Vulnerabilidade

Pesquisadores de segurança descobriram uma vulnerabilidade crítica no Cursor, um editor de código popular impulsionado por IA, que permite a atacantes executar código JavaScript arbitrário através de servidores Model Context Protocol (MCP) maliciosos. A falha explora a falta de verificação de integridade nas funcionalidades específicas do Cursor, ao contrário dos controles de segurança mais robustos do VS Code. Ao registrar um servidor MCP local, os atacantes conseguem contornar as proteções embutidas e injetar JavaScript malicioso diretamente no DOM do navegador. O ataque pode roubar credenciais ao substituir páginas de login legítimas por interfaces de phishing, coletando informações do usuário sem que ele perceba. Essa vulnerabilidade não se limita ao roubo de credenciais, pois permite que os atacantes realizem qualquer ação que o usuário possa executar, escalando privilégios e modificando componentes do sistema. A situação é alarmante, pois os servidores MCP operam com permissões amplas, tornando-se alvos atrativos para ameaças. Os desenvolvedores devem revisar cuidadosamente todos os servidores MCP e extensões antes da instalação e implementar camadas adicionais de segurança. As organizações devem monitorar o uso de servidores MCP e considerar soluções empresariais que ofereçam proteção contra ataques à cadeia de suprimentos.

A Cisco divulgou vulnerabilidades críticas de execução remota de código que afetam o Cisco Unified Contact Center Express (CCX), expondo organizações a riscos severos de segurança. O aviso detalha duas vulnerabilidades independentes no processo de Java Remote Method Invocation (RMI), que podem permitir que atacantes não autenticados obtenham controle total do sistema, incluindo privilégios de nível root. As falhas representam uma ameaça significativa para operações de contact center em todo o mundo, pois podem ser exploradas sem autenticação ou interação do usuário. A primeira vulnerabilidade permite o upload de arquivos arbitrários e a execução de comandos com permissões de root. A segunda permite que atacantes contornem mecanismos de autenticação na aplicação CCX Editor, criando a ilusão de acesso legítimo. Ambas as vulnerabilidades possuem pontuações CVSS de 9.8 e 9.4, respectivamente, indicando níveis críticos de severidade. A Cisco recomenda que as organizações que utilizam versões vulneráveis do CCX atualizem imediatamente para as versões corrigidas, uma vez que não existem alternativas de mitigação. A rápida remediação é essencial para proteger a infraestrutura crítica dos contact centers.

Uma grave vulnerabilidade zero-day no Fortinet FortiWeb está sendo ativamente explorada por cibercriminosos, permitindo acesso total a contas de administrador do firewall de aplicações web sem necessidade de autenticação. Essa falha de segurança afeta organizações globalmente que utilizam o FortiWeb para proteger suas aplicações web contra tráfego malicioso. A vulnerabilidade foi divulgada em 6 de outubro de 2025, após ser descoberta por pesquisadores da empresa Defused, que a identificaram em sua infraestrutura de honeypots. Testes realizados pela Rapid7 confirmaram a eficácia do exploit contra a versão 8.0.1 do FortiWeb, lançada em agosto de 2025, permitindo a criação de contas de administrador maliciosas. Embora a versão mais recente, 8.0.2, tenha mostrado respostas de ‘403 Forbidden’ durante tentativas de exploração, organizações que ainda operam versões anteriores enfrentam riscos significativos. A Fortinet ainda não forneceu orientações oficiais ou um identificador CVE para essa vulnerabilidade, o que levanta preocupações sobre sua abrangência. As organizações são aconselhadas a atualizar imediatamente para a versão 8.0.2 ou a remover interfaces de gerenciamento da exposição pública na internet.

Uma vulnerabilidade crítica de execução remota de código foi descoberta e corrigida no Imunify360 AV, um produto de segurança que protege aproximadamente 56 milhões de websites em todo o mundo. A falha, identificada em versões anteriores à v32.7.4.0, permite que atacantes executem comandos arbitrários em servidores vulneráveis, comprometendo completamente o ambiente de hospedagem. A vulnerabilidade se origina de uma lógica de desofuscação defeituosa que processa funções não confiáveis e cargas úteis extraídas de amostras de malware fornecidas por atacantes. O Imunify360 AV, que opera com privilégios de root por padrão, aumenta os riscos de escalonamento em ambientes de hospedagem compartilhada. A empresa-mãe, CloudLinux, não emitiu um aviso oficial sobre a segurança, embora a gravidade do problema tenha sido documentada em seu portal de suporte. Administradores que utilizam versões afetadas devem aplicar atualizações de segurança imediatamente ou, se não for possível, restringir o ambiente de execução. Este é o segundo incidente crítico de RCE no Imunify360, seguindo um evento semelhante em 2021.

Pesquisadores de cibersegurança alertam sobre uma vulnerabilidade de bypass de autenticação no Fortinet FortiWeb WAF, que pode permitir que atacantes assumam contas de administrador e comprometam completamente o dispositivo. A equipe watchTowr identificou a exploração ativa dessa vulnerabilidade, que foi silenciosamente corrigida na versão 8.0.2 do produto. A falha permite que atacantes realizem ações como usuários privilegiados, com foco na adição de novas contas de administrador como um mecanismo de persistência. A empresa conseguiu reproduzir a vulnerabilidade e criou uma prova de conceito, além de disponibilizar uma ferramenta para identificar dispositivos vulneráveis. O vetor de ataque envolve o envio de um payload específico via requisição HTTP POST para criar contas de administrador. Até o momento, a identidade do ator por trás dos ataques é desconhecida, e a Fortinet ainda não publicou um aviso oficial ou atribuiu um identificador CVE. A Rapid7 recomenda que organizações que utilizam versões anteriores à 8.0.2 do FortiWeb tratem a vulnerabilidade com urgência, já que a exploração indiscriminada sugere que dispositivos não corrigidos podem já estar comprometidos.

Uma vulnerabilidade crítica de negação de serviço foi identificada no software PAN-OS da Palo Alto Networks, permitindo que atacantes não autenticados reinicializem remotamente firewalls ao enviar pacotes maliciosos. Essa falha afeta as versões do PAN-OS em firewalls da série PA, da série VM e em implementações do Prisma Access, embora as instalações do Cloud NGFW não sejam impactadas. Os pesquisadores de segurança alertam que tentativas repetidas de reinicialização podem colocar os firewalls em modo de manutenção, desativando suas capacidades de proteção e expondo as organizações a ataques secundários. A Palo Alto Networks atribuiu uma pontuação CVSS de 8.7 a essa vulnerabilidade, classificando-a como de severidade média, mas com urgência moderada. A falha se origina de verificações inadequadas para condições excepcionais e requer que as organizações afetadas atualizem para versões corrigidas do software. A empresa não encontrou evidências de exploração ativa até o momento, mas recomenda que as atualizações sejam priorizadas para restaurar a resiliência dos firewalls e evitar possíveis ataques de negação de serviço.

