Pesquisadores de cibersegurança identificaram que diversos sites ainda estão distribuindo uma família de malware chamada Weedhack, disfarçada como clientes do jogo Minecraft. A McAfee Labs relatou ter bloqueado mais de 6.300 tentativas de acesso a sites maliciosos, que imitam projetos legítimos, utilizando técnicas de SEO poisoning para redirecionar usuários para domínios falsos. Entre os sites fraudulentos, um foi criado com um construtor de sites alimentado por inteligência artificial, facilitando a criação de páginas convincentes. O Weedhack, documentado pela primeira vez em junho de 2026, utiliza uma sequência de múltiplas etapas para implantar cargas úteis JAR que coletam informações do sistema e podem roubar dados sensíveis. A pesquisa revelou que quase 50% dos URLs maliciosos eram links do Discord, seguidos por MediaFire e GitHub. A maioria dos sites falsos aparece no topo dos resultados de busca, enganando usuários despreparados. Para mitigar essa ameaça, recomenda-se manter dispositivos atualizados, utilizar fontes confiáveis e ter cautela ao instalar mods ou cheats que solicitem desativar proteções de segurança.

O Departamento de Justiça dos EUA anunciou um acordo de US$ 400 milhões com o TikTok e sua empresa-mãe, ByteDance, devido a alegações de violação da Lei de Proteção à Privacidade Online das Crianças (COPPA). O processo, iniciado em 2024, apontou que o TikTok permitiu que crianças menores de 13 anos criassem contas regulares, coletando e retendo informações pessoais sem consentimento dos pais. Em 2019, a plataforma Musical.ly, predecessora do TikTok, já havia concordado em pagar US$ 5,7 milhões por acusações semelhantes. Apesar do compromisso de conformidade assumido na época, o TikTok foi acusado de não excluir contas e dados quando solicitado pelos pais e de não ter procedimentos adequados para remover contas de menores. O acordo atual, um dos maiores já feitos em casos de COPPA, inclui um pagamento imediato de US$ 300 milhões e mais US$ 100 milhões, caso um decreto anterior relacionado à Musical.ly seja anulado. O Departamento de Justiça reconheceu que o TikTok implementou mudanças significativas em suas práticas de privacidade e controle de idade desde 2024.

Hackers estão explorando duas vulnerabilidades críticas de bypass de autenticação no plugin miniOrange SAML 2.0 Single Sign On para WordPress, que permitem forjar respostas SAML e logar como administradores. O plugin transforma sites WordPress em provedores de serviços SAML, permitindo que usuários façam login através de plataformas de identidade corporativa como Microsoft Entra ID e Okta. As vulnerabilidades, identificadas como CVE-2026-61979 e CVE-2026-15981, podem ser combinadas para contornar a autenticação. A primeira permite que um atacante escolha o algoritmo de assinatura, enquanto a segunda faz com que erros de verificação do OpenSSL sejam tratados como válidos. Embora as falhas tenham sido corrigidas em julho, a divulgação limitada deixou versões pagas sem alerta, aumentando o risco de exploração. A empresa Patchstack reportou tentativas de exploração em várias regiões, e um exploit de prova de conceito está disponível publicamente. A falta de avisos de atualização para versões pagas pode permitir que atacantes obtenham credenciais de administrador, com apenas 37% das ações sendo bloqueadas após o acesso inicial. É crucial que os proprietários de sites atualizem manualmente para versões corrigidas.

Uma vulnerabilidade não corrigida nos roteadores residenciais Calix GS7 XGS (GS5239XG), utilizados por diversos provedores de internet nos EUA, permite que atacantes remotos e não autenticados criem regras de redirecionamento de portas, expondo dispositivos da rede local à internet pública. A falha, identificada como CVE-2026-75501, resulta da falta de autenticação em dispositivos que operam com o firmware EXOS/6.6.47. O pesquisador de segurança Brian Khan Quintana descobriu a vulnerabilidade e, após tentativas frustradas de notificar o fornecedor, reportou o problema ao Carnegie Mellon CERT Coordination Center, que coordenou a divulgação pública. O modelo afetado, GS5239XG, é um dispositivo de gateway premium que combina capacidades de Wi-Fi 7 com um terminal de fibra integrada. A vulnerabilidade permite que atacantes enviem requisições SOAP não autenticadas para adicionar, deletar ou enumerar mapeamentos de portas, comprometendo a segurança de câmeras internas, dispositivos de armazenamento em rede (NAS) e outros aparelhos IoT. Como não há correção disponível, recomenda-se que os usuários desativem o UPnP através da interface administrativa do roteador. Caso a configuração esteja bloqueada, é aconselhável contatar o provedor de internet para solicitar a desativação.

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA emitiu uma ordem para que agências governamentais do país corrijam uma vulnerabilidade ativamente explorada no Zimbra Collaboration Suite (ZCS) em um prazo de três dias. A falha de segurança, identificada como CVE-2026-73570, foi corrigida na versão 10.1.20, lançada em 20 de julho. A exploração bem-sucedida dessa vulnerabilidade permite que atacantes não autenticados executem código remotamente, aproveitando uma fraqueza de injeção de comandos no componente de monitoramento SNMP, quando as notificações SNMP estão habilitadas no sistema alvo. A CISA confirmou o alerta do CERT Polska, que havia identificado a vulnerabilidade como alvo de ataques na semana anterior. O Shadowserver, um grupo de monitoramento de segurança, reportou mais de 12.000 servidores Zimbra expostos na internet e 270 instâncias comprometidas. A CISA recomendou que as equipes de segurança verifiquem logs em busca de atividades suspeitas, como reinicializações inesperadas do serviço Zimbra. O ZCS é amplamente utilizado por organizações e agências governamentais em todo o mundo, tornando a correção dessa vulnerabilidade uma prioridade crítica para evitar possíveis roubos de dados sensíveis.

A Microsoft confirmou que as atualizações do .NET Framework lançadas em agosto de 2026 estão causando falhas na impressão e na exportação de PDFs em algumas aplicações. O problema afeta especificamente aplicativos que utilizam o Windows Presentation Foundation (WPF), um subsistema gráfico de código aberto para a construção de aplicações desktop no Windows. Após a instalação da atualização cumulativa do .NET Framework, alguns aplicativos WPF podem falhar com uma exceção System.IO.FileFormatException ao tentar imprimir ou gerar conteúdo PDF/XPS usando determinadas fontes, como Calibri. As plataformas impactadas incluem versões do Windows 10, Windows 11 e Windows Server, de 2012 a 2025. A Microsoft está investigando a questão e, enquanto não disponibiliza uma solução permanente, forneceu uma correção temporária que envolve a habilitação de um AppContext switch no arquivo de configuração da aplicação. No entanto, essa solução temporária desabilita proteções introduzidas pela atualização, aumentando a exposição a possíveis ataques. A empresa recomenda que essa medida seja utilizada apenas como um paliativo. Este incidente é semelhante a um problema anterior em 2021, que causou falhas em aplicativos WPF e no Visual Studio após atualizações cumulativas do Windows 10.

