Cibersegurança

Nos últimos meses, campanhas de phishing que se passam por PayPal e Spotify têm crescido de forma alarmante, especialmente após um vazamento de dados que afetou até 15,8 milhões de contas do PayPal. Os cibercriminosos estão utilizando informações obtidas para enganar usuários e roubar dados bancários. Os golpes geralmente se apresentam na forma de e-mails que solicitam a atualização de informações de pagamento, com mensagens de urgência que ameaçam a interrupção do serviço caso a ação não seja realizada rapidamente. Os e-mails maliciosos frequentemente começam com saudações impessoais, como ‘Caro usuário’, e incluem links que, ao serem clicados, podem comprometer a conta do usuário. Para se proteger, é fundamental verificar a procedência dos e-mails, evitando clicar em links suspeitos e sempre acessando diretamente os sites oficiais dos serviços. O PayPal e o Spotify oferecem orientações sobre como identificar comunicações legítimas e sugerem que os usuários mudem suas senhas ao suspeitar de atividades estranhas. A conscientização e a cautela são essenciais para evitar cair em tais armadilhas.

A Microsoft anunciou que está testando uma nova funcionalidade no Microsoft Teams que verifica links enviados em mensagens, alertando tanto quem envia quanto quem recebe. Essa atualização, chamada de ‘Proteção contra URLs Maliciosas para Chat e Canais do Teams’, visa detectar spam, phishing e malware. A tecnologia escaneia as URLs e as compara com bases de dados de inteligência contra ameaças da Microsoft, funcionando para mensagens internas e externas. Os usuários que compartilham links suspeitos receberão um alerta, podendo editar ou deletar a mensagem, enquanto os destinatários verão uma notificação clara sobre o conteúdo suspeito antes de clicar no link. A funcionalidade está disponível em versão de teste nos aplicativos para desktop, Android, iOS e na versão web, e será lançada oficialmente em novembro. Para ativar a checagem de URLs, os administradores devem acessar o Centro de Administração do Teams e selecionar a opção correspondente. Essa iniciativa é um passo importante na luta contra ameaças cibernéticas, especialmente em um ambiente corporativo onde a comunicação digital é essencial.

O artigo destaca a crescente importância dos testes de penetração em nuvem, especialmente em um cenário onde empresas estão migrando rapidamente para plataformas como AWS, Azure e Google Cloud. Essa transição, embora traga benefícios como escalabilidade e eficiência de custos, também expõe as organizações a novas vulnerabilidades. O teste de penetração em nuvem se torna essencial para identificar falhas como configurações inadequadas e permissões excessivas de gerenciamento de identidade (IAM). Em 2025, as melhores empresas de teste de penetração em nuvem combinam expertise técnica com ferramentas especializadas, oferecendo desde validações automatizadas até avaliações profundas que simulam táticas de atacantes reais. O artigo apresenta uma tabela comparativa das dez principais empresas, incluindo SentinelOne, CloudBrute e Nessus, destacando suas características e abordagens únicas. A complexidade dos ambientes em nuvem e a velocidade de desenvolvimento das aplicações tornam a validação contínua de segurança uma necessidade crítica para evitar brechas de dados. Com a responsabilidade compartilhada entre provedores de nuvem e clientes, a segurança das configurações se torna uma prioridade para evitar incidentes de segurança.

O artigo apresenta uma análise dos dez melhores serviços de teste de penetração em aplicativos móveis para 2025, destacando a importância dessa prática na segurança cibernética. Os testes de penetração são cruciais, pois as aplicações móveis são um vetor primário para vazamentos de dados, enfrentando ameaças únicas como armazenamento inseguro de dados e engenharia reversa. As empresas selecionadas foram avaliadas com base em sua experiência, confiabilidade e a riqueza de recursos oferecidos, como testes manuais e automatizados, integração com DevSecOps e análise de APIs. Entre as empresas destacadas estão Bluefire Redteam, NowSecure e Cobalt, que se destacam por suas metodologias robustas e plataformas de teste contínuo. O artigo enfatiza que um teste de penetração eficaz não apenas identifica vulnerabilidades, mas também fornece orientações práticas para mitigação, ajudando as organizações a protegerem os dados dos usuários e a atenderem requisitos de conformidade.

Um ataque cibernético perpetrado pelo grupo de hackers Killsec resultou no vazamento de dados sensíveis de pacientes de várias clínicas de saúde no Brasil, após a invasão da empresa de software MedicSolution. O ataque, classificado como ransomware, ocorreu na última semana e envolveu a ameaça de divulgação de mais de 34 GB de informações, incluindo avaliações médicas, fotos de pacientes e registros de menores de idade, caso o resgate não fosse pago. A Resecurity, empresa de segurança que analisou o incidente, revelou que a invasão foi facilitada por configurações inadequadas em data centers da AWS, evidenciando falhas de segurança na nuvem. O grupo Killsec já havia atacado outras entidades brasileiras e está vinculado a uma série de ataques na América Latina, levantando preocupações sobre a segurança de dados no setor de saúde. A Lei Geral de Proteção de Dados (LGPD) exige que dados sensíveis, como os de saúde, sejam tratados com rigor, e a Autoridade Nacional de Proteção de Dados (ANPD) já multou empresas por descumprimento. A MedicSolution ainda não se manifestou sobre o ataque, que destaca a vulnerabilidade das instituições de saúde frente a ciberataques.

Os Estados Unidos anunciaram uma recompensa de US$ 11 milhões (aproximadamente R$ 60 milhões) por informações que levem à captura de Volodymyr Tymoshchuk, um hacker ucraniano acusado de liderar uma série de ataques de ransomware que causaram prejuízos de até US$ 18 bilhões (R$ 97 bilhões) em três anos. Tymoshchuk é apontado como o responsável pelos ransomwares MegaCortex, LockerGoga e Nefilim, que operaram entre dezembro de 2018 e outubro de 2021. Os ataques visavam empresas de grande porte, instituições de saúde e complexos industriais, sendo um dos mais notórios o ataque à Norsk Hydro, que resultou em danos de R$ 440 milhões. O Departamento de Justiça dos EUA destacou que Tymoshchuk utilizava softwares de penetração, como Metasploit e Cobalt Strike, para infiltrar-se nos sistemas das vítimas, permanecendo oculto por meses antes de executar os ataques. Caso extraditado e julgado, ele pode enfrentar pena de prisão perpétua. A situação ressalta a crescente ameaça de ransomware e a necessidade de vigilância constante por parte das empresas, especialmente aquelas que operam em setores críticos.

