Vulnerabilidade

Uma vulnerabilidade de gravidade máxima foi identificada no plugin GiveWP para WordPress, permitindo que atacantes não autenticados executem comandos arbitrários no servidor de hospedagem. A falha, classificada como CVE-2026-82222, afeta versões do GiveWP até 4.16.7.1 e foi reportada por Udin Chan em 28 de julho através da plataforma de inteligência de vulnerabilidades Patchstack. O plugin, que possui mais de 100.000 instalações, é utilizado para coletar doações e gerenciar campanhas de arrecadação.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade crítica no ownCloud em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A falha, identificada como CVE-2023-49105, permite que atacantes contornem a autenticação do API WebDAV, possibilitando o acesso não autorizado a arquivos se o nome de usuário da vítima for conhecido. Essa vulnerabilidade foi explorada por um ator de ameaça de língua chinesa para atacar um organismo de pesquisa nuclear nas Filipinas, resultando na exfiltração de 176 arquivos, incluindo dados sensíveis sobre materiais nucleares e informações pessoais de funcionários. Além disso, o atacante também explorou uma falha crítica em um plugin do WordPress para obter acesso elevado a um site gerido por uma empresa de engenharia naval. A CISA recomenda que as agências federais apliquem os patches necessários até 30 de agosto de 2026, dada a gravidade da situação e o potencial impacto em organizações críticas. O uso de scripts personalizados para explorar a vulnerabilidade destaca a necessidade urgente de monitoramento e proteção de sistemas vulneráveis, especialmente em setores sensíveis como o nuclear.

Pesquisadores de segurança alertam sobre uma falha crítica no PaperCut NG e MF, que permite a atacantes não autenticados executar código arbitrário. A vulnerabilidade, identificada como CVE-2026-82078, possui um CVSS de 9.4 e está relacionada ao carregamento dinâmico inseguro de classes no banco de dados. Outra falha, CVE-2026-81578, com CVSS de 8.8, envolve controle de acesso inadequado na interface de gerenciamento web. Ambas as falhas podem ser exploradas em conjunto, permitindo que atacantes contornem a autenticação e realizem ações administrativas sem validação adequada. A PaperCut lançou patches de emergência, mas novas brechas foram identificadas, aumentando a urgência para que organizações que utilizam esses softwares apliquem as correções e restrinjam o acesso público. A atividade maliciosa observada inclui comandos para identificar contas de usuário e sistemas operacionais, além de tentativas de exfiltração de dados. Especialistas recomendam que as empresas removam a exposição pública do PaperCut e implementem medidas de segurança adicionais, como o uso de VPNs.

A Cosmos Labs alertou sobre uma falha crítica no módulo Cosmos EVM, que foi explorada para drenar fundos de seis blockchains entre 20 e 25 de agosto de 2026. A vulnerabilidade, identificada como GHSA-7g4w-cg88-2, afeta versões do software anteriores a 0.6.2 e entre 0.7.0 e 0.7.2, com correções lançadas em 19 de agosto. Os operadores de blockchain foram instruídos a atualizar imediatamente ou, se não puderem, a interromper a produção de blocos. A falha foi inicialmente reportada em abril, mas a Cosmos Labs não a considerou uma ameaça até agosto, quando confirmou que todas as redes Cosmos EVM estavam vulneráveis. O problema reside na forma como os saldos são reconciliados entre o Ethereum Virtual Machine (EVM) e o módulo x/bank do Cosmos SDK, permitindo que atacantes mintem e queimem saldos de forma maliciosa. A exploração resultou na venda de aproximadamente USD 5,72 milhões em ativos afetados. A Cosmos Labs não possui um registro completo das redes que utilizam seu software, o que complicou a resposta ao incidente.

Mais de 8.300 instâncias do Gitea, uma plataforma de hospedagem de código, continuam vulneráveis a uma falha crítica de segurança (CVE-2026-60004) que permite a execução remota de código. Essa vulnerabilidade, descoberta por um pesquisador da Salesforce, permite que atacantes autenticados executem comandos arbitrários no servidor Gitea ao enviar patches maliciosos via API diffpatch. O problema é agravado pela configuração padrão do Gitea, que permite o registro de contas sem autenticação, possibilitando que atacantes não autenticados criem repositórios e explorem a falha. A Gitea lançou uma atualização (versão 1.27.1) em 27 de julho para corrigir essa vulnerabilidade e recomendou que os usuários atualizassem seus servidores imediatamente. Apesar disso, a Shadowserver, um grupo de vigilância de segurança, relatou que cerca de 8.400 servidores Gitea ainda estão expostos e vulneráveis. A CISA dos EUA também incluiu essa falha em seu catálogo de vulnerabilidades ativamente exploradas, exigindo que agências federais aplicassem patches em três dias. A exploração dessa vulnerabilidade pode resultar na instalação de malware de mineração de criptomoedas em servidores não corrigidos. A situação é preocupante, pois representa um vetor de ataque frequente para atores maliciosos, colocando em risco a segurança das informações e a conformidade com regulamentos como a LGPD.