Em julho, a plataforma de apoio a startups da Coreia do Sul, Modu-ui Changup, sofreu uma violação de dados que expôs informações pessoais de cerca de 5.000 candidatos. O incidente foi causado pela exposição de uma chave de criptografia através de uma API, revelando e-mails, comentários de avaliação e resumos de ideias de startups. Apesar de os dados estarem criptografados, a falha no gerenciamento das chaves permitiu que um agente externo acessasse essas informações. A investigação, conduzida pelo Ministério de Pequenas e Médias Empresas e Startups, revelou que a chave estava embutida na API, facilitando a coleta de dados por meio de técnicas como web crawling. O caso destaca os riscos de armazenar chaves de criptografia de forma inadequada e a necessidade de um gerenciamento seguro dessas chaves. A proteção de dados criptografados depende diretamente da segurança do gerenciamento de chaves, e a falta de medidas adequadas pode comprometer a conformidade regulatória, como a LGPD no Brasil. As autoridades continuam a investigar o incidente, que levanta preocupações sobre a segurança de plataformas digitais e a proteção de dados sensíveis em um cenário cada vez mais digitalizado.

A Microsoft anunciou uma nova política de proteção para reuniões no Teams, que permitirá aos administradores bloquear automaticamente todos os bots externos identificados de ingressar nas reuniões. Essa funcionalidade complementa uma política anterior introduzida em junho, que já oferecia proteção mais inteligente contra bots, exigindo a aprovação do organizador para a entrada de bots detectados na sala de espera. Com a nova atualização, as organizações poderão fortalecer a segurança das reuniões, configurando políticas que bloqueiam automaticamente bots externos, sem a necessidade de confirmação explícita do organizador. Essa mudança visa reduzir riscos organizacionais, especialmente em um cenário onde ataques que abusam do Teams para acesso e movimentação lateral em redes corporativas estão em ascensão. A nova política estará disponível no centro de administração do Teams e será desativada por padrão, exigindo ativação e avaliação por parte dos administradores antes da implementação. Além disso, a Microsoft planeja adicionar controles adicionais para gerenciar bots, incluindo listas de permissão e relatórios administrativos sobre a detecção de bots. Essa atualização é relevante para empresas que utilizam o Teams, especialmente considerando o aumento de ataques cibernéticos que visam explorar vulnerabilidades em plataformas de colaboração.

A empresa de cibersegurança ReliaQuest confirmou que um de seus funcionários foi alvo de um ataque de engenharia social, onde hackers se passaram por membros da equipe de segurança. Os atacantes tentaram enganar os colaboradores para que acessassem uma página falsa de login único (SSO) da ReliaQuest. A equipe de pesquisa de ameaças da empresa havia alertado sobre uma campanha do grupo de extorsão ShinyHunters, que registrou domínios .claims para se passar por equipes de suporte técnico. Um dos funcionários caiu na armadilha, inserindo suas credenciais na página falsa e aprovando uma notificação de autenticação multifator (MFA), o que deu ao atacante acesso temporário e somente de visualização ao painel de identidade da ReliaQuest. Apesar disso, controles de segurança impediram acessos subsequentes a aplicativos. A empresa tomou medidas imediatas, encerrando as sessões do atacante e revogando a senha exposta. A investigação não encontrou evidências de acesso a outros sistemas ou dados. O grupo ShinyHunters, em uma postagem em seu portal de extorsão, reivindicou o ataque, mas afirmou que o acesso foi limitado e não comprometeu dados de clientes ou sistemas da ReliaQuest.

Pesquisadores de cibersegurança identificaram uma campanha de espionagem cibernética, chamada Operação QUICSILVER, que visa o setor governamental e de tecnologia da informação em Myanmar. O ataque, atribuído a um ator de ameaça vinculado à China, utiliza convites falsos para cerimônias de formatura como isca para entregar um backdoor chamado QUICAgent. A operação foi observada pela primeira vez em abril de 2026, quando um arquivo malicioso disfarçado de PDF foi entregue junto a um calendário público de feriados belgas e birmaneses. O arquivo malicioso, uma vez aberto, ativa um arquivo de atalho que executa um binário legítimo do Windows, abusando de suas funcionalidades para executar comandos armazenados localmente. O QUICAgent, desenvolvido em Golang, utiliza técnicas de evasão de sandbox e se comunica com um servidor de comando e controle (C2) via QUIC sobre UDP. A persistência do malware é garantida por meio da criação de um arquivo de atalho na pasta de inicialização do Windows do usuário. A campanha destaca a complexidade e a sofisticação dos ataques cibernéticos atuais, especialmente em regiões vulneráveis como Myanmar.

A Red Hat e o projeto Keycloak divulgaram patches para corrigir uma falha de segurança crítica no servidor de gerenciamento de identidade e acesso de código aberto. A vulnerabilidade, identificada como CVE-2026-18963, recebeu uma pontuação de 9.1 no sistema CVSS e é classificada como um mecanismo fraco de recuperação de senha. Essa falha permite que um atacante remoto não autenticado force a redefinição de senha de qualquer conta de usuário, incluindo contas administrativas, sem interação do usuário. A Red Hat recomenda que os usuários atualizem para a versão 26.7.2 do Keycloak, lançada em 19 de agosto de 2026, ou apliquem as atualizações correspondentes para as versões 26.4.15 e 26.6.6 do Red Hat build. Embora não haja evidências de exploração ativa da falha até o momento, a empresa alertou que a causa raiz está na validação inadequada do estado dentro do fluxo de autenticação de redefinição de credenciais. Para aqueles que não podem atualizar imediatamente, a Red Hat sugere desativar a funcionalidade de ‘Esqueci minha senha’ em todos os reinos. A falha é uma preocupação significativa para a segurança, especialmente em ambientes onde o Keycloak é amplamente utilizado.

O uso de ferramentas de codificação com inteligência artificial (IA) tem trazido benefícios significativos para o desenvolvimento de software, como aumento da velocidade e redução do tempo em tarefas rotineiras. No entanto, essa agilidade pode gerar um problema sério para as equipes de segurança: a introdução rápida de pacotes de código aberto, que aumenta o número de dependências e, consequentemente, as vulnerabilidades a serem avaliadas. Um webinar recente da ActiveState, que analisou dados de 300 líderes empresariais, destaca que a verdadeira questão não é a codificação em si, mas a velocidade com que novos componentes são adicionados ao ambiente de desenvolvimento. Isso resulta em uma dívida de remediação, onde o trabalho de segurança se acumula mais rapidamente do que a equipe consegue resolver. O webinar também oferece comparações entre programas de segurança de diferentes empresas, ajudando a identificar onde as equipes estão lutando e como isso pode impactar a segurança e a produtividade. A discussão é prática e visa preparar as organizações para os desafios que surgem com a escalabilidade do código gerado por IA, enfatizando a necessidade de ajustes nos processos de segurança.

