como alvo organizações na América do Norte e utiliza um backdoor chamado GRIMBOLT, que é mais difícil de detectar. Além disso, a atividade do grupo está relacionada a outras campanhas de espionagem, destacando a importância de monitorar e proteger sistemas que não suportam soluções tradicionais de detecção e resposta a endpoints (EDR).

Pesquisadores de cibersegurança revelaram múltiplas vulnerabilidades em quatro extensões populares do Microsoft Visual Studio Code (VS Code), que, se exploradas, podem permitir que atacantes roubem arquivos locais e executem códigos remotamente. As extensões afetadas, que somam mais de 125 milhões de instalações, incluem Live Server, Code Runner, Markdown Preview Enhanced e Microsoft Live Preview. As vulnerabilidades identificadas são: CVE-2025-65717, que permite a exfiltração de arquivos locais através de um site malicioso; CVE-2025-65716, que possibilita a execução de JavaScript arbitrário via arquivos markdown; e CVE-2025-65715, que permite a execução de código ao manipular o arquivo ‘settings.json’. A vulnerabilidade no Microsoft Live Preview foi corrigida silenciosamente pela Microsoft. Para mitigar os riscos, recomenda-se desabilitar extensões não essenciais, evitar configurações não confiáveis e manter um firewall ativo. A pesquisa destaca que uma única extensão maliciosa pode comprometer toda uma organização, tornando a segurança das extensões uma prioridade crítica para desenvolvedores e empresas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu quatro novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando a exploração ativa dessas falhas. Entre elas, a CVE-2026-2441, uma vulnerabilidade de uso após a liberação no Google Chrome, com uma pontuação CVSS de 8.8, que pode permitir que atacantes remotos explorem a corrupção de heap através de uma página HTML manipulada. Outra vulnerabilidade, a CVE-2024-7694, afeta o TeamT5 ThreatSonar Anti-Ransomware, permitindo o upload de arquivos maliciosos. A CVE-2020-7796, com uma pontuação CVSS de 9.8, é uma falha de falsificação de solicitação do lado do servidor (SSRF) no Zimbra Collaboration Suite, que pode dar acesso não autorizado a informações sensíveis. Por fim, a CVE-2008-0015, uma vulnerabilidade de estouro de buffer no controle ActiveX do Windows, também foi adicionada. A CISA recomenda que as agências federais apliquem correções até 10 de março de 2026 para garantir proteção adequada.

O Notepad++ lançou uma atualização de segurança, versão 8.9.2, para corrigir vulnerabilidades exploradas por um grupo de ameaças avançadas da China. O ataque permitiu que os invasores sequestrassem o mecanismo de atualização do software, entregando malware a alvos específicos. A nova versão implementa um design de ‘dupla segurança’, que inclui a verificação do instalador assinado baixado do GitHub e a verificação do XML assinado retornado pelo servidor de atualizações. Além disso, foram feitas alterações significativas no componente de atualização automática, WinGUp, como a remoção de riscos de side-loading de DLLs e a restrição da execução de plugins apenas a programas assinados com o mesmo certificado. A atualização também corrige uma vulnerabilidade crítica (CVE-2026-25926) que poderia permitir a execução de código arbitrário. O incidente foi detectado após um comprometimento no provedor de hospedagem, que redirecionou usuários para servidores maliciosos desde junho de 2025. Usuários do Notepad++ são aconselhados a atualizar para a versão mais recente e garantir que os instaladores sejam baixados do domínio oficial.

O Notepad++ lançou a versão 8.9.2, que introduz um novo mecanismo de atualização denominado “double-lock” para mitigar vulnerabilidades de segurança que resultaram em compromissos na cadeia de suprimentos. O sistema combina a verificação do instalador assinado do GitHub com a validação de um arquivo XML assinado digitalmente do domínio notepad-plus-plus.org. Essa abordagem visa criar um processo de atualização mais robusto e seguro. Além disso, foram implementadas mudanças como a remoção do libcurl.dll para evitar riscos de side-loading e a restrição da execução de plugins apenas a programas assinados com o mesmo certificado. O Notepad++ também trocou de provedor de hospedagem e corrigiu falhas exploradas em ataques anteriores, que foram atribuídos a um grupo de ameaças ligado à China. Os usuários são aconselhados a atualizar para a nova versão e garantir que os instaladores sejam baixados do domínio oficial.

Um grupo de hackers suspeito de ser apoiado pelo Estado chinês, conhecido como UNC6201, está explorando uma vulnerabilidade crítica na solução Dell RecoverPoint para Máquinas Virtuais, que é amplamente utilizada para backup e recuperação de máquinas virtuais VMware. A vulnerabilidade, identificada como CVE-2026-22769, envolve credenciais hardcoded que permitem a um atacante remoto não autenticado obter acesso não autorizado ao sistema operacional subjacente. A Dell recomenda que seus clientes atualizem ou apliquem remediações imediatamente. Após comprometer a rede de uma vítima, o grupo UNC6201 implantou diversos malwares, incluindo um novo backdoor chamado Grimbolt, que é mais rápido e mais difícil de analisar do que seu antecessor, Brickstorm. Além disso, os atacantes utilizaram técnicas inovadoras, como a criação de interfaces de rede ocultas, conhecidas como Ghost NICs, para se moverem furtivamente pela infraestrutura virtualizada das vítimas. A pesquisa também sugere que há sobreposições entre UNC6201 e outro grupo de ameaças chinês, UNC5221, que tem um histórico de exploração de vulnerabilidades zero-day. A Dell aconselha seus clientes a seguirem as orientações de remediação para bloquear os ataques em andamento.