O pesquisador de segurança Olivier Laflamme revelou duas cadeias independentes de execução remota de código (RCE) que afetam o robô Unitree G1 EDU. As falhas, identificadas como CVE-2026-76639 e CVE-2026-76640, permitem que um invasor obtenha acesso root ao PC de locomoção do robô. A primeira vulnerabilidade envolve um caminho de rede adjacente através do chat_go e bashrunner, enquanto a segunda se inicia a partir de interações via Bluetooth Low Energy (BLE). Até o momento, não há um firmware corrigido disponível para os proprietários do G1 EDU, o que deixa os dispositivos vulneráveis. A Unitree já implementou uma correção em julho de 2026 para a verificação de propriedade entre contas de nuvem e robôs, mas a divulgação de Laflamme em 27 de agosto destaca que essa correção não impede a exploração das vulnerabilidades. A pesquisa também revelou que a falta de verificação de propriedade permitiu que contas não autorizadas recuperassem materiais de chave associados a outros robôs G1 EDU. A situação é preocupante, pois a exploração dessas falhas pode comprometer a segurança dos dispositivos e a privacidade dos usuários.

A PaperCut emitiu um alerta urgente sobre a exploração ativa de uma vulnerabilidade em todas as versões de seu software de gerenciamento de impressão, PaperCut NG e PaperCut MF, em ataques de dia zero. A empresa confirmou que já houve incidentes com clientes e recomenda que organizações com servidores expostos à Internet restrinjam imediatamente o acesso às interfaces web a endereços IP confiáveis. Embora a PaperCut não tenha divulgado detalhes sobre a falha ou como está sendo explorada, sua equipe de segurança conseguiu reproduzir a vulnerabilidade com informações fornecidas por um cliente universitário. Para mitigar os riscos, a empresa lançou patches de emergência para clientes com servidores públicos. Além disso, foram compartilhados indicadores de comprometimento, como atividades suspeitas do processo legítimo pc-app.exe e erros específicos nos arquivos de log do servidor. A PaperCut ainda não revelou a identidade dos atacantes ou se dados estão sendo roubados. A situação é crítica, especialmente considerando que a empresa já enfrentou ataques anteriores relacionados a vulnerabilidades semelhantes, como a CVE-2023-27350, que permitiu a execução remota de código por atacantes não autenticados.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade no Amazon Kiro, um ambiente de desenvolvimento integrado (IDE) baseado em inteligência artificial, que pode facilitar a exfiltração de dados por meio de injeção de comandos maliciosos. A falha, que não possui um identificador CVE, afeta a versão 0.7.45 do Kiro IDE no Windows, enquanto a versão mais recente é a 1.0.337. Segundo o pesquisador Fergal Glynn, a vulnerabilidade permite que conteúdos controlados por atacantes influenciem o agente Kiro, resultando na transmissão de informações sensíveis para um endpoint externo. Para explorar a falha, o usuário precisa abrir um projeto malicioso e enviar uma mensagem ao agente, o que pode ser feito em ambientes de trabalho confiáveis e não confiáveis. A dificuldade de exploração foi classificada como baixa, pois o usuário não precisa enviar um comando malicioso explicitamente. Após a divulgação responsável, a Amazon lançou uma correção na versão 0.8.140 do Kiro IDE. Essa vulnerabilidade se soma a uma série de problemas de segurança já identificados em ferramentas de IA, destacando a necessidade de uma avaliação mais rigorosa das interações entre interpretação de modelos e lógica de aplicação.

Uma cadeia de vulnerabilidades críticas no popular tema Avada para WordPress pode ser explorada por atacantes não autenticados para executar código PHP arbitrário no servidor. Essa cadeia de exploração, que combina seis falhas de segurança, é rastreada como CVE-2026-18431 e recebeu uma pontuação de severidade crítica de 9.8. As falhas envolvem problemas de autorização, validação de entrada, limites de confiança e manipulação de arquivos, que devem ser executados em uma ordem específica para permitir a execução de código PHP. Os hackers que explorarem essas vulnerabilidades podem comprometer completamente os sites, realizando atividades maliciosas como instalação de malware, acesso a bancos de dados e redirecionamento de visitantes para sites maliciosos. A CVE-2026-18431 afeta versões do Avada até 7.16 e do plugin Fusion Builder até 3.16. Embora a ThemeFusion, desenvolvedora do Avada, tenha corrigido a vulnerabilidade, a Wordfence não divulgou todos os detalhes técnicos para permitir que os administradores atualizem seus sistemas. A descoberta foi feita em um curto espaço de tempo, utilizando um framework interno chamado Argus, que também desenvolveu um código de exploração. Apesar da popularidade do tema, os requisitos para exploração limitam o número de alvos potenciais.