Pesquisadores de cibersegurança identificaram duas novas famílias de malware, WordlistLoader e SynkLoader, que estão sendo utilizadas para entregar cargas úteis de ransomware e possivelmente vender acesso a grupos de ransomware. O WordlistLoader é empregado para distribuir o Amatera Stealer através de campanhas ClearFake, que utilizam a técnica ClickFix para enganar as vítimas a executar comandos maliciosos sob o pretexto de completar verificações CAPTCHA. O processo envolve a injeção de JavaScript malicioso em sites legítimos, que, ao serem acessados, induzem os usuários a executar comandos que baixam o WordlistLoader. Por outro lado, o SynkLoader é distribuído via phishing no Microsoft Teams, onde um falso serviço de suporte técnico convence a vítima a baixar um instalador malicioso que coleta credenciais de login. Ambas as ameaças demonstram técnicas sofisticadas de ocultação e execução, tornando a detecção mais difícil. A relevância deste artigo é alta, pois os métodos utilizados afetam tecnologias amplamente utilizadas no Brasil e requerem atenção imediata dos CISOs para proteger suas organizações contra essas novas ameaças.

Recentemente, o governo dos EUA alertou sobre ataques cibernéticos que utilizam inteligência artificial (IA) para explorar controladores lógicos programáveis (PLCs) da Siemens, amplamente utilizados em setores críticos como água e energia. Esses ataques visam sistemas expostos à internet, podendo causar interrupções em processos industriais e comprometer dados sensíveis. Além disso, uma falha de segurança no GitLab, classificada com um CVSS de 9.4, foi rapidamente explorada, permitindo que atacantes não autenticados modificassem projetos públicos. Outro incidente alarmante envolve pacotes npm maliciosos que entregam um backdoor Linux, conhecido como RedC2 4.0, projetado para furtar credenciais e realizar operações em massa. Pesquisadores também revelaram um ataque chamado ‘Zombie Card’, que permite o uso de cartões de crédito expirados para pagamentos sem autorização. As ameaças são amplificadas por grupos de hackers, como o Cl0p, que exploram vulnerabilidades em plataformas SaaS para extorsão. A situação exige atenção imediata das organizações para proteger suas infraestruturas críticas e dados sensíveis.

A Microsoft divulgou uma solução temporária para problemas de jogos no Windows 11, causados por atualizações lançadas em agosto de 2026. Usuários relataram falhas no lançamento de jogos, travamentos e erros como ‘EXCEPTION_ACCESS_VIOLATION’. Os problemas afetam jogos como ARC Raiders e MARVEL Tōkon: Fighting Souls, especialmente em sistemas com as versões 24H2 e 25H2 do Windows 11. A empresa identificou que a origem dos problemas está relacionada a drivers de dispositivos RGB, que podem instalar componentes que interferem na execução de certos jogos. A solução envolve desativar o driver inpoutx64 através do Registro do Windows, mas é importante fazer um backup antes, pois isso pode afetar funcionalidades RGB dos periféricos. A Microsoft está investigando mais a fundo a relação entre esses componentes RGB e os jogos afetados. Este não é o primeiro incidente de estabilidade em jogos causado por atualizações do Windows, e a empresa já tomou medidas em situações semelhantes no passado.

Pesquisadores de cibersegurança revelaram detalhes sobre o grupo de cibercrime UAT-10147, que está atacando servidores web Windows e Linux em setores como educação, mídia, tecnologia e jogos. A maioria dos alvos está localizada no Brasil, Bolívia, China, Canadá e Vietnã. O grupo utiliza vulnerabilidades conhecidas para obter acesso inicial e emprega ferramentas de inteligência artificial (IA) para automatizar operações de intrusão e persistência. A análise de um diretório exposto revelou uma lista de cerca de 170.000 URLs, com os principais alvos nos EUA, Índia, Reino Unido, Alemanha e Países Baixos. O grupo realiza fraudes de SEO e roubo de dados, utilizando uma combinação de frameworks de código aberto e exploits para escalar privilégios e instalar malware. Entre as ferramentas utilizadas estão EfsPotato, Quasar RAT e SPECTRE, um backdoor cross-platform. O uso de IA, como o framework DeepAudit, sugere que os atacantes podem estar se preparando para identificar vulnerabilidades em ambientes-alvo ou melhorar sua própria postura defensiva. O impacto potencial é significativo, especialmente considerando a conformidade com a LGPD e a necessidade de ações rápidas por parte dos CISOs brasileiros.

O malware ToxicPanda, que afeta dispositivos Android, evoluiu para a versão 2.0, ampliando seu alcance para 349 aplicativos e adicionando suporte a 167 comandos remotos. Uma das principais inovações é a solicitação de permissões de serviço VPN, permitindo que o malware crie uma interface local para controlar o tráfego de rede. Isso possibilita a interrupção de comunicações com o Google Play e Google Play Services, comprometendo verificações de segurança e atualizações de aplicativos. Além disso, o ToxicPanda 2.0 automatiza o uso do Android Debug Bridge (ADB), permitindo acesso em nível de shell aos dispositivos infectados. O malware também implementa sobreposições de phishing que são invisíveis para os usuários, capturando entradas de toque em aplicativos financeiros e de criptomoedas. Com um módulo separado para coleta de PINs, o ToxicPanda pode atualizar dinamicamente sua lista de alvos, incluindo 140 aplicativos financeiros. A análise da Zimperium, empresa de segurança móvel, destaca que o malware está sendo distribuído por meio de buckets hospedados na Amazon AWS, e que sua capacidade de contornar proteções de consumo de bateria em dispositivos populares como Xiaomi e Samsung representa um risco significativo para a segurança dos usuários.

Com o início da temporada 2026-27, a Premier League implementou novas regras de cibersegurança que exigem que os clubes adotem medidas rigorosas para proteger os dados pessoais de torcedores, jogadores e funcionários. As equipes agora devem cumprir requisitos específicos relacionados a backups, resposta a incidentes, gestão de riscos e segurança da informação, com prazos estabelecidos para a implementação. As multas podem chegar a £100.000 para aqueles que não atenderem às exigências. Essa mudança ocorre em um contexto onde os clubes acumulam grandes volumes de dados sensíveis, tornando-os alvos atrativos para ataques cibernéticos. Especialistas destacam que, embora a multa pareça significativa, ela é relativamente baixa em comparação com as receitas anuais de mais de £600 milhões de alguns clubes. A implementação gradual das regras, com prazos até 2029, levanta preocupações sobre a eficácia da proteção contra ameaças cibernéticas, que estão em constante evolução. A nova abordagem da Premier League, que trata a cibersegurança como uma questão de governança, reflete uma mudança importante na forma como os clubes devem gerenciar seus riscos cibernéticos.

