Segurança De Software

A empresa de inteligência artificial Anthropic anunciou que seu novo modelo de linguagem, Claude Opus 4.6, identificou mais de 500 falhas de segurança de alta severidade em bibliotecas open-source, como Ghostscript, OpenSC e CGIF. Lançado em 6 de fevereiro de 2026, o modelo apresenta habilidades aprimoradas em revisão de código e depuração, além de melhorias em análises financeiras e criação de documentos. Segundo a Anthropic, o Claude Opus 4.6 é capaz de descobrir vulnerabilidades sem a necessidade de ferramentas específicas ou instruções detalhadas, analisando o código de forma semelhante a um pesquisador humano. Durante testes, a equipe de segurança da empresa validou cada falha encontrada, garantindo que não eram falsas. Entre as vulnerabilidades identificadas, destaca-se uma falha de buffer overflow no OpenSC e uma vulnerabilidade no CGIF que requer um entendimento do algoritmo LZW. A Anthropic enfatizou a importância de corrigir rapidamente as falhas conhecidas, especialmente em um cenário onde o uso de IA em fluxos de trabalho cibernéticos está se tornando mais comum. A empresa também se comprometeu a atualizar suas salvaguardas à medida que novas ameaças forem descobertas.

A SolarWinds divulgou atualizações de segurança para corrigir várias vulnerabilidades críticas em seu software Web Help Desk, incluindo quatro falhas que podem permitir a execução remota de código (RCE) e a bypass de autenticação. As vulnerabilidades, identificadas como CVE-2025-40536 a CVE-2025-40554, variam em severidade, com algumas apresentando pontuações CVSS de até 9.8, indicando um risco elevado. Entre as falhas, destacam-se a deserialização de dados não confiáveis, que pode permitir que atacantes não autenticados executem comandos no sistema alvo. A descoberta dessas vulnerabilidades foi creditada a especialistas de segurança, e a SolarWinds já lançou a versão WHD 2026.1 para mitigar os riscos. A empresa tem um histórico recente de correções de segurança, e a urgência em atualizar para a versão mais recente é enfatizada, dado que falhas anteriores foram exploradas ativamente. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) já havia incluído vulnerabilidades anteriores da SolarWinds em seu catálogo de Exploits Conhecidos, reforçando a necessidade de atenção imediata por parte dos usuários do software.

Pesquisadores de segurança identificaram uma vulnerabilidade crítica, chamada AR-Slip, na versão 4.4.0 da ferramenta MobSF, que permite a usuários autenticados sobrescrever arquivos arbitrários no sistema de arquivos do host. Essa falha, registrada como GHSA-9gh8-9r95-3fc3, resulta de uma validação insuficiente de nomes de arquivos absolutos durante a extração de bibliotecas estáticas. O problema ocorre quando a função ar_extract não verifica adequadamente se os caminhos são relativos, permitindo que um atacante sobrescreva arquivos críticos, como bancos de dados e arquivos de configuração. Para mitigar os riscos, os usuários devem atualizar para a versão 4.4.1, que corrige essa vulnerabilidade ao normalizar os nomes dos arquivos e garantir que os caminhos de extração permaneçam dentro do diretório designado. A exploração dessa vulnerabilidade pode levar a distorções de integridade, interrupções de serviço e até mesmo escalonamento de privilégios em sistemas mal configurados. Portanto, é crucial que as equipes de segurança implementem práticas de verificação rigorosas para evitar tais falhas no futuro.