Um dos maiores ataques a pacotes do npm foi detectado pela Aikido Security, envolvendo 18 pacotes populares, como chalk e debug, que foram comprometidos para roubar carteiras de criptomoedas. O ataque ocorreu após a invasão de um mantenedor confiável, conhecido como qix, que caiu em um golpe de phishing. Esses pacotes, que somam mais de 2 bilhões de downloads semanais, impactaram um grande número de usuários. O malware injetado altera transações de criptomoedas feitas por navegadores, redirecionando fundos para endereços controlados pelos hackers, mesmo que a interface mostre informações corretas. A detecção do ataque foi rápida, ocorrendo em cinco minutos, e a contenção foi realizada em uma hora, minimizando os danos. Especialistas recomendam que desenvolvedores revertam para versões anteriores dos pacotes afetados e monitorem transações de criptomoedas para evitar perdas. Este incidente destaca a vulnerabilidade de ambientes de desenvolvimento e a necessidade de vigilância constante contra ataques de phishing e malware.

Uma nova ferramenta de pentesting chamada Villager, desenvolvida por uma empresa chinesa chamada Cyberspike, tem gerado preocupações significativas na comunidade de cibersegurança. Com cerca de 10.000 downloads em apenas dois meses, a ferramenta utiliza inteligência artificial para automatizar operações de segurança ofensiva, integrando recursos do Kali Linux e do DeepSeek AI. A rápida adoção da ferramenta levanta questões sobre seu uso por atores maliciosos, especialmente considerando que Cyberspike possui laços com círculos de hackers e malware. O relatório da Straiker destaca que a Villager pode seguir o mesmo caminho do Cobalt Strike, uma ferramenta amplamente utilizada por cibercriminosos. Além disso, a falta de um site oficial e o histórico da empresa levantam suspeitas sobre suas intenções. A Villager é acessível gratuitamente no PyPI, o que facilita ainda mais sua disseminação. A situação exige atenção, pois a automação de ataques pode aumentar a eficácia de ameaças persistentes e complexas no cenário global de cibersegurança.

O malware Backdoor.Win32.Buterat representa uma ameaça significativa para redes empresariais e governamentais, utilizando técnicas avançadas de furtividade e comunicação adaptativa para garantir controle a longo prazo sobre sistemas comprometidos. Diferente de malwares comuns que visam destruição rápida ou roubo massivo de dados, o Buterat foca na persistência encoberta e no acesso remoto, permitindo que operadores expandam sua presença, implantem cargas secundárias e coletem informações sensíveis sem serem detectados.

Após ser entregue, geralmente por meio de e-mails de spear-phishing ou downloads de software comprometido, o Buterat inicia sua execução em um ponto de entrada oculto e disfarça suas threads sob processos legítimos do sistema. O uso de chamadas de API ofuscadas e a modificação de chaves de registro garantem que o malware permaneça ativo mesmo após reinicializações. Além disso, a comunicação com o servidor de comando e controle (C2) é criptografada, dificultando a detecção por sistemas de monitoramento de rede.

Em setembro de 2025, a Microsoft lançou uma atualização de segurança que corrige quatro falhas de elevação de privilégios no serviço Windows Defender Firewall, todas classificadas como importantes. As vulnerabilidades identificadas como CVE-2025-53808, CVE-2025-54104, CVE-2025-54109 e CVE-2025-54915 podem permitir que um atacante autenticado com privilégios elevados consiga acesso ao nível de Serviço Local, comprometendo a integridade do sistema. Três das falhas estão relacionadas a um erro de confusão de tipo, que ocorre quando um recurso é tratado como um tipo de dado diferente do que realmente é, levando à corrupção de memória. A exploração dessas falhas requer que o usuário esteja autenticado e pertença a um grupo restrito do Windows, o que limita a probabilidade de exploração, embora a gravidade das falhas ainda represente um risco significativo. A Microsoft recomenda que administradores e usuários apliquem as atualizações de setembro de 2025 imediatamente para mitigar esses riscos.

Pesquisadores de cibersegurança descobriram uma sofisticada campanha de malvertising que utiliza repositórios oficiais do GitHub para distribuir malware disfarçado como downloads do cliente GitHub Desktop. O ataque começa quando atores de ameaças ‘forkam’ repositórios legítimos do GitHub, inserindo conteúdo malicioso em arquivos README.md. Links manipulados direcionam os usuários para esses repositórios comprometidos, onde encontram uma página que parece ser a oficial do GitHub Desktop. No entanto, o link de download leva a um instalador malicioso, identificado como GitHubDesktopSetup-x64.exe, que inicia uma cadeia de execução complexa envolvendo processos legítimos do Windows para evitar a detecção. O malware utiliza técnicas de evasão sofisticadas, armazenando cargas úteis codificadas em mensagens de commit e executando scripts PowerShell maliciosos. A campanha é direcionada especificamente a sistemas Windows e demonstra como plataformas confiáveis podem ser abusadas para distribuir malware, destacando a necessidade de soluções robustas de detecção e resposta em endpoints e a importância da educação dos usuários sobre a verificação de fontes de download.

No cenário atual da cibersegurança, o modelo tradicional de testes de penetração, que fornece relatórios estáticos após meses de análise, já não é suficiente para acompanhar a velocidade do desenvolvimento de software e as ameaças em evolução. O Teste de Penetração como Serviço (PTaaS) surge como uma solução eficaz, oferecendo uma abordagem contínua e baseada em plataformas para testes de segurança. As melhores empresas de PTaaS em 2025 combinam a expertise de hackers éticos com a escalabilidade e transparência de plataformas SaaS, permitindo a descoberta de vulnerabilidades em tempo real, remediação simplificada e garantia contínua de segurança.

Desde o final de agosto de 2025, a Trend™ Research identificou um aumento global de malware disfarçado como aplicações legítimas de IA e produtividade, denominado EvilAI. Este malware utiliza trojans que se apresentam com interfaces realistas e funcionalidades válidas, permitindo a infiltração em sistemas corporativos e pessoais sem levantar suspeitas. Os instaladores do EvilAI são nomeados com termos genéricos, como ‘App Suite’ e ‘PDF Editor’, e, após a instalação, executam um payload JavaScript malicioso em segundo plano. Para garantir a persistência, o malware cria tarefas agendadas e entradas no registro do Windows, permitindo sua reexecução mesmo após reinicializações.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade crítica no software DELMIA Apriso da Dassault Systèmes em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A falha, identificada como CVE-2025-5086, possui uma pontuação CVSS de 9.0, indicando um alto nível de risco. O problema afeta versões do software desde 2020 até 2025 e pode permitir a execução remota de código, resultando em sérios riscos de segurança. A CISA alertou que tentativas de exploração estão ativas, com ataques originando-se de um endereço IP localizado no México. Os ataques envolvem o envio de uma solicitação HTTP a um endpoint específico, utilizando um payload codificado em Base64 que se decodifica para um executável malicioso. O malware identificado como ‘Trojan.MSIL.Zapchast.gen’ é projetado para espionar atividades do usuário, coletando informações sensíveis. Diante da exploração ativa, as agências do governo dos EUA foram orientadas a aplicar atualizações até 2 de outubro de 2025 para proteger suas redes.