O CERT Coordination Center (CERT/CC) revelou duas vulnerabilidades não corrigidas no player de vídeo HTML5 da Kaltura, permitindo que atacantes remotos e não autenticados leiam arquivos arbitrários de um servidor e executem código. As falhas, identificadas como CVE-2026-19913 e CVE-2026-19912, estão relacionadas a uma desserialização insegura no endpoint mwEmbedLoader.php. Ambas as vulnerabilidades não requerem autenticação, apenas acesso à rede. O CERT/CC não conseguiu contatar a Kaltura para coordenar a correção, e não há patch disponível. Administradores são aconselhados a restringir o acesso externo ao endpoint e a implementar uma lista de permissões rigorosa para o parâmetro ServiceUrl. A primeira vulnerabilidade permite a leitura de arquivos sensíveis, enquanto a segunda pode levar à execução remota de código. Embora não haja relatos de exploração até o momento, a situação é preocupante, especialmente considerando que a Kaltura é uma plataforma amplamente utilizada para gerenciamento e publicação de vídeos. As versões afetadas incluem html5lib v2.45 e anteriores. A falta de resposta da Kaltura e a gravidade das falhas indicam a necessidade urgente de ações corretivas por parte dos administradores.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade crítica no Gitea, identificada como CVE-2026-60004, com uma pontuação CVSS de 9.8. Essa falha permite que um atacante com acesso de gravação a um repositório execute comandos arbitrários no sistema operacional do Gitea. A vulnerabilidade foi descoberta pelo pesquisador de segurança Shai rod e afeta todas as versões do Gitea a partir da 1.17, tendo sido corrigida na versão 1.27.1. O problema é agravado pela configuração padrão de registro aberto do Gitea, que permite que visitantes não autenticados criem contas e repositórios, facilitando a exploração. Um desenvolvedor relatou que sua instância do Gitea foi atacada, resultando na instalação de um minerador de criptomoedas. A CISA incluiu a falha em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), exigindo que agências federais a corrigissem até 28 de agosto de 2026. O ataque foi realizado via HTTPS, e o script do invasor tomou medidas para evitar concorrência de processos antes de implantar o minerador. O impacto potencial desse tipo de ataque é significativo, especialmente em ambientes que utilizam Gitea para gerenciamento de código-fonte.

A Marimo, desenvolvedora de software, anunciou a correção de uma vulnerabilidade de alta severidade em sua aplicação de notebook, identificada como CVE-2026-75149. Essa falha permitia que um atacante executasse comandos do Model Context Protocol (MCP) ao abrir um notebook malicioso em modo de edição. O problema, que afeta versões anteriores à 0.23.15, foi classificado com um CVSS v4 de 8.7 e um CVSS v3.1 de 8.8, indicando a necessidade de interação do usuário, mas sem exigir autenticação do atacante. A correção foi disponibilizada na versão 0.23.15, lançada em 23 de julho de 2026, e os usuários são aconselhados a atualizar para evitar riscos. A vulnerabilidade foi descoberta por Gregory Tan, que também contribuiu para a implementação de um patch de segurança que trata metadados de notebooks como controlados por atacantes, utilizando uma lista de permissões para configurações fornecidas pelo notebook. Além disso, uma falha anterior, CVE-2026-67618, também relacionada a comandos controlados por atacantes, foi divulgada em agosto de 2026, reforçando a necessidade de atenção contínua à segurança do software. A Marimo recomenda que os usuários mantenham suas versões atualizadas para garantir a proteção contra essas e outras vulnerabilidades.

A Oasis Security revelou uma vulnerabilidade no NVIDIA NemoClaw que pode permitir que uma página da web controlada por um atacante assuma o controle não autenticado de uma instância local do Ollama, que serve um agente de IA. Essa falha pode ser explorada para inserir instruções ocultas dentro do modelo. A vulnerabilidade foi reportada à equipe de resposta a incidentes de segurança da NVIDIA antes da divulgação, mas ainda não possui um identificador CVE e não há relatos de exploração até a data de 25 de agosto de 2026.

Uma vulnerabilidade não corrigida nos roteadores residenciais Calix GS7 XGS (GS5239XG), utilizados por diversos provedores de internet nos EUA, permite que atacantes remotos e não autenticados criem regras de redirecionamento de portas, expondo dispositivos da rede local à internet pública. A falha, identificada como CVE-2026-75501, resulta da falta de autenticação em dispositivos que operam com o firmware EXOS/6.6.47. O pesquisador de segurança Brian Khan Quintana descobriu a vulnerabilidade e, após tentativas frustradas de notificar o fornecedor, reportou o problema ao Carnegie Mellon CERT Coordination Center, que coordenou a divulgação pública. O modelo afetado, GS5239XG, é um dispositivo de gateway premium que combina capacidades de Wi-Fi 7 com um terminal de fibra integrada. A vulnerabilidade permite que atacantes enviem requisições SOAP não autenticadas para adicionar, deletar ou enumerar mapeamentos de portas, comprometendo a segurança de câmeras internas, dispositivos de armazenamento em rede (NAS) e outros aparelhos IoT. Como não há correção disponível, recomenda-se que os usuários desativem o UPnP através da interface administrativa do roteador. Caso a configuração esteja bloqueada, é aconselhável contatar o provedor de internet para solicitar a desativação.