Uma vulnerabilidade crítica de Cross-Site Scripting (XSS) foi identificada nas plataformas Citrix NetScaler ADC e Gateway, afetando milhares de organizações globalmente. Classificada como CVE-2025-12101, essa falha permite que atacantes injetem scripts maliciosos em páginas web servidas por instâncias vulneráveis do NetScaler, possibilitando o sequestro de sessões, roubo de credenciais e a instalação de malware. Pesquisadores de segurança relataram que a vulnerabilidade já está sendo explorada em ataques reais, especialmente em configurações vulneráveis. As versões afetadas incluem NetScaler ADC e Gateway 14.1 anteriores à 14.1-56.73 e 13.1 anteriores à 13.1-60.32, além de variantes FIPS e versões descontinuadas 12.1 e 13.0, que não recebem mais atualizações de segurança. A Cloud Software Group, responsável pela Citrix, recomenda que as organizações realizem a atualização imediata para versões seguras para mitigar os riscos. A vulnerabilidade foi atribuída uma pontuação CVSSv4 de 5.9, considerada de severidade média, mas que pode subestimar o impacto real devido à exploração ativa. A situação exige atenção urgente, especialmente de empresas que utilizam o NetScaler para autenticação e acesso remoto seguro.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade crítica no firewall WatchGuard Firebox, identificada como CVE-2025-9242. Essa falha, classificada como um erro de gravação fora dos limites (out-of-bounds write), permite que atacantes remotos e não autenticados explorem a vulnerabilidade sem necessidade de credenciais. A exploração dessa falha pode resultar em controle total sobre os dispositivos afetados, comprometendo a segurança da rede. A CISA incluiu essa vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas Exploited (KEV) após a confirmação de sua exploração ativa. A agência estabeleceu um prazo rigoroso até 3 de dezembro de 2025 para que as organizações implementem correções, enfatizando a urgência da situação. As organizações são aconselhadas a verificar a disponibilidade de patches e a revisar logs de firewall em busca de atividades suspeitas. Embora não tenham sido relatadas campanhas de ransomware explorando essa vulnerabilidade até o momento, a CISA alerta que a ausência de ataques não deve ser interpretada como segurança. A falha representa um risco significativo para a integridade da rede e a proteção de dados sensíveis.

Recentemente, a SAP lançou um patch crítico para corrigir vulnerabilidades significativas em seu SAP Solution Manager, que possui milhares de organizações usuárias. A falha, identificada como CVE-2025-42887, permite a injeção de código não autenticado, possibilitando que atacantes assumam o controle total do sistema. Com uma pontuação de severidade de 9.9/10, essa vulnerabilidade representa um risco elevado à confidencialidade, integridade e disponibilidade dos dados. Além disso, a SAP também corrigiu outra falha crítica, CVE-2024-42890, relacionada ao SQL Anywhere Monitor, que apresenta credenciais hardcoded, expondo recursos a usuários não autorizados. Os especialistas da SecurityBridge, que descobriram as falhas, alertam que a aplicação do patch deve ser feita imediatamente, já que a divulgação pública pode acelerar o desenvolvimento de exploits. A atualização foi parte do Patch Day de novembro de 2025, que abordou um total de 18 novas vulnerabilidades e atualizações de falhas já conhecidas.

A Microsoft divulgou uma atualização de segurança para corrigir uma vulnerabilidade crítica no Microsoft SQL Server, identificada como CVE-2025-59499. Classificada como uma falha de elevação de privilégios, essa vulnerabilidade possui um score CVSS de 8.8 e afeta diversas versões do SQL Server, incluindo 2022, 2019, 2017 e 2016. O problema decorre da neutralização inadequada de elementos especiais em comandos SQL, permitindo que atacantes com privilégios baixos criem nomes de banco de dados maliciosos que contenham caracteres de controle SQL. Isso pode resultar na execução de comandos T-SQL arbitrários, comprometendo o contexto de segurança do processo em execução. Se o processo estiver sob funções de alto privilégio, como sysadmin, o atacante pode obter controle administrativo total.

Uma nova vulnerabilidade 0-day no Kernel do Windows, identificada como CVE-2025-62215, está sendo ativamente explorada para escalonamento de privilégios. Publicada em 11 de novembro de 2025, a falha é classificada como importante e resulta da execução concorrente de código que utiliza um recurso compartilhado sem a devida sincronização, caracterizando uma condição de corrida. Além disso, a vulnerabilidade envolve gerenciamento inadequado de memória, criando um cenário de ‘double free’ que permite que atacantes escalem privilégios ao serem bem-sucedidos na exploração.

O Lite XL, um editor de texto leve amplamente utilizado por desenvolvedores, apresenta duas vulnerabilidades críticas que podem permitir a execução de código arbitrário em sistemas afetados. As falhas foram divulgadas em 11 de novembro de 2025 e afetam todas as versões anteriores à 2.1.8. A primeira vulnerabilidade, identificada como CVE-2025-12120, permite a execução automática de arquivos .lite_project.lua sem a confirmação do usuário, o que significa que abrir um projeto malicioso pode executar código não confiável com os mesmos privilégios do editor. A segunda falha, CVE-2025-12121, está relacionada à função legada system.exec, que constrói comandos de shell sem a devida sanitização, permitindo a execução de comandos arbitrários. Ambas as vulnerabilidades representam riscos significativos para desenvolvedores que trabalham com códigos não confiáveis, pois um ator malicioso pode injetar código em repositórios de código aberto ou enviar arquivos de projeto manipulados. Os usuários são aconselhados a atualizar imediatamente para versões que incluam correções de segurança, que implementam medidas de proteção e removem funções inseguras.

Pesquisadores de cibersegurança identificaram uma nova onda de ataques do grupo APT-C-08, também conhecido como BITTER, que utiliza uma vulnerabilidade de travessia de diretórios no WinRAR (CVE-2025-6218). Este grupo, vinculado a um estado do Sul da Ásia, é conhecido por suas campanhas de espionagem direcionadas a instituições governamentais, de defesa e acadêmicas. A falha, presente nas versões 7.11 e anteriores do WinRAR, permite que atacantes contornem limites normais de diretórios durante a extração de arquivos. Ao manipular caminhos de arquivos, os invasores conseguem extrair arquivos maliciosos em diretórios protegidos do sistema da vítima.