A Força Aérea dos Estados Unidos está em busca de propostas da indústria para desenvolver drones que possam simular uma variedade de ameaças aéreas, desde drones de hobby até caças furtivos de quinta geração. A solicitação, que tem como prazo final o dia 28 de setembro de 2026, visa criar uma série de drones que imitem diferentes categorias de aeronaves, incluindo bombardeiros e plataformas de reconhecimento. Os drones devem ser capazes de voar a velocidades superiores a Mach 1.6 em altitudes elevadas, com assinaturas de radar e emissões infravermelhas que se assemelhem a aeronaves de combate reais. A Força Aérea enfatiza a necessidade de que esses sistemas sejam acessíveis e simples, permitindo que sejam tratados como descartáveis durante os testes. Essa abordagem surge após a perda de aproximadamente 45 drones MQ-9 Reaper em confrontos no Irã, o que gerou preocupações sobre os altos custos envolvidos em operações militares. O desenvolvimento de drones que possam simular caças furtivos a um custo reduzido representa um desafio significativo para a indústria, mas é visto como uma necessidade estratégica para a Força Aérea.

O uso de named pipes para comunicação entre aplicações no Windows é comum, mas apresenta riscos significativos que muitas vezes são subestimados. Embora esses pipes sejam rápidos e considerados privados por operarem localmente, a realidade é que eles podem ser acessados por diversos processos em diferentes contextos de segurança. Isso significa que um pipe, mesmo sendo local, não deve ser tratado como totalmente confiável. A comunicação entre um serviço privilegiado e uma aplicação de usuário menos privilegiada pode expor vulnerabilidades, permitindo que processos não autorizados acessem funcionalidades críticas do sistema. Portanto, é essencial implementar controles rigorosos de identidade e autorização, garantindo que cada operação seja validada individualmente. Além disso, a segurança dos dados transmitidos deve ser garantida, tratando todas as mensagens como não confiáveis até que sejam verificadas. A configuração inadequada de permissões e a falta de validação podem transformar um pipe nomeado em um vetor de ataque, especialmente em ambientes onde malware pode estar presente. Assim, a adoção de uma estratégia de segurança que considere esses fatores é crucial para proteger sistemas Windows contra abusos e ataques potenciais.

Pesquisadores da Kaspersky identificaram um ataque à cadeia de suprimentos que visa unidades de som automotivas baseadas em Android, utilizando um aplicativo legítimo de atualização de dispositivos para disseminar malware. A operação, atribuída ao grupo MoYu, é a primeira documentação de uma cadeia de infecção de malware especificamente criada para essas unidades. O alvo principal é a DoFun, uma fornecedora chinesa de software e hardware automotivo. Em junho, foi descoberto um arquivo APK malicioso sendo baixado de um aplicativo legítimo da DoFun, o TWCore, que se comunica com um servidor MQTT. O malware, chamado JarService, não possui interface e, ao ser executado, estabelece comunicação com um servidor de comando e controle (C2), baixando um segundo payload criptografado. Este malware coleta informações do dispositivo e permite que os atacantes executem uma série de comandos, como enviar requisições HTTP e abrir URLs. Embora o malware não interfira nos sistemas críticos do veículo, ele é projetado para fraudes publicitárias e para transformar as unidades de carro conectadas à internet em nós de proxy residenciais. A Kaspersky notificou a DoFun, que afirmou ter resolvido o problema.

O Departamento de Justiça dos EUA (DoJ) anunciou que a TikTok, pertencente à ByteDance, pagará US$ 400 milhões para resolver um processo de 2024 que a acusava de violar leis de privacidade infantil. A empresa pagará US$ 300 milhões imediatamente e mais US$ 100 milhões após a anulação de um decreto de consentimento anterior relacionado à sua predecessora, Musical.ly. A ação judicial, movida em agosto de 2024 em conjunto com a Comissão Federal de Comércio (FTC), alegou que a TikTok permitiu que crianças menores de 13 anos criassem contas e coletou dados de usuários no modo ‘Kids Mode’ de forma ilegal. Além disso, a TikTok não atendeu a solicitações de pais para deletar contas e informações de seus filhos. O DoJ destacou que este acordo representa uma das maiores recuperações já obtidas sob a Lei de Proteção à Privacidade Online das Crianças (COPPA). A TikTok, por sua vez, afirmou que muitos dos argumentos eram baseados em eventos passados e que já havia implementado medidas para melhorar a segurança de usuários mais jovens. Este não é o primeiro problema da TikTok com a privacidade de dados infantis, já que em setembro de 2023 a empresa foi multada em €345 milhões pela violação do Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia.

Uma nova família de malware, chamada SynkLoader, está sendo distribuída em campanhas de phishing no Microsoft Teams, visando roubar credenciais através de uma tela de bloqueio falsa. Os atacantes se fazem passar pelo suporte técnico da empresa-alvo, uma tática que se tornou comum em ataques em múltiplas etapas. O malware é apresentado como um executável de ‘PowerShell Cleaner’ (.MSI) hospedado no Microsoft Azure, o que confere uma aparência de confiabilidade ao download. A análise do malware revelou que ele foi compilado pela primeira vez em 28 de julho de 2026. O instalador extrai um script PowerShell e um arquivo ZIP contendo um framework Python malicioso, bibliotecas pré-compiladas e DLLs falsas da Microsoft. O SynkLoader combina várias linguagens de programação, como Python, PowerShell, C# e C++, e possui módulos que coletam informações do sistema, garantem persistência, exibem uma tela de bloqueio falsa para capturar senhas e permitem controle remoto do computador infectado. A obtenção de credenciais válidas pelos atacantes pode facilitar o acesso a ambientes corporativos, tornando a situação crítica. A recomendação é verificar solicitações de TI de forma independente e evitar a instalação de arquivos MSI não solicitados.

Pesquisadores de cibersegurança identificaram uma nova família de malware projetada para infectar o firmware de unidades de cabeça automotivas baseadas em Android, desenvolvidas pela DoFun. A Kaspersky, que descobriu a ameaça em junho de 2026, informou que o objetivo final do malware é atuar como um downloader em múltiplas etapas, facilitando fraudes publicitárias e a criação de uma botnet proxy. Este é o primeiro caso documentado de malware encontrado em uma unidade de cabeça de carro, com uma cadeia de infecção específica para esse tipo de dispositivo. A atividade foi atribuída com alta confiança ao grupo MoYu, vinculado a um esquema de fraude publicitária conhecido como BADBOX. As unidades de cabeça de carro, que combinam funções multimídia e controle parcial de funções do veículo, tornaram-se alvos emergentes devido à sua popularidade e à presença de slots para SIM card, permitindo acesso à internet. O malware se espalha através de atualizações de software legítimas, utilizando um aplicativo de sistema chamado TWCore, que coleta análises e atualiza o software da unidade. A Kaspersky destacou que a proteção robusta contra malware é urgentemente necessária para plataformas automotivas modernas.