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA emitiu uma ordem para que agências governamentais do país corrijam uma vulnerabilidade ativamente explorada no Zimbra Collaboration Suite (ZCS) em um prazo de três dias. A falha de segurança, identificada como CVE-2026-73570, foi corrigida na versão 10.1.20, lançada em 20 de julho. A exploração bem-sucedida dessa vulnerabilidade permite que atacantes não autenticados executem código remotamente, aproveitando uma fraqueza de injeção de comandos no componente de monitoramento SNMP, quando as notificações SNMP estão habilitadas no sistema alvo. A CISA confirmou o alerta do CERT Polska, que havia identificado a vulnerabilidade como alvo de ataques na semana anterior. O Shadowserver, um grupo de monitoramento de segurança, reportou mais de 12.000 servidores Zimbra expostos na internet e 270 instâncias comprometidas. A CISA recomendou que as equipes de segurança verifiquem logs em busca de atividades suspeitas, como reinicializações inesperadas do serviço Zimbra. O ZCS é amplamente utilizado por organizações e agências governamentais em todo o mundo, tornando a correção dessa vulnerabilidade uma prioridade crítica para evitar possíveis roubos de dados sensíveis.

A Microsoft emitiu um alerta sobre uma falha de segurança de severidade máxima no Entra ID, anteriormente conhecido como Azure Active Directory. A vulnerabilidade, identificada como CVE-2026-69836 e com uma pontuação CVSS de 10.0, permite a execução remota de código devido à deserialização de dados não confiáveis. Isso significa que um atacante não autorizado pode executar código através da rede, comprometendo a segurança do serviço de gerenciamento de identidade e acesso da empresa. A falha foi descoberta pelo engenheiro de segurança Robert Fitzaptrick e, embora tenha sido explorada ativamente, a Microsoft afirmou que já implementou mitigação completa, não exigindo ações dos usuários. Além disso, a empresa também corrigiu uma falha de escalonamento de privilégios no Windows, que estava sendo explorada por um grupo vinculado à Coreia do Norte. A situação destaca a importância da vigilância contínua em relação a vulnerabilidades em serviços amplamente utilizados, como os da Microsoft.

Uma nova vulnerabilidade de segurança no GitLab, identificada como CVE-2026-19478, foi divulgada e já está sendo ativamente explorada. Com uma pontuação CVSS de 9.4, essa falha de injeção de código permite que atacantes não autenticados modifiquem ou excluam projetos públicos do GitLab, além de reescrever dados sem a necessidade de credenciais ou interação do usuário. As versões afetadas incluem o GitLab Community Edition (CE) e o Enterprise Edition (EE) anteriores a 18.11.11, 19.0.8, 19.1.6 e 19.2.4. A exploração pode ocorrer através de uma diretiva GraphQL, e a GitLab já lançou correções para as versões vulneráveis. A empresa watchTowr, que monitora vulnerabilidades, conseguiu reproduzir a falha rapidamente e observou tentativas de exploração em sua rede honeypot. A gravidade da situação é acentuada pelo uso de inteligência artificial por atacantes, que acelera o tempo entre a divulgação da vulnerabilidade e sua exploração. Organizações que ainda não aplicaram os patches devem verificar logs em busca de atividades suspeitas e considerar restringir o acesso não autenticado ao endpoint GraphQL como medida de mitigação.

Um software de controle da NASA, especificamente a interface gráfica do AMMOS Instrument Toolkit (AIT-GUI), apresentou uma vulnerabilidade crítica que permite que atacantes não autenticados acessem e controlem espaçonaves. A falha foi identificada na versão 2.5.1 do AIT-GUI, que opera como um servidor web com todas as interfaces de rede abertas e sem proteção de autenticação ou autorização. Isso significa que um invasor poderia emitir comandos para as espaçonaves e executar scripts do lado do servidor, colocando os veículos quase totalmente fora do controle da NASA. A vulnerabilidade foi divulgada pelo pesquisador Yuval Elbar em 18 de agosto de 2026 e já foi corrigida na versão 2.5.2. A falta de proteção contra CSRF (cross-site request forgery) e a possibilidade de explorar falhas básicas de controle de acesso aumentam o risco. O acesso externo não requer que o atacante esteja na mesma rede, o que torna a situação ainda mais alarmante. A Cycode recomenda que os administradores atualizem o AIT-GUI e realizem verificações no histórico de comandos para mitigar riscos.