Pesquisadores da Ox Security identificaram vulnerabilidades de alta a crítica em extensões populares do Visual Studio Code (VSCode), que foram baixadas mais de 128 milhões de vezes. As falhas afetam as extensões Live Server (CVE-2025-65715), Code Runner (CVE-2025-65716), Markdown Preview Enhanced (CVE-2025-65717) e Microsoft Live Preview. Essas vulnerabilidades podem ser exploradas para roubar arquivos locais e executar código remotamente. O CVE-2025-65717, por exemplo, permite que um atacante roube arquivos locais ao direcionar a vítima a uma página maliciosa. Já o CVE-2025-65715 possibilita a execução remota de código ao manipular o arquivo de configuração da extensão. Os pesquisadores tentaram alertar os mantenedores das extensões desde junho de 2025, mas não obtiveram resposta. A Ox Security recomenda que os desenvolvedores evitem executar servidores localhost desnecessários e que removam extensões não confiáveis, além de monitorar alterações inesperadas nas configurações. Essas falhas representam um risco significativo para ambientes corporativos, podendo levar a movimentos laterais na rede e exfiltração de dados sensíveis.

Um novo estudo revelou que gerenciadores de senhas baseados em nuvem, como Bitwarden, Dashlane e LastPass, são vulneráveis a ataques de recuperação de senhas sob certas condições. Os pesquisadores da ETH Zurich e da Università della Svizzera italiana identificaram 12 ataques distintos contra o Bitwarden, 7 contra o LastPass e 6 contra o Dashlane, que variam de violações de integridade a compromissos totais de cofres organizacionais. Os ataques exploram falhas no mecanismo de recuperação de contas, criptografia de nível de item, recursos de compartilhamento e compatibilidade com códigos legados. Embora os fornecedores tenham implementado contramedidas, os pesquisadores apontam que várias concepções errôneas criptográficas e padrões de design inadequados contribuíram para essas vulnerabilidades. O estudo também destaca que o 1Password, embora vulnerável, considera as falhas como limitações arquitetônicas conhecidas. Apesar da gravidade das descobertas, não há evidências de que essas vulnerabilidades tenham sido exploradas ativamente. As empresas estão trabalhando para corrigir as falhas identificadas e fortalecer suas arquiteturas de segurança.

O Google lançou um patch para uma vulnerabilidade crítica no navegador Chrome, identificada como CVE-2026-2441, que permite a execução de código arbitrário através de páginas HTML manipuladas. Essa falha, classificada com um índice de severidade de 8.3 em 10, foi ativamente explorada por atacantes antes da correção. O problema está relacionado a um erro de ‘uso após liberação’ em CSS, que afeta versões do Chrome anteriores à 145.0.7632.75 para Windows e Mac, e 144.0.7559.75 para Linux. O Google recomenda que todos os usuários atualizem imediatamente seus navegadores, especialmente aqueles que desativaram as atualizações automáticas. A empresa optou por não divulgar detalhes sobre as vítimas ou os atacantes para evitar que outros exploradores se aproveitem da situação até que a maioria dos usuários esteja protegida. Esta é a primeira vulnerabilidade zero-day do Chrome em 2026, e o Google já havia corrigido oito vulnerabilidades semelhantes no ano anterior, muitas das quais foram exploradas por atores patrocinados por estados. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) ainda não incluiu essa vulnerabilidade em seu catálogo de falhas conhecidas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências federais protejam suas instâncias do BeyondTrust Remote Support contra uma vulnerabilidade crítica, identificada como CVE-2026-1731, em um prazo de três dias. Essa falha de execução remota de código, resultante de uma injeção de comando do sistema operacional, afeta versões anteriores ao Remote Support 25.3.1 e Privileged Remote Access 24.3.4. Embora a BeyondTrust tenha corrigido suas instâncias SaaS em 2 de fevereiro de 2026, clientes que utilizam versões on-premise precisam aplicar os patches manualmente. A exploração bem-sucedida dessa vulnerabilidade permite que atacantes não autenticados executem comandos do sistema operacional, potencialmente comprometendo sistemas, acessando dados de forma não autorizada e causando interrupções nos serviços. A CISA incluiu a vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas e Explotadas (KEV) e alertou que dispositivos não corrigidos devem ser considerados comprometidos. Este incidente destaca a necessidade urgente de ações corretivas por parte de administradores de sistemas, especialmente em um contexto onde falhas anteriores da BeyondTrust já foram exploradas por grupos de ciberespionagem, como o Silk Typhoon, vinculado ao governo chinês.