A Check Point Research revelou uma técnica que explora o driver BTR.sys, parte do Microsoft Defender, para realizar operações arbitrárias em nível de kernel em sistemas Windows, desde o Windows 7 até o Windows 11 25H2. Essa técnica não depende de falhas de software ou de drivers externos, tornando-a particularmente preocupante. O driver BTR.sys é um componente essencial do Windows, o que impede sua inclusão na lista de bloqueio de drivers vulneráveis da Microsoft. A pesquisa, apresentada por Jiří Vinopal na Black Hat USA 2026, demonstrou que o BTR.sys pode ser manipulado para excluir arquivos e entradas de registro, mesmo com a proteção contra alterações do Defender ativada. Embora a Check Point não tenha encontrado evidências de uso real dessa técnica em ataques, a possibilidade de sua exploração representa um risco significativo, especialmente para administradores que já possuem privilégios elevados. A Microsoft, até o momento, não planeja um patch para essa vulnerabilidade, pois a técnica requer privilégios administrativos pré-existentes. A pesquisa sugere que a restrição do privilégio SeLoadDriverPrivilege pode ser uma medida de mitigação eficaz.

Pesquisadores de cibersegurança descobriram pacotes npm trojanizados que se disfarçam como utilitários de calendário e métricas, mas que na verdade implantam um backdoor Linux chamado RedC2 4.0. Esses pacotes, que incluem nomes como ‘streak-metrics-math’ e ‘kit-map-vim’, são funcionais e entregam a funcionalidade prometida, mas contêm código malicioso que ativa um implante assim que são importados. O RedC2 4.0 é um framework de comando e controle (C2) que permite atividades de pós-exploração, como roubo de credenciais e execução de comandos remotos. A entrega do malware é feita sem a necessidade de funções de instalação, tornando-o especialmente perigoso. O RedC2 4.0, que é comercializado em fóruns de cibercrime, é projetado para evadir detecções e suporta múltiplas plataformas, incluindo Windows e macOS. A introdução de um assistente de IA chamado Red Agent permite que operadores executem comandos em linguagem natural, facilitando o uso por indivíduos com diferentes níveis de habilidade. Este desenvolvimento destaca a crescente integração de IA em frameworks de C2 e a distribuição de ameaças via pacotes de software aparentemente legítimos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta para que agências federais priorizem a correção de duas vulnerabilidades ativamente exploradas na plataforma de comunicação TrueConf Server. Esta plataforma, utilizada para mensagens corporativas e videoconferências, opera em redes locais, diferentemente de soluções baseadas em nuvem como Zoom ou Microsoft Teams. A vulnerabilidade mais crítica, identificada como CVE-2026-72529, permite que atacantes não autenticados executem scripts arbitrários remotamente em servidores não corrigidos. A segunda falha, CVE-2026-72530, envolve injeção de código de alta complexidade, possibilitando que invasores escapem de um ambiente isolado e executem comandos no sistema operacional subjacente. A CISA ordenou que as agências federais protejam seus servidores até 3 de setembro. A empresa de cibersegurança Kaspersky relatou que o grupo hacktivista Head Mare tem explorado essas vulnerabilidades desde julho de 2026, visando organizações russas em diversos setores. A situação destaca a necessidade urgente de correções, uma vez que essas falhas representam vetores de ataque frequentes para atores maliciosos.

A Microsoft iniciou a implementação de um novo tema Clássico para o Outlook, disponível tanto na versão web quanto no Novo Outlook para Windows. O lançamento começou em meados de agosto e deve ser concluído até o final de setembro, com disponibilidade global prevista entre o final de setembro e outubro. Este tema visa proporcionar uma experiência mais familiar para os usuários que estão migrando do Outlook Clássico, mantendo as funcionalidades do Novo Outlook. As alterações incluem mudanças coordenadas no estilo visual, layout, tipografia e ícones. Embora o novo tema seja ativado por padrão para alguns usuários, eles têm a opção de desativá-lo nas configurações. A Microsoft também anunciou que o Novo Outlook substituirá o Windows Mail como aplicativo pré-instalado no Windows 11, com a primeira versão de pré-visualização lançada em maio de 2022. Além disso, a empresa adiou a fase de opt-out para empresas, dando mais tempo para a migração. A desativação do Outlook Web Access (OWA) Light também está prevista para uma atualização futura do Exchange Server.

Nos últimos 20 anos, a internet se reestruturou em torno de um modelo de negócios que depende do conhecimento profundo sobre os usuários, conhecido como capitalismo de vigilância. Cada aplicativo, conta e site que utilizamos alimenta um sistema que rastreia, perfila e monetiza nossas informações pessoais. Os corretores de dados desempenham um papel crucial nesse processo, agregando informações e criando perfis detalhados sem o consentimento dos usuários. A privacidade, portanto, não é mais garantida, mas algo que deve ser ativamente construído. Uma solução proposta é a compartimentalização, que envolve a criação de múltiplas identidades digitais para diferentes contextos, evitando que todas as informações estejam conectadas. O aplicativo MySudo permite que os usuários criem até nove personas, cada uma com seu próprio número de telefone, e-mail e métodos de pagamento, ajudando a proteger a privacidade e a segurança online. Essa abordagem não requer mudanças na internet, mas sim a implementação de uma camada de proteção entre o usuário e os serviços online, permitindo um controle maior sobre a identidade digital e reduzindo os riscos associados a vazamentos de dados.

A Microsoft confirmou que problemas contínuos que causam falhas ou impossibilidade de iniciar jogos após a instalação das atualizações de agosto de 2026 do Windows podem estar relacionados a periféricos com iluminação RGB. O problema afeta jogos como ARC Raiders, MARVEL Tōkon: Fighting Souls e The Finals em sistemas que rodam Windows 11 nas versões 24H2 e 25H2. Desde a liberação das atualizações em 11 de agosto de 2026, a empresa recebeu relatos de usuários enfrentando travamentos, erros de ‘EXCEPTION_ACCESS_VIOLATION’ e reinicializações inesperadas. A investigação da Microsoft sugere que drivers ou componentes instalados por dispositivos RGB podem estar causando esses problemas, especialmente aqueles com nomes de arquivos semelhantes a inpoutx64. A desenvolvedora Embark Studios, responsável por ARC Raiders, também confirmou que o arquivo inpoutx64.sys, alterado pela atualização do Windows, é o responsável pelas falhas. Enquanto uma solução oficial não é disponibilizada, a Embark sugere um procedimento temporário que envolve a exclusão do serviço e do arquivo mencionado. Este não é o primeiro incidente desse tipo, já que a Microsoft teve que lidar com problemas de desempenho em jogos após atualizações anteriores.