Pesquisadores de cibersegurança identificaram uma nova variante de ransomware chamada HybridPetya, que se assemelha ao famoso malware Petya/NotPetya, mas com a capacidade de contornar o mecanismo Secure Boot em sistemas UEFI. A empresa ESET, da Eslováquia, revelou que amostras do malware foram enviadas à plataforma VirusTotal em fevereiro de 2025. O HybridPetya criptografa a Master File Table (MFT), que contém metadados cruciais sobre arquivos em partições formatadas em NTFS. Diferente de suas versões anteriores, ele instala um aplicativo EFI malicioso na partição do sistema EFI, permitindo a criptografia da MFT. O ransomware possui dois componentes principais: um bootkit e um instalador, sendo o bootkit responsável por verificar o status de criptografia e executar o processo de criptografia. Caso o sistema já esteja criptografado, uma nota de resgate é apresentada ao usuário, exigindo o pagamento de $1.000 em Bitcoin. Embora não haja evidências de que o HybridPetya esteja sendo utilizado ativamente, a descoberta destaca a crescente complexidade e sofisticação dos ataques de ransomware, especialmente em relação a sistemas UEFI. A ESET também observou que variantes do HybridPetya exploram vulnerabilidades conhecidas, como a CVE-2024-7344, que permite a execução remota de código e a violação do Secure Boot.

A Apple notificou usuários na França sobre uma campanha de spyware que visa dispositivos vinculados a contas do iCloud. O alerta foi emitido em 3 de setembro de 2025, sendo a quarta notificação do ano, com alertas anteriores em março, abril e junho. O CERT-FR (Computer Emergency Response Team da França) informou que esses ataques complexos têm como alvo indivíduos de destaque, como jornalistas, advogados e políticos. A situação se agrava após a descoberta de uma falha de segurança no WhatsApp que foi combinada com um bug no iOS, permitindo ataques de zero-click. A Apple introduziu uma nova funcionalidade de segurança chamada Memory Integrity Enforcement (MIE) para combater vulnerabilidades de corrupção de memória. Um relatório do Atlantic Council revelou um aumento significativo no número de investidores dos EUA em tecnologias de spyware, com 31 novos investidores em um ano, superando outros países como Israel e Itália. O relatório destaca a crescente importância de corretores e vendedores no mercado de spyware, que agora detêm uma fatia de mercado maior do que antes.

A Alemanha e Luxemburgo se juntaram a um crescente grupo de países que se opõem ao projeto de lei controverso que propõe a varredura obrigatória de mensagens privadas em busca de material de abuso sexual infantil (CSAM). O projeto, conhecido como ‘Chat Control’, exige que serviços de mensagens na Europa escaneiem chats, mesmo que criptografados, para identificar conteúdos conhecidos e desconhecidos relacionados a CSAM. O escaneamento deve ocorrer diretamente nos dispositivos antes da criptografia das mensagens, o que levanta preocupações sobre a privacidade e segurança das comunicações dos cidadãos. O governo alemão, que anteriormente apoiava a criptografia, agora expressa resistência a quebrar essa proteção, destacando que a introdução de ‘backdoors’ para facilitar a vigilância pode resultar em vulnerabilidades de segurança. O debate sobre a proposta está se intensificando, com 15 países da UE apoiando a medida, enquanto oito, incluindo Alemanha e Luxemburgo, se opõem. A decisão da Alemanha pode influenciar significativamente o resultado das votações futuras sobre o projeto.

A Apple emitiu notificações de alta confiança alertando usuários sobre ataques de spyware mercenário, que utilizam recursos estatais e ferramentas de vigilância sofisticadas para comprometer dispositivos individuais. Esses ataques são direcionados a um pequeno grupo de alvos específicos, como jornalistas, ativistas e figuras políticas, e se distinguem por seu alto custo e evolução rápida. A Apple já notificou usuários em mais de 150 países desde 2021, utilizando banners de alerta e comunicações via e-mail e iMessage. As notificações incluem recomendações de segurança, como ativar o Modo de Bloqueio, que limita severamente a funcionalidade do dispositivo para mitigar vetores de ataque. A Apple enfatiza que suas comunicações nunca solicitarão senhas ou links, preservando a integridade do alerta. Para assistência adicional, a Apple recomenda o uso da Digital Security Helpline da Access Now, que oferece suporte de segurança em emergências. Mesmo usuários que não receberam alertas, mas suspeitam de serem alvos, são aconselhados a ativar o Modo de Bloqueio. Além disso, todos os usuários da Apple devem manter defesas básicas robustas, como atualizações de software e autenticação de dois fatores.

A Microsoft anunciou um plano de descontinuação do suporte ao VBScript no Windows, alertando os desenvolvedores sobre a necessidade de migrar seus projetos que dependem dessa tecnologia. O processo de descontinuação ocorrerá em três fases: a primeira, já em andamento até 2026 ou 2027, mantém o VBScript como um recurso habilitado por demanda, garantindo a funcionalidade dos projetos existentes. Na segunda fase, que deve começar em 2026 ou 2027, o VBScript será desativado por padrão, exigindo que os desenvolvedores o reativem manualmente, se necessário. A fase final, ainda sem data definida, eliminará completamente o VBScript das futuras versões do Windows, o que resultará na falha de chamadas VBA para scripts .vbs e referências a bibliotecas VBScript.RegExp. Para facilitar a transição, a Microsoft integrou classes RegExp nativamente no VBA a partir da versão 2508 do Office, permitindo que os desenvolvedores utilizem novas funcionalidades sem depender do VBScript. A empresa recomenda que os desenvolvedores comecem a adaptar seus códigos agora para evitar interrupções futuras.