Uma vulnerabilidade crítica no gerenciador de arquivos Monsta FTP foi descoberta pela empresa de cibersegurança watchTowr, permitindo que hackers realizassem uploads de arquivos sem autenticação. Essa falha, identificada como CVE-2025-34299, possibilita a execução de códigos maliciosos em servidores web, afetando tanto usuários privados quanto instituições financeiras. A vulnerabilidade foi encontrada em versões anteriores à 2.10.4 e se mostrou grave, pois permitia que invasores salvassem arquivos em qualquer local do servidor, comprometendo a segurança de aproximadamente 5.000 sessões FTP disponíveis na internet. A Monsta FTP foi notificada em agosto de 2025 e lançou um patch de correção na versão 2.11.3, recomendando que todos os usuários atualizassem imediatamente para evitar invasões. A situação destaca a importância de manter softwares atualizados e a necessidade de vigilância constante em relação a vulnerabilidades conhecidas.

Uma vulnerabilidade zero-day na biblioteca de processamento de imagem do sistema Android da Samsung permitiu que hackers instalassem spywares em celulares da linha Galaxy, especialmente no Oriente Médio. O malware, denominado Landfall, foi identificado pela Unit 42 da Palo Alto Networks e é capaz de gravar conversas, monitorar a localização, tirar fotos e roubar contatos. A falha, classificada como CVE-2025-21042, foi explorada entre meados de 2024 e abril de 2025, quando a Samsung lançou um patch para corrigir o problema. O spyware era disseminado através de negativos digitais (DNG) enviados pelo WhatsApp, atingindo principalmente usuários no Iraque, Irã, Marrocos e Turquia. A descoberta do Landfall sugere uma possível coordenação com ataques semelhantes em dispositivos iOS, indicando que agentes privados ou governamentais podem estar por trás das atividades maliciosas. A situação é alarmante, pois o malware é otimizado para dispositivos de alta gama da Samsung, como os modelos Galaxy S22, S23 e S24, e possui capacidades avançadas de reconhecimento e evasão.

A Synology divulgou uma atualização crítica para corrigir uma vulnerabilidade severa no BeeStation OS, identificada durante o evento PWN2OWN 2025. A falha, classificada como CVE-2025-12686, permite que atacantes remotos executem código arbitrário sem necessidade de autenticação ou interação do usuário, representando uma ameaça imediata para os dispositivos afetados. Essa vulnerabilidade é resultado de uma fraqueza de buffer overflow no sistema operacional, que possibilita a violação de limites de rede e a comprometimento de sistemas. Com uma pontuação CVSS de 9.8, a vulnerabilidade exige ação imediata dos usuários, pois a exploração bem-sucedida concede controle total sobre os sistemas BeeStation, permitindo o roubo de dados sensíveis e a movimentação lateral na rede. Todas as versões do BeeStation OS, de 1.0 a 1.3, estão vulneráveis, e a Synology recomenda que os usuários atualizem para a versão 1.3.2-65648 ou superior. A atualização unificada corrige a falha em todas as versões afetadas, e é crucial que os usuários verifiquem imediatamente a versão do seu sistema e apliquem o patch. Além disso, é aconselhável monitorar atividades suspeitas, especialmente se houver suspeita de comprometimento antes da atualização.

Pesquisadores de cibersegurança da Mandiant descobriram uma vulnerabilidade crítica de zero-day na plataforma de compartilhamento de arquivos Triofox, da Gladinet, identificada como CVE-2025-12480. Desde 24 de agosto de 2025, o grupo de ameaças UNC6485 tem explorado essa falha para contornar controles de autenticação e executar códigos maliciosos com acesso em nível de sistema. O ataque ocorre em duas etapas: inicialmente, os invasores manipulam os cabeçalhos HTTP para se apresentarem como ’localhost’, permitindo acesso não autorizado a páginas de configuração restritas. A vulnerabilidade reside na função CanRunCriticalPage(), que não valida corretamente a origem das requisições. Após obter acesso, os atacantes criam uma conta de administrador e exploram uma segunda fraqueza no antivírus embutido do Triofox, redirecionando o caminho do scanner para um script malicioso. Isso resulta na execução automática do payload malicioso com privilégios de conta SYSTEM. A Mandiant identificou a intrusão em apenas 16 minutos, alertando para a necessidade de atualização imediata para a versão 16.7.10368.56560 ou posterior. As equipes de segurança devem auditar contas de administrador e monitorar tráfego SSH incomum para detectar compromissos em andamento.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma vulnerabilidade crítica de execução remota de código (RCE) que afeta dispositivos móveis da Samsung. A falha, localizada na biblioteca libimagecodec.quram.so, permite que atacantes contornem restrições normais de memória e injetem código arbitrário nos dispositivos. Isso possibilita que invasores obtenham controle total sobre os smartphones afetados, sem necessidade de interação do usuário. A vulnerabilidade é classificada como CWE-787 (Escrita Fora dos Limites) e está sendo ativamente explorada em ataques, embora a extensão e os atores específicos ainda estejam sob investigação. A CISA recomenda que os usuários apliquem imediatamente os patches de segurança disponibilizados pela Samsung e, para aqueles que não puderem aplicar as atualizações, é aconselhável interromper o uso dos dispositivos afetados até que as correções estejam disponíveis. A Samsung foi notificada e deve liberar atualizações de segurança através de seus canais habituais. Este incidente ressalta os riscos contínuos associados à segurança de dispositivos móveis e a importância de manter os dispositivos atualizados.

Pesquisadores da Check Point Research identificaram uma falha crítica no Microsoft Teams, conhecida como CVE-2024-38197, que permite a hackers falsificarem identidades e manipularem conversas. A vulnerabilidade foi reportada à Microsoft em março de 2024, mas a correção só foi implementada em outubro de 2025. Durante esse período, criminosos conseguiram alterar mensagens e notificações na plataforma, enganando usuários e comprometendo a segurança das comunicações corporativas. As táticas incluíam a edição de mensagens sem deixar rastros, o que dificultava a detecção de fraudes. Além disso, hackers podiam se passar por executivos e enviar notificações falsas, aumentando o risco de vazamento de informações sensíveis. Para mitigar esses riscos, as empresas devem adotar medidas de segurança, como a educação digital dos funcionários e a ativação da autenticação multifator. A falha representa um sério risco para a integridade das comunicações empresariais, especialmente em um ambiente onde o Teams é amplamente utilizado para interações corporativas.