Um estudo da Truffle Security revelou que mais de 9.300 chaves de acesso da Amazon Web Services (AWS) foram expostas publicamente entre agosto de 2022 e agosto de 2026, e muitas delas ainda estão ativas. Dentre as chaves expostas, 817 estavam vinculadas a empresas, sendo 526 delas chaves raiz da AWS, que possuem permissões totais. A pesquisa identificou que 242 chaves pertenciam a usuários do Identity and Access Management (IAM) com a política AdministratorAccess, permitindo controle total sobre os recursos da AWS. A Truffle Security também encontrou 431.875 segredos da AWS em repositórios de código, extraindo 64.024 chaves únicas que correspondiam a 50.654 contas da AWS. A maioria das chaves expostas não foi rotacionada, com uma idade média de 1.831 dias. Os pesquisadores alertam que a posse dessas chaves pode permitir que atacantes acessem, exfiltratem ou até eliminem dados armazenados na nuvem, além de potencialmente gerar custos elevados para as empresas. Recomendações incluem a exclusão de chaves de acesso raiz e a configuração de alertas orçamentários.

A Cisco anunciou uma nova rodada de atualizações de segurança para suas plataformas Crosswork e Secure Workload, resultado de uma revisão interna abrangente de segurança. Quatro vulnerabilidades críticas foram identificadas nas versões 7.2.1 e anteriores do Crosswork, incluindo uma falha de injeção SQL (CVE-2026-20030) e uma vulnerabilidade de autenticação ausente (CVE-2026-20357), ambas com pontuação CVSS de 10.0. Além disso, cinco vulnerabilidades foram corrigidas no Cisco Secure Workload, afetando tanto implementações em nuvem quanto locais. As falhas incluem problemas de controle de acesso e validação de entrada, com pontuações CVSS variando de 7.5 a 10.0. A Cisco enfatizou que essas vulnerabilidades foram descobertas durante testes internos e não há evidências de exploração ativa. A empresa recomenda que os clientes apliquem as atualizações necessárias para evitar exposições futuras. O aumento da exploração de falhas em equipamentos Cisco por agentes maliciosos torna a situação ainda mais crítica, especialmente considerando a ampla utilização de suas tecnologias em redes empresariais.

A Inteligência Artificial (IA) tem se tornado uma tecnologia essencial nesta década, impactando diversas áreas, incluindo a cibersegurança. Os Centros de Operações de Segurança (SOCs) enfrentam um volume elevado de alertas provenientes de dispositivos de rede, aplicações empresariais e ambientes em nuvem, o que pode levar à fadiga dos analistas e à possibilidade de eventos críticos serem negligenciados. A adoção de IA nos SOCs visa melhorar a detecção de ameaças e a resposta a incidentes, proporcionando análises contextuais e recomendações de ações corretivas. O Wazuh, por exemplo, oferece o Wazuh AI Analyst, um serviço automatizado que gera relatórios de segurança sem necessidade de configuração manual, garantindo a privacidade dos dados. Além disso, integrações com modelos de IA, como o Llama 3 e o Claude 3.5, permitem que as organizações personalizem suas operações de segurança, mantendo o controle sobre seus dados. A IA não substitui os analistas, mas sim os apoia, tornando as operações mais eficientes e rápidas. Essa transformação é crucial para que as equipes de segurança consigam lidar com as ameaças cada vez mais sofisticadas que surgem no cenário atual.

O desempenho da infraestrutura crítica, que abrange setores como transporte, utilidades e comunicações, está sob crescente pressão para melhorar a resiliência e a segurança, mesmo com ativos envelhecidos e orçamentos limitados. Em vez de substituir equipamentos, as organizações estão adotando uma abordagem mais analítica, utilizando dados e insights operacionais para otimizar o desempenho e prolongar a vida útil dos ativos existentes. Essa mudança de paradigma, chamada de ‘Infraestrutura Inteligente’, permite uma melhor conexão entre os ativos, aumentando a visibilidade e facilitando decisões operacionais mais informadas.

O Hospital for Sick Children (SickKids), localizado em Toronto, anunciou que informações pessoais de funcionários atuais e antigos, além de candidatos a vagas, foram expostas em um incidente de cibersegurança. O hospital informou que a violação ocorreu devido a uma falha em um software de terceiros utilizado por diversas organizações. Apesar do vazamento, os sistemas clínicos e os registros dos pacientes não foram comprometidos, e o site de carreiras da instituição foi temporariamente retirado do ar, mas já foi restaurado. A investigação, conduzida com a ajuda de especialistas em cibersegurança, revelou que dados pessoais, como nomes e endereços, podem ter sido acessados. O hospital não divulgou detalhes sobre a quantidade de pessoas afetadas ou a natureza exata das informações vazadas. Como medida de precaução, SickKids está oferecendo 24 meses de monitoramento de crédito e proteção de identidade aos indivíduos afetados. Este incidente não é isolado; em dezembro de 2022, o hospital sofreu um ataque de ransomware que afetou seus sistemas internos, e em setembro de 2023, foi envolvido em uma violação de dados em uma organização parceira. A saúde continua sendo um setor altamente visado por grupos de ransomware e extorsão de dados.

A Microsoft emitiu um alerta sobre uma falha de segurança de severidade máxima no Entra ID, anteriormente conhecido como Azure Active Directory. A vulnerabilidade, identificada como CVE-2026-69836 e com uma pontuação CVSS de 10.0, permite a execução remota de código devido à deserialização de dados não confiáveis. Isso significa que um atacante não autorizado pode executar código através da rede, comprometendo a segurança do serviço de gerenciamento de identidade e acesso da empresa. A falha foi descoberta pelo engenheiro de segurança Robert Fitzaptrick e, embora tenha sido explorada ativamente, a Microsoft afirmou que já implementou mitigação completa, não exigindo ações dos usuários. Além disso, a empresa também corrigiu uma falha de escalonamento de privilégios no Windows, que estava sendo explorada por um grupo vinculado à Coreia do Norte. A situação destaca a importância da vigilância contínua em relação a vulnerabilidades em serviços amplamente utilizados, como os da Microsoft.

Uma nova vulnerabilidade de segurança no GitLab, identificada como CVE-2026-19478, foi divulgada e já está sendo ativamente explorada. Com uma pontuação CVSS de 9.4, essa falha de injeção de código permite que atacantes não autenticados modifiquem ou excluam projetos públicos do GitLab, além de reescrever dados sem a necessidade de credenciais ou interação do usuário. As versões afetadas incluem o GitLab Community Edition (CE) e o Enterprise Edition (EE) anteriores a 18.11.11, 19.0.8, 19.1.6 e 19.2.4. A exploração pode ocorrer através de uma diretiva GraphQL, e a GitLab já lançou correções para as versões vulneráveis. A empresa watchTowr, que monitora vulnerabilidades, conseguiu reproduzir a falha rapidamente e observou tentativas de exploração em sua rede honeypot. A gravidade da situação é acentuada pelo uso de inteligência artificial por atacantes, que acelera o tempo entre a divulgação da vulnerabilidade e sua exploração. Organizações que ainda não aplicaram os patches devem verificar logs em busca de atividades suspeitas e considerar restringir o acesso não autenticado ao endpoint GraphQL como medida de mitigação.