Uma vulnerabilidade de segurança foi identificada no editor de código Cursor, que utiliza inteligência artificial. O problema ocorre porque a configuração de segurança chamada ‘Workspace Trust’ está desativada por padrão, permitindo que atacantes executem código arbitrário nos computadores dos usuários ao abrir repositórios maliciosos. A análise da Oasis Security destaca que, com essa configuração desativada, um arquivo malicioso ‘.vscode/tasks.json’ pode transformar a simples ação de abrir uma pasta em uma execução silenciosa de código malicioso. Isso pode resultar em vazamento de credenciais sensíveis ou comprometer todo o sistema do usuário. Para mitigar esse risco, os usuários devem ativar o ‘Workspace Trust’, abrir repositórios não confiáveis em editores de código alternativos e realizar auditorias antes de usar o Cursor. Além disso, a pesquisa aponta que a segurança em ferramentas de desenvolvimento baseadas em IA enfrenta desafios adicionais, como injeções de prompt e vulnerabilidades clássicas, que ampliam a superfície de ataque. A situação é preocupante, pois a segurança deve ser uma prioridade em um ambiente de desenvolvimento cada vez mais dependente de IA.

O cenário de segurança para aplicações nativas da nuvem está passando por uma transformação significativa, impulsionada pela adoção crescente de tecnologias como containers, Kubernetes e serverless. Embora essas inovações acelerem a entrega de software, também ampliam a superfície de ataque, tornando os modelos de segurança tradicionais inadequados. Em 2025, a visibilidade em tempo de execução (runtime visibility) se destaca como uma capacidade essencial para as plataformas de proteção de aplicações nativas da nuvem (CNAPPs). Essa abordagem permite que as equipes de segurança identifiquem e priorizem ameaças reais, evitando a armadilha de falsos positivos. A integração da inteligência artificial (IA) nesse contexto também se mostra promissora, ajudando a correlacionar sinais de diferentes domínios e a acelerar a resposta a incidentes. Além disso, a responsabilidade compartilhada entre equipes de segurança e desenvolvimento é crucial para garantir que as vulnerabilidades sejam tratadas de forma eficaz. A consolidação de ferramentas em uma única plataforma CNAPP é vista como inevitável para reduzir a fragmentação e melhorar a visibilidade do risco na nuvem. À medida que o uso de containers cresce, a segurança em tempo real, a assistência impulsionada por IA e plataformas unificadas se tornam essenciais para proteger as aplicações de forma eficaz.

Pesquisadores da Bitdefender alertaram sobre um novo malware sem arquivo, chamado EggStreme, que foi utilizado por um ator de ameaça chinês para atacar uma empresa militar nas Filipinas. O EggStreme é uma estrutura modular que permite acesso remoto, injeção de payloads, registro de teclas e espionagem persistente. O malware é composto por seis componentes principais, incluindo um carregador inicial que estabelece uma conexão reversa e um backdoor principal que suporta 58 comandos. A entrega do malware ocorre por meio de um arquivo DLL carregado lateralmente, que é ativado por executáveis confiáveis, permitindo que ele contorne controles de segurança. Embora a Bitdefender tenha tentado atribuir o ataque a grupos APT chineses conhecidos, não conseguiu estabelecer uma conexão clara, mas os objetivos do ataque se alinham com as táticas de espionagem cibernética frequentemente associadas a esses grupos. O ataque destaca a crescente preocupação com a segurança cibernética na região da Ásia-Pacífico, onde atores estatais têm se mostrado ativos em várias nações vizinhas, incluindo Vietnã e Taiwan.

Um recente incidente de cibersegurança levantou preocupações sobre a liberdade de imprensa no Quênia, após a descoberta de que o spyware FlexiSPY foi instalado secretamente em dispositivos de cineastas enquanto estavam sob custódia policial. A análise forense realizada pelo Citizen Lab da Universidade de Toronto revelou que os dispositivos, confiscados durante a prisão de quatro cineastas em 2 de maio de 2025, foram monitorados sem o seu conhecimento. Os cineastas, acusados de publicar informações falsas relacionadas a um documentário da BBC, foram liberados sem acusações, mas seus dispositivos permaneceram sob controle policial por 68 dias. O FlexiSPY é um software de vigilância comercial que permite acesso a mensagens, e-mails, redes sociais, gravação de chamadas e até mesmo ativação de microfones. A instalação do spyware foi considerada uma violação grave da privacidade e um ataque à liberdade de expressão, levando a Comissão para Proteger Jornalistas a exigir explicações das autoridades quenianas. O caso continua em andamento nos tribunais do Quênia, refletindo as crescentes ameaças à segurança digital enfrentadas por jornalistas em todo o mundo.

O teste de penetração interna é uma parte essencial da estratégia de cibersegurança, simulando uma violação a partir de dentro da rede. Em 2025, com o aumento do trabalho híbrido e ambientes complexos, a importância desse tipo de teste se intensifica. O objetivo principal é entender o que um atacante pode fazer uma vez que já está dentro da rede, uma vez que as defesas tradicionais, como firewalls, podem ser contornadas por ataques sofisticados. As dez melhores empresas de testes de penetração interna foram selecionadas com base em critérios como experiência, confiabilidade e riqueza de recursos. Entre elas, destacam-se a Rapid7, que combina inteligência de ameaças com testes manuais, e a Coalfire, que foca em conformidade com normas de segurança. Outras empresas, como Synack e CrowdStrike, oferecem abordagens inovadoras, como o modelo de Teste de Penetração como Serviço (PTaaS) e emulação de adversários, respectivamente. A escolha do serviço adequado pode ajudar as organizações a identificar e corrigir vulnerabilidades críticas, garantindo a proteção de dados sensíveis e a conformidade com regulamentações como a LGPD.

Em 1º de setembro de 2025, a Qrator.AntiDDoS conseguiu neutralizar um dos maiores ataques de negação de serviço distribuído (DDoS) da camada 7 já registrados, que envolveu 5,76 milhões de endereços IP únicos. O alvo foi uma organização do setor público, e o ataque ocorreu em duas ondas distintas. A primeira onda, com 2,8 milhões de dispositivos comprometidos, lançou um ataque de inundação HTTP, enquanto uma segunda onda, com cerca de 3 milhões de dispositivos, se juntou uma hora depois para intensificar o ataque. A Qrator bloqueou todos os IPs maliciosos, garantindo a continuidade dos serviços. Desde sua primeira aparição em março de 2025, a botnet cresceu rapidamente, com um aumento de 25% em três meses, sendo o Brasil o maior contribuinte, seguido por países como Vietnã e Estados Unidos. A botnet utiliza técnicas avançadas para contornar medidas de mitigação, ajustando dinamicamente os cabeçalhos das requisições e alternando entre ataques de alta intensidade e tráfego sustentado para esgotar os recursos dos servidores. Especialistas alertam que a rápida evolução dessa botnet exige que as organizações adotem estratégias de defesa em múltiplas camadas para se proteger contra esses ataques.