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA emitiu um alerta sobre a exploração de uma vulnerabilidade crítica no MLflow, uma plataforma de engenharia de IA de código aberto amplamente utilizada. A falha, identificada como CVE-2026-64849, é uma vulnerabilidade de DNS-rebinding que permite a execução de requisições forjadas do lado do servidor (SSRF), possibilitando que atacantes não privilegiados acessem serviços internos ou configurações de metadados em nuvem em instâncias não corrigidas. A equipe de segurança do MLflow destacou que a API de webhooks do servidor de rastreamento padrão está exposta sem autenticação, permitindo que um atacante não autenticado faça requisições HTTP para endpoints internos e leia as respostas. A CISA adicionou essa vulnerabilidade ao seu catálogo de falhas exploradas e ordenou que as agências federais dos EUA protejam suas instâncias do MLflow em um prazo de duas semanas. A empresa de cibersegurança watchTowr relatou que os atacantes começaram a escanear sistemas MLflow logo após a atribuição do ID CVE, indicando um alto nível de atividade maliciosa. Organizações que utilizam o MLflow devem priorizar a aplicação de patches e revisar logs de auditoria em busca de sinais de comprometimento.

Uma vulnerabilidade crítica identificada como CVE-2026-32475 no plugin Elementor Pro para WordPress pode permitir que atacantes façam upload de arquivos executáveis, possibilitando a execução remota de código no servidor. Essa falha afeta versões do Elementor Pro anteriores à 4.2.2 e está relacionada ao módulo de Upload de Arquivos, que trata entradas de arquivos vazias de maneira inconsistente. Um atacante pode explorar essa vulnerabilidade criando um upload multipart em que a primeira parte tem um nome de arquivo vazio, seguido por um payload PHP malicioso. O processo de validação rejeita a primeira parte, mas a segunda parte é processada e movida para um diretório público, permitindo a execução do código malicioso. O Elementor Pro, amplamente utilizado por mais de 10 milhões de sites, já recebeu um patch para corrigir a falha. Os administradores são aconselhados a atualizar para a versão mais recente e verificar o diretório de uploads para arquivos maliciosos. Até o momento, não foram observados casos de exploração ativa dessa vulnerabilidade.

Pesquisadores da Universidade de Massachusetts Amherst demonstraram um ataque que reativa cartões de crédito Visa contactless expirados para compras em lojas, alterando a data de validade que um terminal de ponto de venda (POS) lê via comunicação por campo próximo (NFC), sem quebrar a criptografia do cartão. O ataque, denominado ‘Zombie Card’, exige a posse física do cartão expirado ou proximidade sustentada a ele, além de um relé man-in-the-middle (MitM) entre o cartão e o terminal. Os testes realizados com cartões expirados de três grandes bancos dos EUA mostraram que um deles aprovou transações reativadas, enquanto outro as rejeitou. O estudo revela que a data de validade do cartão não é protegida criptograficamente, permitindo modificações que enganam o POS. Os pesquisadores sugerem contramedidas, como vincular dados críticos de expiração a assinaturas verificáveis e realizar checagens de consistência entre as representações de expiração. A Visa e os bancos afetados foram notificados, mas até o momento não houve atualizações sobre mitigação. Este ataque representa um risco significativo, especialmente considerando a falta de proteção em sistemas amplamente utilizados.

A Citrix anunciou atualizações para corrigir duas vulnerabilidades de segurança que afetam as implementações do NetScaler ADC e do NetScaler Gateway, incluindo uma falha crítica de bypass de autenticação. As vulnerabilidades impactam versões gerenciadas pelo cliente, mas não afetam os serviços em nuvem gerenciados pela Citrix, que já receberam as atualizações necessárias. A primeira vulnerabilidade, CVE-2026-19489, possui um CVSS de 8.8 e pode causar comportamento imprevisível ou negação de serviço (DoS) quando o SIP ALG está habilitado. A segunda, CVE-2026-19490, com um CVSS de 9.3, permite que atacantes contornem a autenticação em configurações específicas de Gateway ou servidores virtuais AAA. A Citrix recomenda que os clientes revisem suas configurações para determinar se estão expostos a essas falhas e priorizem a aplicação das atualizações. Embora não haja evidências de exploração ativa, vulnerabilidades anteriores da Citrix foram alvo de ataques rápidos após a divulgação. As versões corrigidas incluem NetScaler ADC e Gateway 14.1-73.32 ou posterior e 13.1-63.21 ou posterior.