Os óculos inteligentes da Meta, desenvolvidos em parceria com Ray-Ban e Oakley, enfrentam a possibilidade de serem banidos em cinemas no Reino Unido, principalmente devido a preocupações com pirataria. A principal questão é que esses dispositivos, equipados com câmeras, permitem que usuários gravem filmes e shows de forma discreta, o que levanta preocupações tanto para a privacidade do público quanto para a proteção de direitos autorais. Embora a Meta afirme que há um indicador luminoso que sinaliza quando a gravação está em andamento, críticos argumentam que esse sinal pode ser facilmente ignorado, especialmente em ambientes iluminados. Além disso, a crescente rejeição social aos óculos inteligentes, considerados por alguns como ‘óculos de espião’, tem levado a um aumento nas restrições de uso em diversos locais. Essa situação pode impactar negativamente a aceitação e a utilidade desses dispositivos, especialmente para usuários que necessitam de lentes corretivas, já que as proibições não fazem exceções para óculos com prescrições. A discussão sobre a regulamentação e aceitação dos óculos inteligentes continua, com a expectativa de que novas medidas possam ser implementadas em breve.

Um software de controle da NASA, especificamente a interface gráfica do AMMOS Instrument Toolkit (AIT-GUI), apresentou uma vulnerabilidade crítica que permite que atacantes não autenticados acessem e controlem espaçonaves. A falha foi identificada na versão 2.5.1 do AIT-GUI, que opera como um servidor web com todas as interfaces de rede abertas e sem proteção de autenticação ou autorização. Isso significa que um invasor poderia emitir comandos para as espaçonaves e executar scripts do lado do servidor, colocando os veículos quase totalmente fora do controle da NASA. A vulnerabilidade foi divulgada pelo pesquisador Yuval Elbar em 18 de agosto de 2026 e já foi corrigida na versão 2.5.2. A falta de proteção contra CSRF (cross-site request forgery) e a possibilidade de explorar falhas básicas de controle de acesso aumentam o risco. O acesso externo não requer que o atacante esteja na mesma rede, o que torna a situação ainda mais alarmante. A Cycode recomenda que os administradores atualizem o AIT-GUI e realizem verificações no histórico de comandos para mitigar riscos.

Recentemente, hackers comprometeram a conta de um mantenedor do crate Rust amplamente utilizado, chamado arrayref, injetando malware que se executava nos sistemas dos desenvolvedores durante a compilação. Em uma janela de 23 minutos, o atacante também contaminou outros dois crates, append-only-vec e internment, em um ataque de cadeia de suprimentos. O crate arrayref, que possui mais de 53 milhões de downloads nos últimos 90 dias, é utilizado em ferramentas de criptografia, gráficos e blockchain. O ataque foi realizado através da injeção de uma dependência maliciosa chamada proc-macro1, que se disfarçava como uma versão legítima de outro crate popular, proc-macro2. Durante a compilação, um script no proc-macro1 executava um payload que coletava informações do sistema e credenciais de navegadores como Google Chrome e Edge. O impacto potencial é significativo, dado que o arrayref sozinho já possui mais de 245 milhões de downloads ao longo de sua vida útil. O ataque começou em 20 de agosto e foi rapidamente mitigado, mas desenvolvedores que instalaram as versões comprometidas devem considerar suas credenciais como comprometidas e tomar medidas de segurança imediatas.

O governo dos EUA alertou sobre uma ameaça ativa que visa organizações de infraestrutura crítica, utilizando scripts de exploração gerados por inteligência artificial (IA). O foco principal está em controladores lógicos programáveis (PLCs) da série Siemens S7, que estão sendo atacados com scripts disfarçados de ferramentas de monitoramento legítimas. Os atacantes utilizam serviços de escaneamento da internet para identificar PLCs expostos e mal protegidos, visando setores como manufatura crítica, energia, água e sistemas de esgoto, química, alimentos e agricultura, e instalações comerciais. A exploração de PLCs mal protegidos pode causar interrupções em processos industriais, incidentes de segurança, danos a equipamentos e violação de dados sensíveis. As agências de segurança recomendam que os proprietários de sistemas de tecnologia operacional (OT) garantam que seus dispositivos estejam atualizados, isolados da internet e com controles de acesso robustos. Além disso, um ataque autônomo recente em Taiwan, que utilizou IA para realizar operações complexas, destaca a evolução das capacidades ofensivas, tornando os ataques mais acessíveis e menos dependentes de expertise técnica.

O artigo destaca diversas ameaças cibernéticas recentes, começando pelo abuso de drivers assinados, especificamente o driver de remoção do Microsoft Defender, que pode ser utilizado para contornar soluções de segurança. Pesquisadores da Check Point demonstraram que o driver BTR.sys pode ser reconfigurado para executar operações de kernel, explorando uma janela de vulnerabilidade entre a inicialização do sistema e a ativação do modo usuário. Além disso, o Departamento de Justiça dos EUA acusou 17 membros do Mabna Institute, um grupo iraniano, por uma campanha de roubo cibernético que comprometeu dados de mais de 100 mil contas de universidades e empresas, resultando em um prêmio de 10 milhões de dólares por informações sobre os acusados. Outra ameaça em destaque é a campanha de malware Grandoreiro, que utiliza um aplicativo legítimo para executar código malicioso via DLL sideloading, com foco em países da América Latina, especialmente o México. O artigo também menciona novas campanhas que combinam técnicas de ataque, como o uso de drivers vulneráveis para escalar privilégios. Por fim, a OpenAI introduziu uma nova abordagem de privacidade para monitorar abusos em modelos de IA, enquanto serviços como o Kriminal AI oferecem inteligência sem filtros, levantando preocupações sobre a segurança cibernética.

Três grupos de ciberespionagem russos, identificados como UNC6293, UNC7005 e UNC5976, estão realizando campanhas de phishing direcionadas a indivíduos em setores acadêmicos, de defesa e governamentais na Europa e nos Estados Unidos. Esses grupos utilizam táticas sofisticadas de engenharia social para comprometer contas pessoais em diversas plataformas. O UNC6293, vinculado ao Ice Relic, tem se concentrado em operações de phishing que simulam oficiais do Departamento de Estado dos EUA, enquanto o UNC5976 tem explorado técnicas de phishing OAuth, utilizando domínios falsos para coletar tokens de autenticação. O UNC7005, por sua vez, tem se destacado em operações de engenharia social que envolvem o WhatsApp e o uso de infostealers para roubar dados de acadêmicos e diplomatas. As campanhas têm como alvo específico a indústria de defesa e segurança, com um foco geográfico em países como Ucrânia e Armênia. As ações desses grupos representam um risco significativo para a segurança cibernética, exigindo atenção especial de profissionais de segurança da informação.