Uma vulnerabilidade crítica de execução remota de código (RCE) foi identificada na biblioteca expr-eval, amplamente utilizada para avaliação de expressões matemáticas e processamento de linguagem natural (NLP). A falha, registrada como CVE-2025-12735, permite que atacantes executem comandos de sistema no ambiente do servidor, comprometendo a segurança de aplicações que processam entradas de usuários. Essa vulnerabilidade é especialmente preocupante para organizações que utilizam essa biblioteca em ambientes de produção, pois pode resultar em acesso não autorizado a recursos sensíveis e exfiltração de dados. A falha decorre de um erro de design no método evaluate() da classe Parser, permitindo que funções arbitrárias sejam definidas no contexto do parser. Para mitigar os riscos, as organizações devem auditar suas dependências e aplicar patches imediatamente. As opções incluem a aplicação de um patch específico ou a atualização para versões corrigidas da biblioteca. A rápida implementação dessas correções é crucial para evitar a exploração generalizada da vulnerabilidade. O pesquisador de segurança Jangwoo Choe divulgou a questão de forma responsável, colaborando com GitHub e npm para garantir um relato adequado e tempo suficiente para as correções.

A Allianz UK é a mais recente organização a ser alvo de um ataque cibernético, explorando uma vulnerabilidade crítica no Oracle E-Business Suite (EBS). Os atacantes conseguiram acesso ao sistema EBS da empresa, que gerencia produtos de seguros pessoais, como automóveis e residências. Embora a Allianz UK tenha confirmado a violação, não comentou sobre possíveis demandas de extorsão do grupo criminoso Clop. A empresa notificou o Information Commissioner’s Office, mas o regulador ainda não reconheceu publicamente a reclamação. Este incidente é distinto de um ataque anterior que afetou a Allianz Life, sua subsidiária americana, que comprometeu dados de 1,4 milhão de clientes em julho. A vulnerabilidade, identificada como CVE-2025-61882, possui uma pontuação crítica de 9.8 no CVSS e, segundo pesquisadores do Google, dezenas de organizações podem ter sido afetadas. O grupo Clop, conhecido por sua sofisticação, já havia se destacado em campanhas anteriores, como o ataque MOVEit MFT, que afetou milhões de indivíduos e milhares de organizações. Este novo ataque evidencia a continuidade das campanhas de exploração de zero-day, que se tornaram comuns no cibercrime.

Três vulnerabilidades críticas no runc, o runtime de contêineres que suporta Docker e Kubernetes, foram divulgadas por um pesquisador da SUSE em 5 de novembro de 2025. As falhas, identificadas como CVE-2025-31133, CVE-2025-52565 e CVE-2025-52881, permitem que atacantes contornem o isolamento de contêineres e obtenham acesso root aos sistemas host. Essas vulnerabilidades afetam versões conhecidas do runc e exploram fraquezas nas operações de montagem e nas proteções de arquivos durante a criação de contêineres. Os atacantes podem usar condições de corrida e manipulação de links simbólicos para contornar restrições de segurança, permitindo a escrita em arquivos críticos do sistema, o que pode levar a uma fuga de contêineres. É crucial que organizações que utilizam Docker, Kubernetes ou serviços que dependem do runc atualizem imediatamente para versões corrigidas (1.2.8, 1.3.3 ou 1.4.0-rc.3 e posteriores) para evitar compromissos de segurança. Além disso, recomenda-se a auditoria de ambientes implantados e a implementação de políticas rigorosas de escaneamento de imagens para detectar Dockerfiles maliciosos.

Uma vulnerabilidade crítica foi descoberta no Elastic Defend, um software de proteção de endpoint, que pode permitir que atacantes escalem privilégios em sistemas Windows. Identificada como CVE-2025-37735, a falha resulta de um manuseio inadequado das permissões de arquivos no serviço Defend. Quando o serviço é executado com privilégios de nível SYSTEM, ele não preserva corretamente as configurações de permissão originais, criando uma brecha que permite a usuários locais deletar arquivos arbitrários no sistema comprometido. Isso pode levar a uma escalada de privilégios, permitindo que um atacante com acesso limitado obtenha controle administrativo total da máquina afetada. A Elastic classificou a vulnerabilidade com um score CVSS de 7.0 (Alto), o que indica um risco significativo, especialmente em ambientes onde usuários locais têm acesso. As organizações são aconselhadas a atualizar imediatamente para as versões corrigidas 8.19.6, 9.1.6 ou 9.2.0, que implementam mecanismos adequados de preservação de permissões. Para aquelas que não podem atualizar imediatamente, a versão 24H2 do Windows 11 oferece mudanças arquitetônicas que dificultam a exploração dessa vulnerabilidade, servindo como uma medida de segurança temporária.

Uma vulnerabilidade crítica de execução remota de código foi identificada na biblioteca de serialização de checkpoints do LangGraph, afetando versões anteriores à 3.0. Essa falha permite que atacantes executem código Python arbitrário por meio da desserialização de payloads maliciosos. O problema reside no componente JsonPlusSerializer, que é o protocolo de serialização padrão para operações de checkpoint. Quando a serialização msgpack falha devido a valores Unicode ilegais, o sistema muda automaticamente para o modo JSON, que permite a reconstrução de objetos personalizados sem a devida validação, criando uma superfície de ataque. A LangGraph lançou a versão 3.0.0, que corrige a vulnerabilidade implementando um sistema de lista de permissão para a desserialização de construtores, restringindo os caminhos de código permitidos. A atualização é compatível com versões anteriores e não requer modificações no código. Dada a gravidade da vulnerabilidade e a facilidade de exploração, a atualização imediata é essencial para as organizações que utilizam o LangGraph.

Uma falha de segurança recentemente corrigida em dispositivos Android da Samsung foi explorada como um zero-day para implantar um spyware chamado LANDFALL em ataques direcionados no Oriente Médio. A vulnerabilidade, identificada como CVE-2025-21042, possui uma pontuação CVSS de 8.8 e permite que atacantes remotos executem código arbitrário. A falha foi corrigida pela Samsung em abril de 2025, após relatos de ataques em andamento. Os alvos estão localizados em países como Iraque, Irã, Turquia e Marrocos. O spyware LANDFALL, uma ferramenta de espionagem avançada, coleta dados sensíveis, como gravações de microfone, localização, fotos, contatos e mensagens. Os ataques foram realizados através do envio de imagens maliciosas via WhatsApp, utilizando arquivos DNG. Além disso, outra vulnerabilidade na mesma biblioteca foi identificada, mas não foi utilizada na campanha LANDFALL. A análise sugere que o spyware se comunica com um servidor de comando e controle para receber novas instruções. A origem do spyware ainda é desconhecida, mas há indícios de conexão com o grupo Stealth Falcon. Este caso destaca a complexidade das ameaças cibernéticas e a necessidade de vigilância contínua.

