Um ataque realizado pela Novee Security revelou vulnerabilidades críticas em repositórios de agentes de codificação da Anthropic e Google, que foram apresentadas na Black Hat USA em 5 de agosto de 2026. O ataque explorou uma falha no Gemini CLI, resultando na CVE-2026-12537, que permite a injeção de comandos do sistema operacional através de um arquivo .env malicioso, permitindo que um atacante não privilegiado execute código no host de uma plataforma CI. Esta vulnerabilidade foi corrigida nas versões 0.39.1 do Gemini CLI e 0.1.22 do run-gemini-cli. Outra falha, CVE-2026-54316, afetou o Claude Code, transformando um contador de downloads da Hugging Face em um canal de exfiltração de dados, vazando uma chave de API. Embora ambas as falhas tenham sido corrigidas, a Novee também identificou problemas no Codex da OpenAI, que não resultaram em um patch ou CVE, mas que exigem atenção. A exploração dessas vulnerabilidades não foi confirmada em ambientes reais, mas a situação destaca a necessidade de auditoria rigorosa em workflows que permitam a execução de código por usuários externos.
Fonte: https://thehackernews.com/2026/08/claude-code-and-gemini-cli-flaws-let.html
⚠️BR DEFENSE CENTER: SECURITY BRIEFING
07/08/2026 • Risco: ALTO
VULNERABILIDADE
Vulnerabilidades em CI runners da Anthropic e Google expostas
RESUMO EXECUTIVO
As vulnerabilidades identificadas em Gemini CLI e Claude Code representam riscos significativos para a segurança de ambientes de desenvolvimento. A correção dessas falhas é essencial para evitar a exploração de dados sensíveis e garantir a conformidade regulatória.
💼 IMPACTO DE NEGÓCIO
Financeiro
Possíveis custos associados a vazamentos de dados e interrupções de serviço.
Operacional
Possibilidade de execução de código não autorizado em ambientes CI.
Setores vulneráveis
['Tecnologia da Informação', 'Desenvolvimento de Software']
📊 INDICADORES CHAVE
CVE-2026-12537 com CVSS 10.0.
Indicador
CVE-2026-54316 classificada como moderada com CVSS 6.0.
Contexto BR
Versões afetadas do Claude Code vão de 0.2.54 até 2.1.163.
Urgência
⚡ AÇÕES IMEDIATAS
1
Atualizar o Gemini CLI para a versão 0.39.1 e o Claude Code para 2.1.163.
2
Auditar workflows que permitam a execução de código por usuários externos.
3
Monitorar continuamente as atividades em repositórios e ações de CI/CD.
🇧🇷 RELEVÂNCIA BRASIL
CISOs devem se preocupar com a segurança de ferramentas de CI/CD, que são essenciais para o desenvolvimento ágil e podem ser alvos de ataques que comprometam dados sensíveis.
⚖️ COMPLIANCE
Implicações na conformidade com a LGPD, especialmente em relação ao tratamento de dados pessoais.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).