O AdaptixC2, um framework de pós-exploração de código aberto, tem sido utilizado em diversos ataques reais nos últimos meses. Pesquisadores da Unit 42 identificaram sua implementação em maio de 2025, revelando campanhas que combinam engenharia social e scripts gerados por IA para comprometer endpoints Windows. A arquitetura modular do AdaptixC2, junto com perfis de configuração criptografados e técnicas de execução sem arquivo, permite que os atacantes mantenham acesso persistente e oculto, evitando defesas tradicionais.

Em um mundo cada vez mais digitalizado, os ativos externos de uma organização, como websites e servidores públicos, são as principais portas de entrada para ataques cibernéticos. Um único ponto vulnerável pode resultar em vazamentos de dados ou ataques de ransomware. Para mitigar esses riscos, a realização de testes de penetração externos é essencial. Esses testes simulam ataques cibernéticos, permitindo que especialistas identifiquem e corrijam vulnerabilidades antes que possam ser exploradas por agentes maliciosos. O artigo destaca as dez melhores empresas de testes de penetração externos em 2025, que se destacam por combinar expertise humana com tecnologia avançada. As melhores práticas incluem testes contínuos, abordagens personalizadas e relatórios acionáveis que priorizam riscos de negócios. A lista inclui empresas como Offensive Security, Invicti e Cobalt, que oferecem serviços que vão desde testes pontuais até validações de segurança sob demanda. A necessidade de testes contínuos é enfatizada, dado que o cenário de ameaças cibernéticas está em constante evolução, tornando os testes anuais insuficientes.

O senador americano Ron Wyden solicitou à Comissão Federal de Comércio (FTC) que investigue a Microsoft por ’negligência cibernética grave’ que facilitou ataques de ransomware em infraestruturas críticas dos EUA, incluindo redes de saúde. A demanda surge após um ataque devastador ao sistema de saúde Ascension, que resultou no roubo de informações pessoais de 5,6 milhões de indivíduos. O ataque, atribuído ao grupo Black Basta, ocorreu quando um contratante clicou em um link malicioso no Bing, permitindo que os atacantes explorassem configurações inseguras do software da Microsoft. Wyden criticou a empresa por não impor senhas robustas e por continuar a suportar o algoritmo de criptografia RC4, considerado vulnerável. Apesar de a Microsoft ter anunciado melhorias de segurança e planos para descontinuar o suporte ao RC4, o senador argumenta que a falta de ações mais rigorosas expõe os clientes a riscos significativos. O artigo destaca a necessidade de um design de segurança mais rigoroso em plataformas de TI dominantes, especialmente quando estas são fundamentais para a infraestrutura nacional.

O Google anunciou que seus novos smartphones Pixel 10 suportam o padrão C2PA (Coalition for Content Provenance and Authenticity) para verificar a origem e a história de conteúdos digitais. Essa funcionalidade foi integrada aos aplicativos Pixel Camera e Google Photos, visando aumentar a transparência na mídia digital. As Credenciais de Conteúdo do C2PA são um manifesto digital assinado criptograficamente que fornece uma proveniência verificável para conteúdos digitais, como imagens e vídeos. O aplicativo de câmera do Pixel 10 alcançou o Nível de Garantia 2, a mais alta classificação de segurança definida pelo programa de conformidade do C2PA, sendo essa classificação atualmente exclusiva da plataforma Android. Além disso, os dispositivos Pixel 10 oferecem timestamps confiáveis gerados no próprio dispositivo, garantindo que as imagens capturadas possam ser confiáveis mesmo após a expiração do certificado. Essa inovação é possibilitada por uma combinação do chip de segurança Titan M2 e recursos de segurança integrados ao sistema operacional Android. O Google enfatiza que as Credenciais de Conteúdo do C2PA são um passo importante para aumentar a transparência e a confiança na mídia digital, especialmente em um contexto onde a inteligência artificial está cada vez mais presente na criação de conteúdos.

A Jaguar Land Rover (JLR), subsidiária da Tata Motors, confirmou um ciberataque que resultou no vazamento de dados internos, paralisando suas fábricas e fechando lojas por tempo indeterminado. O incidente, que começou em 2 de setembro, teve um impacto significativo na produção de veículos da empresa. A JLR está investigando o caso com o apoio do Centro Nacional de Ciber Segurança do Reino Unido (NCSC) e notificou as autoridades sobre o vazamento. Embora a investigação continue, a empresa ainda não conseguiu identificar um grupo cibercriminoso específico responsável pelo ataque. Um grupo chamado Scattered Lapsus$ Hunters alegou ter realizado a invasão, compartilhando capturas de tela do sistema interno da JLR e afirmando ter implantado ransomwares. Este grupo é associado a outros cibercriminosos conhecidos por extorquir empresas. A JLR não confirmou a veracidade das alegações do grupo. O incidente destaca a crescente sofisticação dos ataques cibernéticos e a necessidade de vigilância constante na proteção de dados corporativos.

Pesquisadores de segurança alertam que o ransomware Akira está explorando uma vulnerabilidade antiga no SSLVPN da SonicWall, afetando firewalls das gerações Gen5, Gen6 e Gen7 que ainda não foram atualizados. Essa falha de controle de acesso inadequado foi descoberta e corrigida há mais de um ano, mas muitas organizações ainda não aplicaram o patch necessário. Além de atacar firewalls desatualizados, o Akira também se aproveita de configurações padrão do grupo LDAP e do acesso público ao Virtual Office Portal da SonicWall. Isso permite que usuários sem as permissões adequadas acessem o SSLVPN. Os especialistas da Rapid7 recomendam que as empresas troquem senhas de todas as contas SonicWall, configurem corretamente as políticas de autenticação multifator (MFA) e restrinjam o acesso ao Virtual Office Portal apenas a redes internas confiáveis. O Akira tem se mostrado ativo nos últimos dois anos, com um foco agressivo em dispositivos de borda, o que representa um risco significativo para as organizações que não tomarem medidas imediatas.