O projeto Rust removeu versões maliciosas de três crates amplamente utilizadas após um ataque que comprometeu uma conta de mantenedor. As versões afetadas, arrayref 0.3.10, internment 0.8.7 e append-only-vec 0.1.9, foram publicadas em 20 de agosto de 2026 e removidas entre 86 e 107 minutos depois. O ataque envolveu a adição de uma dependência typosquatted que continha um script de construção malicioso, capaz de baixar e executar um payload remoto durante a compilação. Embora não haja evidências de que as versões maliciosas tenham sido amplamente utilizadas, os desenvolvedores são aconselhados a verificar seus caches e a fixar a versão arrayref em 0.3.9 ou anterior. A equipe de resposta de segurança do Rust acredita que o autor da crate não agiu maliciosamente, mas que sua conta pode ter sido comprometida. O ataque destaca a vulnerabilidade das cadeias de suprimento de software, especialmente em ambientes de código aberto, onde a confiança nas dependências é crucial.

Nos primeiros sete meses de 2026, o grupo de ransomware conhecido como The Gentlemen realizou uma média de 2,8 ataques por dia, totalizando 600 ataques confirmados até o final de julho. Este grupo, que opera sob o modelo Ransomware-as-a-Service (RaaS), surgiu de uma cisão de um afiliado do Qilin, oferecendo uma participação de 90% nos resgates, atraindo assim novos afiliados. A parceria com o BreachForums e a exploração de vulnerabilidades recentes, como CVE-2025-32433, contribuíram para o aumento significativo de suas atividades. O foco do grupo está em empresas, especialmente fabricantes, com 24% de suas vítimas pertencendo a esse setor. Os Estados Unidos lideram em número de ataques, seguidos por países como Tailândia e França. As consequências incluem o comprometimento de 787.400 registros em ataques confirmados, com um impacto notável em setores críticos como saúde, governo e educação. O aumento da atividade do The Gentlemen representa uma ameaça crescente, exigindo atenção especial de profissionais de cibersegurança.

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA emitiu um alerta sobre a exploração de uma vulnerabilidade crítica no MLflow, uma plataforma de engenharia de IA de código aberto amplamente utilizada. A falha, identificada como CVE-2026-64849, é uma vulnerabilidade de DNS-rebinding que permite a execução de requisições forjadas do lado do servidor (SSRF), possibilitando que atacantes não privilegiados acessem serviços internos ou configurações de metadados em nuvem em instâncias não corrigidas. A equipe de segurança do MLflow destacou que a API de webhooks do servidor de rastreamento padrão está exposta sem autenticação, permitindo que um atacante não autenticado faça requisições HTTP para endpoints internos e leia as respostas. A CISA adicionou essa vulnerabilidade ao seu catálogo de falhas exploradas e ordenou que as agências federais dos EUA protejam suas instâncias do MLflow em um prazo de duas semanas. A empresa de cibersegurança watchTowr relatou que os atacantes começaram a escanear sistemas MLflow logo após a atribuição do ID CVE, indicando um alto nível de atividade maliciosa. Organizações que utilizam o MLflow devem priorizar a aplicação de patches e revisar logs de auditoria em busca de sinais de comprometimento.

A Citrix emitiu um alerta urgente para que seus clientes protejam seus sistemas contra duas vulnerabilidades críticas que afetam as soluções de acesso remoto seguro NetScaler Gateway e os dispositivos de rede NetScaler ADC. A vulnerabilidade mais grave, identificada como CVE-2026-19490, permite que atacantes remotos contornem a autenticação em configurações específicas do appliance, dependendo da versão do firmware e da configuração de SAML Action. Administradores podem verificar a vulnerabilidade inspecionando a configuração do NetScaler. A segunda falha, CVE-2026-19489, é uma vulnerabilidade de estouro de memória que pode ser explorada em ataques de negação de serviço (DoS) quando o SIP ALG está habilitado. A Citrix recomenda que os clientes atualizem seus dispositivos para versões específicas que corrigem essas falhas. Embora essas vulnerabilidades ainda não tenham sido exploradas ativamente, a Citrix também alertou sobre outras falhas que já estão sendo abusadas. A CISA incluiu uma dessas vulnerabilidades em seu catálogo de vulnerabilidades conhecidas exploradas, exigindo que agências federais protejam seus dispositivos vulneráveis rapidamente.

Os ataques de phishing evoluíram significativamente com o uso de inteligência artificial (IA), tornando-se mais sofisticados e difíceis de detectar. Com ferramentas de IA, atacantes podem criar e-mails de phishing altamente personalizados em questão de minutos, utilizando informações disponíveis publicamente, como perfis do LinkedIn. Estudos indicam que campanhas de spear phishing geradas por IA alcançam taxas de cliques de 54%, comparáveis às de especialistas humanos, mas a um custo muito menor.

Uma vulnerabilidade crítica identificada como CVE-2026-32475 no plugin Elementor Pro para WordPress pode permitir que atacantes façam upload de arquivos executáveis, possibilitando a execução remota de código no servidor. Essa falha afeta versões do Elementor Pro anteriores à 4.2.2 e está relacionada ao módulo de Upload de Arquivos, que trata entradas de arquivos vazias de maneira inconsistente. Um atacante pode explorar essa vulnerabilidade criando um upload multipart em que a primeira parte tem um nome de arquivo vazio, seguido por um payload PHP malicioso. O processo de validação rejeita a primeira parte, mas a segunda parte é processada e movida para um diretório público, permitindo a execução do código malicioso. O Elementor Pro, amplamente utilizado por mais de 10 milhões de sites, já recebeu um patch para corrigir a falha. Os administradores são aconselhados a atualizar para a versão mais recente e verificar o diretório de uploads para arquivos maliciosos. Até o momento, não foram observados casos de exploração ativa dessa vulnerabilidade.

Pesquisadores da Universidade de Massachusetts Amherst demonstraram um ataque que reativa cartões de crédito Visa contactless expirados para compras em lojas, alterando a data de validade que um terminal de ponto de venda (POS) lê via comunicação por campo próximo (NFC), sem quebrar a criptografia do cartão. O ataque, denominado ‘Zombie Card’, exige a posse física do cartão expirado ou proximidade sustentada a ele, além de um relé man-in-the-middle (MitM) entre o cartão e o terminal. Os testes realizados com cartões expirados de três grandes bancos dos EUA mostraram que um deles aprovou transações reativadas, enquanto outro as rejeitou. O estudo revela que a data de validade do cartão não é protegida criptograficamente, permitindo modificações que enganam o POS. Os pesquisadores sugerem contramedidas, como vincular dados críticos de expiração a assinaturas verificáveis e realizar checagens de consistência entre as representações de expiração. A Visa e os bancos afetados foram notificados, mas até o momento não houve atualizações sobre mitigação. Este ataque representa um risco significativo, especialmente considerando a falta de proteção em sistemas amplamente utilizados.