Pesquisadores de cibersegurança revelaram uma falha crítica no isolated-vm, uma biblioteca open-source popular para Node.js, que pode permitir que atacantes escapem do ambiente isolado. A vulnerabilidade, identificada como ‘GHSA-864f-rcv7-6rh4’, afeta todas as versões da biblioteca até a 7.0.0 e foi corrigida nas versões 6.2.0 e 7.0.1. O isolated-vm é utilizado para executar JavaScript não confiável em um V8 Isolate, permitindo que múltiplos ambientes JavaScript sejam executados simultaneamente sem interferência. A falha reside na classe ExternalCopy, que permite a serialização e desserialização de objetos JavaScript entre o host e o guest. A exploração bem-sucedida da vulnerabilidade pode levar à corrupção de memória no processo host, resultando em falhas de segmentação e potencial execução remota de código. Os usuários são aconselhados a atualizar para as versões mais recentes para garantir proteção adequada. Embora a falha tenha sido crítica, a integridade da fronteira de isolamento do V8 foi mantida, indicando que a falha estava no código de ligação C++ que gerencia a transferência de valores.

A Adversa AI revelou uma técnica de ataque chamada ‘Cryptographic Context Injection’, que pode fazer com que o chatbot Grok, da xAI, envie informações sensíveis de usuários, como nome, localização aproximada e histórico de conversas, para um servidor controlado por atacantes. O ataque ocorre quando o usuário solicita um resumo de uma página da web, sem qualquer confirmação ou aviso visível. A técnica foi testada na versão 4.5 Fast do Grok e apresentou uma taxa de sucesso de 40% em 20 tentativas desde junho de 2026. O ataque utiliza instruções criptografadas que são executadas pelo código Python do Grok, permitindo que dados privados sejam enviados sem a devida autorização. A Adversa AI notificou a xAI sobre a vulnerabilidade em junho, mas não recebeu uma resposta adequada. Além disso, a pesquisa também demonstrou vulnerabilidades no modelo Gemini da Google, que permitiram a execução de injeções de prompt invisíveis. A falta de um patch ou solução imediata para o Grok levanta preocupações sobre a segurança dos dados dos usuários e a conformidade com a LGPD no Brasil.

O CERT Polska, equipe de resposta a incidentes de segurança da Polônia, alertou sobre a exploração de uma vulnerabilidade crítica na Zimbra Collaboration Suite (ZCS), um software amplamente utilizado para e-mails e colaboração. A falha, identificada como CVE-2026-73570, permite que atacantes não autenticados realizem execução remota de código ao explorar uma fraqueza de injeção de comandos no componente de monitoramento SNMP, quando as notificações SNMP estão ativadas. A equipe de segurança da Zimbra lançou uma atualização (versão 10.1.20) em 20 de julho para corrigir essa vulnerabilidade. Atualmente, mais de 12.100 servidores Zimbra estão expostos na internet, com a maioria localizada na Europa e na Ásia. O CERT Polska alertou que os administradores devem verificar logs em busca de atividades suspeitas, como reinicializações inesperadas do serviço Zimbra e arquivos criados em diretórios específicos. A vulnerabilidade já está sendo ativamente explorada, e falhas anteriores no Zimbra foram utilizadas em ataques direcionados a servidores de e-mail vulneráveis, destacando a necessidade de vigilância constante e atualização de sistemas.

Pesquisadores de cibersegurança revelaram uma falha crítica no plugin Elementor Pro para WordPress, identificada como CVE-2026-32475, com uma pontuação CVSS de 9.0. Essa vulnerabilidade permite a execução remota de código, possibilitando que atacantes não autenticados façam upload de arquivos maliciosos, como scripts PHP, para diretórios públicos. A falha reside no módulo de Formulários, especificamente no campo de Upload de Arquivos, onde a validação da extensão do arquivo e o movimento do arquivo para o diretório público são tratados de forma inadequada. Isso permite que um atacante contorne a lista de bloqueio de extensões ao enviar partes de arquivos. A exploração bem-sucedida pode comprometer sistemas que utilizam versões do plugin anteriores à 4.2.1. A única condição para o ataque é que o site alvo tenha pelo menos uma página publicada do Elementor com um widget de Formulário que contenha um campo de Upload. A vulnerabilidade foi descoberta por Tin Pham e um patch foi disponibilizado em 19 de agosto de 2026. Os usuários do WordPress são aconselhados a manter seus sites e plugins atualizados e a auditar suas configurações para evitar modificações não autorizadas.