A LNER (London North Eastern Railway) confirmou um vazamento de dados de passageiros devido a uma intrusão cibernética não autorizada em arquivos de um fornecedor terceirizado. O incidente foi detectado em 9 de outubro de 2025 e imediatamente escalado para uma resposta de incidente de alto nível. A empresa destacou que os dados comprometidos não incluem informações financeiras ou de autenticação, limitando-se a nomes, endereços de e-mail, números de telefone e itinerários de viagens anteriores. A LNER enfatiza que isso minimiza o risco de fraudes financeiras ou de tomada de conta. O fornecedor envolvido está colaborando com especialistas em cibersegurança para investigar a fundo o incidente e implementar medidas de segurança adicionais. Os passageiros afetados foram aconselhados a ter cautela ao receber comunicações não solicitadas e a verificar a legitimidade de qualquer contato através dos canais oficiais da LNER. Apesar do incidente, a plataforma de bilhetagem e os serviços ferroviários da LNER permanecem operacionais e seguros, sem impacto nas operações ou na compra de bilhetes.

Uma vulnerabilidade crítica no plugin etcd do CoreDNS foi revelada, permitindo que atacantes com acesso de escrita a daemons etcd fixem entradas de cache DNS indefinidamente, interrompendo atualizações de serviço. A falha, identificada como GHSA-93mf-426m-g6x9, resulta de um uso inadequado de identificadores de lease do etcd como valores de tempo de vida (TTL), levando a durações de cache extremas que podem durar anos. Usuários do CoreDNS versão 1.2.0 e superiores devem atualizar para a versão 1.12.4 imediatamente para mitigar esse problema de alta severidade. O erro ocorre na função TTL() do arquivo plugin/etcd/etcd.go, onde um ID de lease de 64 bits é tratado como um inteiro sem sinal de 32 bits, resultando em valores de TTL extremamente altos. Isso faz com que resolvers e clientes armazenem respostas DNS por períodos muito além do esperado, ignorando mudanças legítimas de serviço. Para explorar a vulnerabilidade, um atacante precisa apenas de privilégios de escrita no etcd, que podem ser obtidos por meio de contas de serviço comprometidas ou configurações inadequadas. A atualização do CoreDNS corrige o cálculo do TTL e introduz limites configuráveis para evitar durações de cache excessivas. É recomendado que operadores de instâncias vulneráveis apliquem o patch imediatamente e revisem os controles de acesso do etcd.

Uma nova vulnerabilidade de alta severidade (CVE-2025-59052) foi descoberta na funcionalidade de renderização do lado do servidor (SSR) do Angular, colocando em risco dados de usuários. Essa falha permite que atacantes acessem informações de outras sessões durante operações de alta concorrência. O problema se origina de uma condição de corrida global no injetor da plataforma SSR do Angular, que armazena dados específicos de cada requisição durante a renderização. Quando múltiplas requisições são processadas simultaneamente, o estado do injetor global pode ser compartilhado ou sobrescrito, resultando em vazamento de dados entre requisições. Isso significa que dados sensíveis, como tokens de autenticação e configurações de usuários, podem ser inadvertidamente retornados a usuários não autorizados. A exploração da falha não requer privilégios especiais ou interação do usuário, tornando-a um risco significativo para aplicações web de alto tráfego. O Angular já lançou correções automáticas para as versões 18, 19 e 20, e recomenda que as equipes desativem o SSR ou removam lógica assíncrona de funções de bootstrap personalizadas até que as atualizações sejam implementadas.

O grupo de ransomware Akira tem intensificado seus ataques a dispositivos SonicWall, especialmente aqueles que utilizam a SSL VPN. A empresa de cibersegurança Rapid7 relatou um aumento nas intrusões envolvendo esses aparelhos, que se intensificaram após a reativação das atividades do grupo em julho de 2025. A SonicWall identificou que os ataques exploram uma vulnerabilidade de um ano (CVE-2024-40766, com pontuação CVSS de 9.3), onde senhas de usuários locais não foram redefinidas durante uma migração. A empresa recomenda que os clientes ativem o filtro de botnets e as políticas de bloqueio de contas para mitigar os riscos. Além disso, a SonicWall alertou sobre a configuração inadequada dos grupos de usuários padrão do LDAP, que pode permitir que contas comprometidas herdem permissões indevidas. O grupo Akira, que já afetou 967 vítimas desde sua criação em março de 2023, utiliza técnicas sofisticadas, como phishing e SEO, para disseminar malware e realizar operações de ransomware. As organizações são aconselhadas a rotacionar senhas, remover contas inativas e restringir o acesso ao portal Virtual Office. O Australian Cyber Security Centre também confirmou que o grupo está atacando organizações australianas vulneráveis através de dispositivos SonicWall.

A Norton VPN anunciou a adição do suporte para OpenVPN Data Channel Offload (DCO) em seu cliente VPN para Windows, uma atualização que promete dobrar a velocidade de conexão e reduzir a latência em até 15%. Essa funcionalidade, que transfere o processamento de criptografia do software para o hardware do computador, visa melhorar a eficiência e a experiência do usuário, especialmente em atividades como jogos e streaming. A implementação do DCO está disponível para novos usuários e será liberada para assinantes existentes nas próximas semanas, exigindo a atualização para a versão 25.8 ou superior do cliente. A Norton VPN se junta a um seleto grupo de provedores que oferecem essa tecnologia, incluindo ExpressVPN e Surfshark. Embora a Norton tenha sido criticada anteriormente por suas velocidades no OpenVPN, essa atualização pode melhorar sua posição no mercado, especialmente em comparação com concorrentes que já oferecem soluções de alta velocidade. Os usuários podem experimentar a Norton VPN através de um teste gratuito de 30 dias, com planos a partir de $3,33 por mês em um contrato anual.

A FastNetMon, uma das principais fornecedoras de soluções de detecção e mitigação de DDoS, anunciou que conseguiu identificar e mitigar um ataque de negação de serviço distribuído (DDoS) sem precedentes, gerando 1,5 bilhão de pacotes por segundo (Gpps) contra um grande fornecedor na Europa Ocidental. Este ataque, que começou nas primeiras horas de 8 de setembro de 2025, foi principalmente um ataque de inundação UDP, projetado para sobrecarregar a capacidade do alvo de processar pacotes, em vez de saturar a largura de banda. Os atacantes utilizaram uma botnet composta por mais de 11.000 dispositivos, incluindo roteadores domésticos e câmeras IP, que foram comprometidos devido a vulnerabilidades não corrigidas e credenciais padrão. Pavel Odintsov, fundador da FastNetMon, alertou sobre o crescente uso de dispositivos de consumo inseguros como ferramentas de ataque. O incidente destaca a necessidade de estratégias de mitigação especializadas, uma vez que ataques de alta taxa de pacotes podem explorar gargalos de processamento, exigindo detecções e respostas rápidas. A situação é um lembrete da crescente complexidade e sofisticação das ameaças cibernéticas atuais.