Uma vulnerabilidade crítica foi identificada no cliente Amazon WorkSpaces para Linux, afetando as versões de 2023.0 a 2024.8, conforme o CVE-2025-12779. Essa falha permite que usuários maliciosos em sistemas compartilhados extraiam tokens de autenticação válidos, possibilitando acesso não autorizado a sessões de trabalho de outros usuários. A Amazon emitiu um comunicado de segurança em 5 de novembro de 2025, alertando sobre a gravidade do problema e recomendando a atualização imediata para a versão 2025.0 ou superior. A vulnerabilidade é particularmente preocupante em ambientes multiusuários, onde um atacante pode obter controle total sobre o espaço de trabalho de outra pessoa, comprometendo dados sensíveis e recursos associados. A Amazon encerrou o suporte para as versões afetadas, exigindo que as organizações realizem a atualização sem demora. As equipes de segurança devem auditar suas implementações do WorkSpaces e priorizar a atualização em ambientes de alto risco, além de revisar logs de acesso para identificar tentativas suspeitas de extração de tokens durante o período vulnerável.

Uma vulnerabilidade crítica no Windows, identificada como CVE-2025-9491, tem sido explorada por cibercriminosos nos últimos oito anos, levantando preocupações sobre a segurança do sistema operacional. Essa falha, que afeta o processamento de arquivos LNK, permite que hackers disseminem malware, como trojans de acesso remoto, através de ataques de phishing. Recentemente, um grupo de cibercriminosos tem direcionado suas ações a diplomatas em países europeus, como Bélgica, Hungria e Itália, utilizando essa vulnerabilidade para espionagem digital. Apesar de a Microsoft ter sido informada sobre a falha, não há indícios de que a empresa esteja trabalhando em uma correção, o que gera incertezas sobre a segurança dos usuários. Enquanto isso, recomenda-se que os usuários permaneçam vigilantes quanto a e-mails suspeitos e evitem abrir arquivos LNK de remetentes desconhecidos. A situação é alarmante, especialmente considerando a crescente sofisticação dos ataques digitais e a necessidade de proteção robusta em um cenário de ameaças cibernéticas em evolução.

Uma falha crítica foi identificada no tema JobMonster do WordPress, que afeta mais de 5.500 sites. A vulnerabilidade, classificada como CVE-2025-5397, possui uma pontuação de gravidade de 9.8 e permite que hackers acessem contas de administrador sem a devida autenticação. A falha se torna explorável quando a função de login social está ativada, permitindo que invasores se façam passar por usuários legítimos. Para mitigar os riscos, é recomendado que os administradores atualizem imediatamente para a versão 4.8.2 do tema ou desativem a função de login social. Além disso, a autenticação em dois fatores e a troca de senhas são medidas essenciais para aumentar a segurança. A Wordfence, empresa de segurança, já registrou uma onda de ataques utilizando essa vulnerabilidade, o que destaca a necessidade urgente de ações corretivas. O WordPress tem enfrentado um aumento nas tentativas de exploração de suas vulnerabilidades, o que torna a situação ainda mais crítica para os usuários da plataforma.

Uma vulnerabilidade crítica, identificada como CVE-2025-8671 e chamada de “MadeYouReset”, foi descoberta em implementações do protocolo HTTP/2, permitindo que atacantes realizem ataques de negação de serviço (DoS) em larga escala. Essa falha surge de uma discrepância entre as especificações do protocolo e a forma como servidores web reais lidam com o cancelamento de streams. Quando um cliente solicita um reset de stream através de frames malformados, o protocolo considera o stream fechado, mas os servidores continuam processando a solicitação. Isso permite que atacantes abram e resetem streams rapidamente, forçando os servidores a lidar com um número excessivo de requisições simultâneas, enquanto o sistema de contagem do protocolo permanece artificialmente baixo.

Em um ataque significativo ao ecossistema DeFi, a Check Point Research revelou que contratos do ComposableStablePool da Balancer V2 foram explorados em 3 de novembro de 2025, resultando no roubo de $128,64 milhões em menos de 30 minutos. Os atacantes aproveitaram uma falha sutil de precisão aritmética na lógica de invariantes da pool da Balancer, transformando um erro de arredondamento em uma cadeia de exploração catastrófica que contornou mecanismos de segurança padrão. A vulnerabilidade originou-se na função _upscaleArray, que escalava saldos de tokens durante o cálculo de invariantes. Ao manipular os saldos para a faixa microscópica de 8-9 wei, a lógica de divisão inteira do Solidity causou discrepâncias de arredondamento que poderiam chegar a dez por cento por operação. O ataque foi realizado em uma sequência de 65 operações de batchSwap, amplificando perdas de precisão em uma distorção total do valor D da pool. A análise on-chain vinculou a exploração a um contrato específico, e os atacantes conseguiram acumular ativos roubados dentro da camada de contabilidade do Vault da Balancer. Apesar de múltiplas auditorias, a falha sobreviveu devido ao foco da análise em transações únicas, em vez de desvios aritméticos cumulativos. Este evento destaca a importância da modelagem adversarial e do monitoramento contínuo de invariantes nas bibliotecas matemáticas do DeFi.

Recentemente, foram descobertas falhas críticas de execução remota de código na aplicação Claude Desktop, desenvolvida pela Anthropic, uma das principais empresas de inteligência artificial. Três extensões oficiais da plataforma, que somam mais de 350.000 downloads, apresentavam vulnerabilidades que permitiam ataques de injeção de comandos. Essas falhas poderiam ser exploradas durante interações normais com o Claude, permitindo que um simples questionamento do usuário resultasse em comprometimento total do sistema. A vulnerabilidade, classificada com um CVSS de 8.9, se origina de comandos não sanitizados, um erro de segurança conhecido há décadas. As extensões afetadas, que operam com permissões completas do sistema, não validavam a entrada do usuário, permitindo que códigos maliciosos fossem injetados. Embora a Anthropic tenha lançado patches para corrigir as falhas, a situação levanta preocupações sobre a segurança do ecossistema de extensões MCP, que está em rápida expansão. A falta de revisão de segurança em extensões criadas por desenvolvedores independentes, muitas vezes utilizando codificação assistida por IA, aumenta a superfície de ataque, tornando essencial que os usuários e administradores de sistemas compreendam as diferenças entre essas extensões e os complementos tradicionais de navegadores.