Pesquisadores de segurança da DomainTools identificaram uma nova onda de infraestrutura maliciosa associada ao ator de ameaça PoisonSeed, com 21 domínios registrados desde 1º de junho de 2025. A campanha visa principalmente clientes do SendGrid e ambientes empresariais, representando uma continuação das operações de phishing sofisticadas semelhantes ao grupo de cibercrime SCATTERED SPIDER. Os domínios recém-descobertos seguem as táticas, técnicas e procedimentos (TTPs) estabelecidos pelo PoisonSeed, utilizando intersticiais de CAPTCHA falsos da Cloudflare para adicionar legitimidade antes de redirecionar as vítimas para páginas de coleta de credenciais. Os pesquisadores observaram que esses domínios maliciosos exibem dados falsificados de Ray ID da Cloudflare, imitando processos de verificação de segurança legítimos. A infraestrutura maliciosa demonstra padrões de registro e hospedagem consistentes com campanhas anteriores do PoisonSeed, sendo todos os domínios registrados através do NiceNIC International Group Co. e hospedados em endereços IP específicos. A análise sugere que as operações do PoisonSeed podem estar conectadas ao coletivo de cibercrime “The Com”, que inclui jovens envolvidos em ataques motivados financeiramente desde 2022. Organizações que utilizam SendGrid devem implementar monitoramento aprimorado para solicitações de autenticação suspeitas e verificar comunicações através de canais oficiais antes de fornecer credenciais.

Pesquisadores do Zscaler ThreatLabz identificaram uma campanha de malware sofisticada que visa usuários de língua chinesa desde maio de 2025, introduzindo uma nova família de Trojans de Acesso Remoto (RAT) chamada kkRAT. Os atacantes utilizam sites de phishing hospedados no GitHub Pages, disfarçando-se como instaladores de software legítimos para distribuir arquivos ZIP maliciosos. Esses arquivos contêm um executável benigno e uma DLL maliciosa que carrega o payload final, que pode ser ValleyRAT, FatalRAT ou kkRAT, dependendo do caso.

Uma vulnerabilidade crítica de execução remota de código (RCE) foi identificada no Cursor AI Code Editor, permitindo que atacantes executem comandos arbitrários na máquina de um desenvolvedor assim que uma pasta de projeto é aberta. Descoberta pela equipe de pesquisa da Oasis Security, a falha explora uma configuração padrão do Cursor que desativa o recurso ‘Workspace Trust’, semelhante ao do Visual Studio Code, mas que não solicita consentimento do usuário. Com isso, um invasor pode criar um repositório malicioso contendo um arquivo .vscode/tasks.json configurado para executar comandos automaticamente ao abrir a pasta comprometida. Isso pode resultar na instalação de backdoors, exfiltração de arquivos ou modificação de configurações do sistema, colocando em risco credenciais de alto privilégio armazenadas nas estações de trabalho dos desenvolvedores. A vulnerabilidade pode ser um ponto de partida para ataques em cadeia, comprometendo pipelines de CI/CD e infraestrutura em nuvem. A Cursor reconheceu o problema e planeja publicar orientações de segurança atualizadas, enquanto recomenda-se que equipes de desenvolvimento ativem manualmente o ‘Workspace Trust’ e evitem abrir repositórios não confiáveis em ambientes isolados.

Pesquisadores de cibersegurança revelaram uma nova campanha que utiliza o software legítimo ConnectWise ScreenConnect para distribuir um loader que instala um trojan de acesso remoto (RAT) chamado AsyncRAT. O ataque começa com o uso do ScreenConnect para obter acesso remoto, seguido pela execução de um loader em VBScript e PowerShell que busca componentes ofuscados em URLs externas. Esses componentes incluem assemblies .NET codificados que se descompactam em AsyncRAT, mantendo persistência através de uma tarefa agendada disfarçada de ‘Skype Updater’.

Pesquisadores de cibersegurança revelaram duas campanhas de malvertising que distribuem extensões de navegador falsas para roubar dados sensíveis. A primeira campanha, identificada pela Bitdefender, promove uma extensão chamada SocialMetrics Pro, que promete desbloquear o selo de verificação azul no Facebook e Instagram. No entanto, essa extensão coleta cookies de sessão do Facebook e os envia para um bot no Telegram dos atacantes. Além disso, variantes da extensão utilizam esses cookies para acessar a API do Facebook Graph, potencialmente extraindo informações adicionais das contas.

A Apple apresentou uma nova tecnologia de segurança chamada Memory Integrity Enforcement (MIE) nos iPhones 17 e Air, que visa proteger a memória dos dispositivos contra ataques de spyware e outras ameaças críticas. Essa inovação é parte do design dos chips A19 e A19 Pro, permitindo que a proteção ocorra sem comprometer o desempenho do aparelho. O MIE é baseado em alocadores de memória seguros e na Extensão de Marcação de Memória Avançada (EMTE), que ajuda a bloquear acessos não autorizados à memória adjacente, evitando vulnerabilidades como o uso após liberação (use-after-free). Essa tecnologia é uma evolução da Extensão de Marcação de Memória (MTE) desenvolvida pela Arm em 2019, que já é utilizada em dispositivos Android e no Windows 11. A Apple busca, assim, fortalecer a segurança de seus dispositivos contra grupos maliciosos que utilizam spyware mercenários para invadir celulares. A implementação do MIE representa um avanço significativo na proteção dos dados dos usuários e na integridade dos sistemas operacionais dos novos iPhones.

O Sapphos, um aplicativo de relacionamento voltado exclusivamente para mulheres, foi retirado do ar após apenas 48 horas de funcionamento devido a uma grave falha de segurança. A vulnerabilidade, identificada por um usuário no Twitter, permitia o acesso não autorizado a dados pessoais das usuárias, incluindo CPF e data de nascimento. A falha, classificada como IDOR (Insecure Direct Object Reference), expôs identificadores diretos sem a devida verificação de permissão. As desenvolvedoras do aplicativo, que era operado por uma equipe feminina, admitiram o erro e garantiram que todos os dados das usuárias foram deletados, além de prometerem reembolsos para assinantes. O aplicativo, que chegou a ter 17 mil usuárias, estava em versão beta e não teve dados vazados, mas acessados indevidamente. As responsáveis abriram boletins de ocorrência e planejam desenvolver uma nova versão do aplicativo com segurança aprimorada.

O artigo da TechRadar destaca falhas de segurança alarmantes na Restaurant Brands International (RBI), controladora de marcas como Burger King, Tim Hortons e Popeyes. Dois hackers éticos, conhecidos como BobDaHacker e BobTheShoplifter, demonstraram como conseguiram acessar sistemas críticos da empresa com facilidade. Entre as descobertas, estavam senhas hard-coded em sites e credenciais fracas, como a senha ‘admin’ em sistemas de tablets de drive-thru. Essas falhas permitiram o acesso a contas de funcionários, configurações internas e até gravações de áudio de pedidos, que continham informações pessoais dos clientes. Apesar de a RBI ter corrigido as vulnerabilidades após ser informada, a falta de reconhecimento público aos hackers levanta questões sobre a aprendizagem e a implementação de melhores práticas de segurança. O artigo classifica a segurança da RBI como ‘catastrófica’, evidenciando a necessidade urgente de uma revisão nas políticas de cibersegurança da empresa, especialmente considerando o grande número de estabelecimentos que opera globalmente.

Uma campanha sofisticada de malware sem arquivo foi descoberta, utilizando o AsyncRAT, um poderoso Trojan de Acesso Remoto. Pesquisadores da LevelBlue detalharam a metodologia do ataque, que começa com um cliente ScreenConnect comprometido, um software legítimo de acesso remoto. Os atacantes estabelecem uma sessão interativa através de um domínio malicioso, executando um arquivo VBScript que aciona comandos PowerShell para baixar dois payloads externos.

Os payloads são carregados diretamente na memória, sem deixar vestígios em disco, utilizando técnicas de reflexão. A primeira etapa do malware, Obfuscator.dll, é responsável por inicialização, persistência e técnicas de evasão. A persistência é alcançada através de uma tarefa agendada disfarçada de “Skype Updater”. O segundo componente, AsyncClient.exe, implementa funcionalidades de comando e controle, realizando reconhecimento do sistema e coletando informações sensíveis, como dados de carteiras de criptomoedas. O uso de técnicas avançadas de evasão e a execução apenas em memória tornam o AsyncRAT uma ameaça significativa para a segurança cibernética, destacando a necessidade de soluções de segurança mais robustas.

Um grupo de ameaça persistente avançada (APT) da China foi responsabilizado pelo comprometimento de uma empresa militar nas Filipinas, utilizando um malware fileless inédito chamado EggStreme. Segundo a pesquisa da Bitdefender, o EggStreme é uma ferramenta multifásica que permite espionagem discreta, injetando código malicioso diretamente na memória e utilizando técnicas de DLL sideloading para executar cargas úteis. O componente central, EggStremeAgent, atua como um backdoor completo, permitindo reconhecimento extensivo do sistema, movimentação lateral e roubo de dados através de um keylogger.

Um novo ataque cibernético, denominado GhostAction, comprometeu mais de 3.300 chaves de acesso e credenciais no GitHub, conforme revelado pela empresa de segurança GitGuardian. O ataque, que começou a ser detectado em 2 de setembro de 2025, utiliza uma técnica que insere arquivos maliciosos no fluxo de trabalho do GitHub Actions, permitindo que os hackers leiam e enviem chaves de programação armazenadas em ambientes de projetos para servidores externos. Até o momento, foram identificados 817 repositórios afetados, abrangendo pacotes npm e PyPl, e comprometendo credenciais de serviços como AWS e Cloudflare. A GitGuardian notificou o GitHub e outras plataformas sobre a situação, e recomenda que os usuários afetados revoguem suas credenciais imediatamente para evitar a publicação de versões maliciosas de seus softwares. O ataque é semelhante a um incidente anterior, mas não há evidências de conexão entre eles. A situação destaca a vulnerabilidade da cadeia de abastecimento de software e a necessidade de vigilância constante por parte dos desenvolvedores e empresas que utilizam o GitHub.

A HackerOne confirmou que seu ambiente Salesforce foi comprometido após hackers explorarem uma vulnerabilidade no aplicativo Drift, fornecido pela Salesloft. O incidente foi inicialmente sinalizado pela Salesforce em 22 de agosto e confirmado pela Salesloft no dia seguinte, afetando um subconjunto de registros dentro do ambiente da HackerOne. A empresa assegurou que controles rigorosos de segmentação impediram a exposição de dados sensíveis de vulnerabilidades dos clientes. A equipe de segurança da HackerOne ativou imediatamente os protocolos de resposta a incidentes, colaborando com a Salesforce e a Salesloft para conter a intrusão e isolar a integração comprometida. A investigação preliminar revelou que os atacantes exploraram uma falha desconhecida no mecanismo de autenticação do Drift, permitindo o sequestro de sessões e acesso a dados adjacentes no CRM. Embora registros básicos de conta e informações de contato tenham sido expostos, dados críticos como códigos proprietários e relatórios de vulnerabilidade não foram afetados. A HackerOne está auditando todas as integrações existentes e implementou verificações adicionais para mitigar riscos futuros. Clientes afetados serão notificados diretamente, e um relatório detalhado do incidente será publicado após a conclusão da investigação.

Uma falha de segurança crítica foi identificada no ponto de acesso Bluetooth Amp’ed RF BT-AP 111, que expõe sua interface administrativa baseada em HTTP sem controles de autenticação. O dispositivo, que suporta até sete conexões Bluetooth simultâneas e oferece Universal Plug and Play (UPnP) em sua porta Ethernet, permite que qualquer dispositivo na mesma rede solicite o endpoint HTTP e visualize ou modifique configurações críticas. Essa vulnerabilidade, rastreada como CVE-2025-9994, permite que atacantes não autenticados alterem modos de emparelhamento Bluetooth, ajustem parâmetros de rede e até mesmo façam upload de firmware malicioso, comprometendo completamente o dispositivo. A ausência de autenticação contraria as diretrizes do NIST, que exigem controles de segurança para dispositivos Bluetooth. A situação é especialmente preocupante para organizações que utilizam o BT-AP 111 em ambientes mistos ou não confiáveis, pois isso pode permitir que atacantes estabeleçam pontos de acesso persistentes em redes corporativas. Até o momento, não há orientações de remediação ou atualizações de firmware disponíveis, e a recomendação é isolar os dispositivos em redes seguras e monitorar acessos HTTP.