O grupo de ransomware Clop está em atividade com uma nova campanha de exploração, utilizando uma vulnerabilidade zero-day identificada no Oracle E-Business Suite (CVE-2025-61882). Essa falha, detectada em junho de 2025 e confirmada pela Oracle em outubro, permite que atacantes remotos acessem funções críticas de ERP, como compras e logística, sem autorização. Durante a investigação, foram identificados dois IPs de comando e controle, além de mais de 90 servidores ativos em diversos países, com a Alemanha apresentando o maior número de servidores. O Brasil, junto com Panamá e Hong Kong, também está entre os países afetados. A infraestrutura utilizada pelo Clop mostra uma continuidade operacional com campanhas anteriores, indicando uma estratégia de reutilização de infraestrutura para evitar bloqueios geopolíticos. Especialistas em segurança alertam que organizações que utilizam sistemas ERP, como o Oracle EBS, devem implementar monitoramento em nível de rede para essas sub-redes, já que a exploração de software empresarial não corrigido continua a ser uma prioridade para o grupo. A situação é crítica, e ações imediatas são recomendadas para mitigar riscos.

A AMD confirmou uma nova vulnerabilidade de segurança em suas CPUs baseadas na arquitetura Zen 5, classificada como de alta severidade. A falha, identificada como AMD-SB-7055, afeta o gerador de números aleatórios RDSEED, que é crucial para a geração de chaves de criptografia. O problema ocorre nas instruções de 16 e 32 bits, que podem retornar o valor ‘0’ sem sinalizar erro, enganando aplicações que dependem dessa funcionalidade para garantir a segurança dos dados. A AMD já está distribuindo atualizações de firmware (AGESA) para corrigir a vulnerabilidade, com prioridade para servidores EPYC 9005, devido ao processamento de dados sensíveis em data centers. Para usuários de desktop e notebooks, as atualizações devem ser disponibilizadas até o final de novembro de 2025. Enquanto isso, a empresa recomenda que desenvolvedores utilizem a versão de 64 bits do RDSEED ou tratem retornos de ‘0’ como falhas. Essa situação levanta preocupações sobre a confidencialidade e integridade dos dados, especialmente em ambientes que utilizam criptografia para proteger informações sensíveis.

A CISA (Agência de Cibersegurança e Infraestrutura de Segurança dos EUA) emitiu um alerta sobre uma vulnerabilidade no kernel do Linux, identificada como CVE-2024-1086, que foi introduzida em 2014 e corrigida em 2024. Apesar da correção, a brecha continua a ser explorada em ataques de ransomware, permitindo a escalada de privilégios em sistemas que não foram atualizados. A vulnerabilidade, classificada com um grau de severidade de 7,8/10, afeta distribuições populares do Linux, como Debian, Ubuntu, Fedora e Red Hat. A CISA já havia alertado as agências federais para que atualizassem seus sistemas até junho de 2024, mas a exploração ativa da falha por grupos de ransomware demonstra que muitos usuários ainda não implementaram as correções necessárias. Para mitigar os riscos, recomenda-se atualizar o sistema operacional ou aplicar medidas de segurança, como bloquear o componente nf_tables ou usar o Linux Kernel Runtime Guard (LKRG), embora essas ações possam desestabilizar o sistema. A situação destaca a importância de manter sistemas atualizados para evitar a exploração de vulnerabilidades conhecidas.

Uma vulnerabilidade crítica, identificada como CVE-2025-11749, foi descoberta no plugin AI Engine do WordPress, que está ativo em mais de 100 mil sites. Com uma pontuação CVSS de 9.8, a falha permite que atacantes não autenticados recuperem um token de acesso exposto da API REST MCP, concedendo-lhes privilégios administrativos completos nos sites afetados. O problema foi relatado por Emiliano Versini através do programa de recompensas da Wordfence em 4 de outubro de 2025 e corrigido pelo desenvolvedor Jordy Meow na versão 3.1.4, lançada em 19 de outubro de 2025. A vulnerabilidade reside na integração do plugin com o Modelo de Contexto de Protocolo (MCP), que permite que sistemas de IA interajam com o WordPress. As versões até 3.1.3 não incluíram o parâmetro “show_in_index => false” durante o registro da rota REST, expondo endpoints visíveis publicamente. Os proprietários de sites afetados devem atualizar para a versão 3.1.4 ou superior e rotacionar imediatamente o token de acesso MCP para evitar acessos não autorizados.

Uma vulnerabilidade crítica de escalonamento de privilégios foi identificada no Windows Cloud Files Mini Filter Driver, classificada como CVE-2025-55680. Essa falha explora uma vulnerabilidade do tipo time-of-check to time-of-use (TOCTOU), permitindo que atacantes locais contornem restrições de gravação de arquivos e obtenham acesso não autorizado a nível de sistema. A origem da vulnerabilidade remonta a uma divulgação do Project Zero em 2020, que visava prevenir ataques de links simbólicos. No entanto, a validação de strings de caminho ocorre no espaço do usuário antes do processamento em modo kernel, criando uma janela crítica para exploração. Um atacante pode modificar a memória entre a verificação de segurança e a operação real do arquivo, contornando todas as proteções. O processo de exploração envolve a função HsmFltProcessHSMControl da API do Cloud Files, que, ao chamar HsmFltProcessCreatePlaceholders, pode criar arquivos em diretórios protegidos com privilégios de modo kernel. A Microsoft já disponibilizou patches para corrigir essa vulnerabilidade, e as organizações devem priorizar sua aplicação, uma vez que o ataque requer apenas acesso local ao sistema e não necessita de interação do usuário.

Pesquisadores de segurança revelaram uma técnica de ataque sofisticada que utiliza o Microsoft OneDrive para executar código malicioso, contornando defesas de segurança tradicionais. O método, conhecido como DLL sideloading, explora a ordem previsível de busca de bibliotecas dinâmicas do Windows. Quando o OneDrive.exe é iniciado, o sistema operacional procura arquivos necessários, como version.dll, em várias localizações, começando pelo diretório do aplicativo. Os atacantes aproveitam esse comportamento ao inserir uma versão maliciosa do arquivo version.dll no diretório do OneDrive, fazendo com que o aplicativo carregue código controlado pelo invasor em vez das bibliotecas legítimas da Microsoft.

Um recente teste de penetração revelou uma vulnerabilidade crítica de escalonamento de privilégios nas instalações do Jupyter Notebook, uma plataforma amplamente utilizada para ciência de dados. A falha não é decorrente de um erro de código, mas sim de uma combinação perigosa de configurações padrão e padrões de implantação que muitas equipes de segurança frequentemente ignoram. Quando o Jupyter é executado com privilégios de root e a autenticação está desativada, o recurso de API de terminal se torna um acesso direto ao sistema. Os pesquisadores descobriram que, ao acessar o endpoint da API REST /api/terminals, um invasor pode criar sessões de terminal sem autenticação. Utilizando ferramentas compatíveis com WebSocket, como websocat, os atacantes podem interagir com a interface do terminal e obter acesso root sem a necessidade de técnicas tradicionais de escalonamento de privilégios. Uma vez que o acesso root é alcançado, os invasores podem acessar arquivos de configuração do Jupyter, permitindo a criação de shells reversos persistentes e backdoors. Para mitigar essa vulnerabilidade, é crucial que o Jupyter não seja executado como root em ambientes de produção e que medidas de segurança, como autenticação obrigatória e desativação da API de terminal, sejam implementadas.

O setor elétrico brasileiro está sob crescente ameaça de ciberataques, com 535 mil tentativas registradas apenas no primeiro semestre de 2025, conforme divulgado pela ANEEL durante um painel sobre segurança online. Apesar de todas as tentativas terem sido bloqueadas, a superintendente de Gestão Técnica da Informação da ANEEL, Adriana Drummond Vivan, alertou para a vulnerabilidade dos sistemas de segurança do setor. Ela destacou a importância de uma regulamentação que, embora sirva como diretriz, não deve limitar a atuação dos profissionais da área. Vivan enfatizou que a regulação deve ser constantemente atualizada para acompanhar as rápidas mudanças no ambiente digital. Além disso, ela mencionou que um ataque cibernético ao setor elétrico pode ter um efeito dominó, afetando outras áreas, como telecomunicações, o que poderia resultar em sérios problemas de segurança de dados. Para mitigar esses riscos, a cooperação entre diferentes setores é essencial, permitindo um compartilhamento eficaz de informações e estratégias de defesa.

Em 3 de novembro de 2025, o Google divulgou seu Boletim de Segurança Android, revelando uma vulnerabilidade crítica de execução remota de código (CVE-2025-48593) que afeta dispositivos Android em todo o mundo. Essa falha, que não requer interação do usuário para ser explorada, representa um risco severo, pois permite que atacantes executem código arbitrário em dispositivos vulneráveis. A vulnerabilidade impacta as versões Android 13, 14, 15 e 16, e a sua gravidade é acentuada pelo fato de que os usuários não podem mitigar o problema através de mudanças de comportamento ou práticas de segurança. O Google recomenda que todos os dispositivos com nível de patch de segurança de 2025-11-01 ou posterior sejam atualizados imediatamente para se proteger contra essa e outras ameaças. Além disso, uma outra vulnerabilidade de elevação de privilégios (CVE-2025-48581) foi identificada, afetando exclusivamente o Android 16. O Google também enfatiza a importância de atualizações regulares e o uso do Google Play Protect para aumentar a segurança dos dispositivos.

Uma vulnerabilidade crítica foi identificada e corrigida no pacote npm ‘@react-native-community/cli’, utilizado por desenvolvedores para construir aplicações móveis em React Native. A falha, classificada como CVE-2025-11953, possui um score CVSS de 9.8, indicando sua gravidade. Essa vulnerabilidade permite que atacantes remotos não autenticados executem comandos arbitrários no sistema operacional da máquina que roda o servidor de desenvolvimento do React Native, o que representa um risco significativo para os desenvolvedores. O problema surge porque o servidor de desenvolvimento Metro, por padrão, se conecta a interfaces externas e expõe um endpoint ‘/open-url’ vulnerável a injeções de comandos do sistema. Com isso, um atacante pode enviar uma solicitação POST maliciosa para o servidor e executar comandos indesejados. Embora a falha já tenha sido corrigida na versão 20.0.0 do pacote, desenvolvedores que utilizam frameworks que não dependem do Metro não são afetados. Essa situação destaca a importância de uma análise de segurança automatizada e abrangente em toda a cadeia de suprimentos de software para evitar que falhas facilmente exploráveis impactem as organizações.

Pesquisadores de segurança descobriram uma vulnerabilidade crítica no sistema de IA Claude, da Anthropic, que permite a atacantes explorar prompts indiretos para roubar dados sensíveis dos usuários através da API de Arquivos da plataforma. A falha foi documentada publicamente em 28 de outubro de 2025 e revela como os criminosos podem manipular o interpretador de código e as funcionalidades da API do Claude para extrair informações confidenciais diretamente dos ambientes de trabalho das vítimas.

Uma grave vulnerabilidade de segurança, identificada como Brash, foi descoberta no mecanismo de renderização Blink, utilizado por navegadores baseados no Chromium, como Google Chrome e Microsoft Edge. Essa falha permite que um cibercriminoso provoque travamentos em qualquer navegador Chromium em um intervalo de 15 a 60 segundos, explorando a falta de limitação de taxa na API document.title do JavaScript. Com isso, é possível gerar milhões de mutações no DOM por segundo, saturando o sistema e levando ao colapso do navegador. A gravidade da situação é acentuada pelo fato de que o Google Chrome possui cerca de três bilhões de usuários ativos globalmente. O pesquisador Jose Pino, que descobriu a falha, alertou que ela pode ser programada para ser ativada em um momento específico, aumentando ainda mais o risco. O Google e outras empresas de navegadores já foram notificados e estão trabalhando em soluções. Durante os testes, navegadores como Mozilla Firefox e Safari não foram afetados pela vulnerabilidade.

Pesquisadores de segurança da Arctic Wolf Labs alertaram sobre um ataque cibernético direcionado a diplomatas europeus, realizado por um grupo de hackers conhecido como Mustang Panda, vinculado ao governo chinês. O ataque utiliza uma vulnerabilidade zero-day no Windows, identificada como CVE-2025-9491, que permite a exploração de arquivos .LNK maliciosos. Esses arquivos foram enviados em e-mails de phishing, disfarçados como convites para eventos diplomáticos, como workshops de defesa da OTAN. Ao serem abertos, os arquivos executam um Trojan de Acesso Remoto (RAT) chamado PlugX, que concede acesso persistente ao sistema comprometido, permitindo a espionagem e a exfiltração de dados. A vulnerabilidade, que é considerada de alta severidade, foi associada a campanhas de espionagem que datam de 2017. A exploração requer interação do usuário, o que a torna menos crítica, mas ainda assim representa um risco significativo para a segurança de informações sensíveis. O ataque destaca a necessidade de vigilância constante e medidas de segurança robustas para proteger dados diplomáticos e governamentais.

Uma vulnerabilidade crítica de execução remota de código (RCE) foi descoberta no UniFi OS da Ubiquiti, afetando a infraestrutura da API de backup em dispositivos UniFi. Identificada como CVE-2025-52665, a falha resulta de uma validação inadequada de entrada no endpoint de exportação de backup, permitindo que atacantes executem comandos arbitrários com privilégios elevados. A vulnerabilidade foi identificada durante uma avaliação de segurança rotineira e está relacionada a múltiplas APIs não autenticadas no ecossistema do UniFi OS. O endpoint vulnerável aceita um parâmetro de diretório sem a devida sanitização, possibilitando a injeção de comandos maliciosos. Além disso, a configuração incorreta expôs o endpoint a acessos não autenticados, permitindo que atacantes realizem operações sensíveis. Organizações que utilizam o UniFi OS devem priorizar a aplicação de patches e revisar os controles de acesso à rede para restringir a exposição dos endpoints da API. A gravidade da vulnerabilidade é evidenciada pelo CVSS Score de 9.8, classificada como crítica, e a recompensa de $25.000 oferecida pela descoberta.

A AMD revelou uma vulnerabilidade crítica em seus processadores Zen 5, identificada como CVE-2025-62626, que compromete a integridade da geração de números aleatórios. A falha afeta a instrução RDSEED, essencial para a geração de números aleatórios criptográficos, e pode resultar na devolução de valores zero enquanto sinaliza erroneamente sucesso. Isso pode levar a operações criptográficas comprometidas, pois aplicações podem utilizar valores previsíveis, tornando-as vulneráveis a ataques de predição. A vulnerabilidade impacta as implementações de 16 e 32 bits da instrução, enquanto a versão de 64 bits permanece segura. A AMD recomenda que as organizações adotem medidas imediatas, como a utilização da versão de 64 bits ou a ocultação da capacidade RDSEED até que patches de microcódigo sejam disponibilizados. Atualizações estão programadas para os processadores EPYC 9005 e Ryzen 9000 até novembro de 2025. A descoberta inicial da vulnerabilidade no mailing list do kernel Linux ressalta a importância da divulgação coordenada de falhas na comunidade de segurança.

Recentemente, sensores de segurança na internet detectaram um aumento significativo em varreduras de rede direcionadas às portas TCP 8530 e 8531, indicando esforços de reconhecimento ativo por parte de hackers que buscam explorar a vulnerabilidade CVE-2025-59287, que afeta os Serviços de Atualização do Servidor Windows (WSUS). Essa vulnerabilidade permite que atacantes se conectem a servidores WSUS vulneráveis e executem scripts arbitrários, obtendo controle sobre o sistema comprometido. A atividade de escaneamento é proveniente de diversas fontes globais, incluindo IPs que não estão associados a iniciativas de pesquisa legítimas, sugerindo que os atacantes estão ativamente caçando servidores WSUS expostos na internet. A combinação de detalhes de exploração amplamente disponíveis e a exposição direta à internet torna as organizações que utilizam WSUS um alvo fácil. Especialistas recomendam que as empresas apliquem patches de segurança imediatamente e implementem restrições de rede para proteger sua infraestrutura de atualização. Além disso, é crucial que as organizações investiguem sinais de comprometimento em seus sistemas, considerando-os potencialmente violados até que se prove o contrário.

O Australian Signals Directorate (ASD) emitiu um alerta sobre ataques cibernéticos direcionados a dispositivos Cisco IOS XE não corrigidos, utilizando um implante desconhecido chamado BADCANDY. A vulnerabilidade explorada, CVE-2023-20198, possui uma pontuação CVSS de 10.0, permitindo que atacantes remotos e não autenticados criem contas com privilégios elevados, comprometendo o controle dos sistemas afetados. Desde 2023, essa falha tem sido ativamente explorada, especialmente por grupos de ameaças vinculados à China, como o Salt Typhoon, que visam prestadoras de telecomunicações. O ASD identificou que cerca de 400 dispositivos na Austrália foram comprometidos desde julho de 2025, com 150 infecções ocorrendo apenas em outubro. O BADCANDY é descrito como um shell web baseado em Lua, que não possui um mecanismo de persistência, mas pode ser reintroduzido se os dispositivos permanecerem expostos e não corrigidos. O ASD recomenda que operadores de sistemas apliquem patches, limitem a exposição pública das interfaces web e sigam diretrizes de segurança da Cisco para evitar novas tentativas de exploração. Medidas adicionais incluem a revisão de configurações de contas e interfaces de túnel desconhecidas.

Autoridades de cibersegurança alertam sobre campanhas de exploração direcionadas a dispositivos Cisco IOS XE, utilizando uma vulnerabilidade crítica identificada como CVE-2023-20198. Essa falha permite que atacantes remotos e não autenticados criem contas altamente privilegiadas, comprometendo o controle total dos dispositivos. Desde outubro de 2023, um shell web sofisticado chamado BADCANDY tem sido implantado, afetando mais de 150 dispositivos na Austrália, mesmo após esforços de remediação. O BADCANDY é caracterizado como um implante de baixa complexidade técnica, o que facilita sua adoção por diversos grupos de ameaças, incluindo atores patrocinados por estados. A vulnerabilidade é particularmente preocupante, pois permite que os atacantes apliquem patches não persistentes, dificultando a detecção por administradores de rede. Para mitigar essa ameaça, é essencial que as organizações apliquem os patches oficiais da Cisco e sigam as diretrizes de segurança recomendadas, especialmente desabilitando a interface HTTP, a menos que seja absolutamente necessário. A situação atual exige vigilância contínua e ações rápidas para proteger a infraestrutura crítica das redes.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma vulnerabilidade crítica no kernel do Linux, identificada como CVE-2024-1086. Essa falha, que se localiza no componente netfilter, permite que atacantes que já tenham acesso inicial a um sistema Linux elevem seus privilégios a nível root, concedendo controle total sobre a máquina comprometida. A vulnerabilidade é classificada como ‘use-after-free’, uma condição que ocorre quando um programa continua a usar um ponteiro de memória após a memória ter sido liberada, possibilitando a execução de código arbitrário. A exploração dessa falha tem sido utilizada em campanhas de ransomware, permitindo que operadores de ransomware criptografem arquivos em sistemas inteiros e realizem operações de exfiltração de dados. A CISA recomenda que todas as organizações realizem um inventário de seus sistemas Linux, priorizem a aplicação de patches e implementem controles compensatórios onde a correção imediata não for viável. A gravidade da situação exige atenção imediata de administradores de rede e defensores de sistemas, especialmente em ambientes empresariais e de infraestrutura crítica que dependem de sistemas baseados em Linux.