Pesquisadores em cibersegurança revelaram um ataque remoto do tipo Spectre que comprometeu a segurança dos Cloudflare Workers, resultando no vazamento de um JSON Web Token (JWT) de um Worker co-localizado no ambiente de produção. O ataque conseguiu extrair dados a uma taxa de até 12 bits por segundo, superando em 360 vezes um ataque anterior demonstrado em 2021. A pesquisa envolveu um Worker atacante e um Worker vítima, com o JWT colocado intencionalmente na memória do trabalhador alvo. A Cloudflare afirmou que não houve acesso a dados de clientes e que já implementou mitigação para o problema, melhorando o isolamento de processos dinâmicos (DyPrIs) e integrando o V8 Sandbox. Os pesquisadores destacaram que a implementação do DyPrIs era insuficiente, permitindo vazamentos entre inquilinos em processos compartilhados. O ataque não dependia de exploração de software ou fuga do sandbox, mas sim de uma leitura de memória dentro do processo compartilhado. A Cloudflare também implementou medidas adicionais de proteção, como chaves de proteção de memória (MPK) para isolamento em processo. Embora o ataque tenha sido mitigado, a pesquisa ressalta a necessidade de uma detecção robusta durante a execução para evitar vazamentos de dados.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade de execução remota de código (RCE) crítica no componente Windows Internet Key Exchange (IKE) Service Extensions, identificada como CVE-2026-33824. Essa falha afeta todas as versões suportadas do Windows 10, Windows 11 e Windows Server, permitindo que atacantes não autorizados executem código malicioso ao enviar pacotes especialmente elaborados para sistemas Windows não corrigidos através das portas UDP 500 ou 4500. A Microsoft já lançou um patch para corrigir a vulnerabilidade, mas a CISA recomendou que, enquanto a atualização não for aplicada, as equipes de segurança bloqueiem o tráfego de entrada nessas portas em sistemas que não utilizam o IKE. A CISA também classificou a vulnerabilidade como ativamente explorada, exigindo que as agências federais dos EUA tomem medidas para proteger seus dispositivos em um prazo de três dias. A situação é preocupante, pois esse tipo de vulnerabilidade é um vetor de ataque comum para cibercriminosos, representando riscos significativos para a segurança das redes federais e, potencialmente, para empresas no Brasil que utilizam tecnologias da Microsoft.

A Microsoft anunciou a resolução de um bug que fazia com que o Windows Defender falhasse após uma atualização de segurança recente, resultando em erros de violação de acesso 0xc0000005 em alguns sistemas. O Microsoft Defender é um software de segurança que oferece proteção em tempo real contra malware, vírus, ransomware e spyware em dispositivos Windows, macOS, Linux, Android e iOS. Usuários começaram a relatar mensagens de erro como “O serviço de ameaça parou. Reinicie-o agora” em dispositivos com Windows 10 e 11, levando alguns a reinstalar o sistema operacional. A Microsoft confirmou o problema e informou que a correção foi incluída em uma nova atualização de assinatura. A empresa recomenda que os usuários atualizem seus sistemas via Windows Update para garantir a instalação da atualização de inteligência de segurança mais recente. Além disso, em maio, houve relatos de que o Defender sinalizou entradas de certificados raiz da DigiCert como malware, resultando em alertas falsos positivos. Este incidente destaca a importância de manter os sistemas atualizados para evitar falhas de segurança e interrupções no serviço.

Um shell web JavaServer Pages (JSP) foi identificado como uma plataforma de extorsão totalmente equipada, implantada após a exploração de uma falha de segurança crítica nos servidores PTC Windchill e FlexPLM. De acordo com a ReliaQuest, essa vulnerabilidade, classificada como CVE-2026-12569 com uma pontuação CVSS de 9.3, permite que atacantes executem código arbitrário ao enviar solicitações maliciosas. O shell web é projetado especificamente para o software de gerenciamento do ciclo de vida do produto (PLM) e é capaz de mapear dados sensíveis, descriptografar credenciais e executar código adicional, funcionando como uma porta dos fundos para acesso remoto e atividades pós-exploração, como movimentação lateral e ransomware. A operação foi atribuída ao grupo de ransomware Clop, que já utilizou shells personalizados em campanhas anteriores. A exposição das credenciais do LDAP pode resultar em um comprometimento em toda a rede, aumentando o risco de roubo de dados e ataques subsequentes. A capacidade do shell de executar código fornecido pelo atacante em memória permite a implantação de cargas úteis secundárias, aumentando ainda mais a gravidade da ameaça.

Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware descobriram que cartões SIM maliciosos podem explorar uma vulnerabilidade em dispositivos, permitindo que atacantes executem comandos remotamente. O estudo focou em uma funcionalidade chamada Proactive SIM, que permite que um SIM envie comandos para o dispositivo, em vez de apenas identificar o usuário na rede. A pesquisa revelou que, de 26 dispositivos testados, nove apresentaram uma interface SIM AT exposta, sendo a maioria em hardware de máquina a máquina, como módulos celulares e carregadores de veículos elétricos. Embora o ataque exija que o invasor já tenha controle sobre o SIM, a possibilidade de exploração em equipamentos IoT é alarmante, especialmente em dispositivos que não recebem atualizações de firmware com frequência. A Qualcomm já desenvolveu uma configuração mais segura que desativa essa interface por padrão, mas a falta de avisos públicos por parte dos fabricantes é preocupante. A situação destaca a necessidade de atenção redobrada em relação à segurança de dispositivos conectados, especialmente aqueles que operam sem supervisão constante.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) confirmou que grupos de ransomware estão explorando uma vulnerabilidade crítica no Windows Task Host, identificada como CVE-2025-60710. Essa falha de escalonamento de privilégios, que afeta dispositivos com Windows 11 e Windows Server 2025, permite que atacantes locais com permissões de usuário básico adquiram privilégios de SYSTEM, obtendo controle total sobre dispositivos não corrigidos. A vulnerabilidade foi corrigida pela Microsoft em novembro de 2025, mas a CISA a incluiu em sua lista de vulnerabilidades ativamente exploradas em 13 de abril, dando um prazo de duas semanas para que agências federais protegessem seus sistemas. Embora a CISA não tenha fornecido detalhes sobre ataques em andamento, a agência alertou que esse tipo de vulnerabilidade é um vetor de ataque frequente e representa riscos significativos para a segurança federal. Além disso, a CISA também destacou que grupos de ransomware começaram a explorar uma vulnerabilidade de execução remota de código no Microsoft SharePoint (CVE-2026-45659). Desde novembro de 2021, a CISA identificou 383 vulnerabilidades ativamente exploradas em produtos da Microsoft, 112 das quais foram utilizadas em ataques de ransomware.

A Varonis Threat Labs revelou três vulnerabilidades no Microsoft Copilot Personal, coletivamente chamadas de CoSnitch, que podem permitir que um clique em um link malicioso extraia dados de aplicativos conectados e outras informações disponíveis na sessão do usuário. As falhas foram reportadas à Microsoft em dezembro de 2025 e corrigidas em 18 de agosto de 2026. O CVE-2026-24301 documenta essas vulnerabilidades, que incluem a execução automática de prompts e a exfiltração de dados através de serviços conectados. Os pesquisadores descobriram que um parâmetro não documentado, ‘autorun=1’, poderia ser utilizado em combinação com outro parâmetro para executar comandos sem interação do usuário. Embora não haja evidências de exploração ativa, a Varonis recomenda que os usuários revisem quais aplicativos estão conectados ao Copilot e desconectem aqueles que não são necessários. A pesquisa destaca a importância de tratar assistentes de IA como insiders privilegiados, especialmente em relação à detecção de anomalias e revisão de acessos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma falha crítica no framework Ray ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando evidências de exploração ativa. A vulnerabilidade, identificada como CVE-2025-62593, possui uma pontuação CVSS de 9.4 e permite a execução remota de código através de navegadores como Mozilla Firefox e Apple Safari, utilizando um ataque de DNS rebinding. A falha se origina da falta de autenticação em endpoints críticos do Ray, o que possibilita que atacantes executem código arbitrário em ambientes de desenvolvimento. O problema afeta principalmente desenvolvedores que utilizam o Ray em suas máquinas, especialmente se forem vítimas de phishing ou anúncios maliciosos. A vulnerabilidade já foi explorada por grupos de ataque, como o botnet RondoDox, e também está sendo usada em campanhas de mineração de criptomoedas. A versão 2.52.0 do pacote Python Ray já corrige a falha, e a CISA recomenda que agências federais apliquem as correções até 20 de agosto de 2026.

Uma vulnerabilidade crítica foi identificada no plugin Forminator Forms, utilizado em mais de 600 mil sites WordPress, que permite a execução de código arbitrário. A falha, classificada como CVE-2026-15748 e com uma pontuação de 9.8 no sistema CVSS, foi descoberta por um pesquisador de segurança conhecido como ‘daroo’. A vulnerabilidade permite que atacantes não autenticados façam upload de arquivos, incluindo arquivos PHP executáveis, em sites vulneráveis, levando a uma possível tomada de controle total do site. Para que a exploração seja bem-sucedida, o site deve conter um formulário com um campo de upload de arquivo e um campo de seleção. A falha afeta todas as versões do plugin até a 1.56.1, sendo corrigida na versão 1.56.2, lançada em 31 de julho de 2026. O problema reside na função ‘handle_file_upload()’, que não valida adequadamente os tipos de arquivo. Embora os arquivos sejam, por padrão, enviados para um diretório protegido, configurações personalizadas podem expor o site a riscos. Os proprietários de sites que utilizam o Forminator Forms devem atualizar imediatamente para a versão corrigida para evitar possíveis ataques.

Pesquisadores de cibersegurança da Wiz identificaram uma vulnerabilidade de injeção no fluxo de trabalho do GitHub Actions no repositório público snowflakedb/snowflake-connector-net da Snowflake. A falha permitia a execução de comandos em um fluxo de trabalho que continha credenciais internas do Jira, expostas quando um problema público era aberto. A vulnerabilidade estava localizada no arquivo .github/workflows/jira_issue.yml, que expunha informações sensíveis como JIRA_BASE_URL, JIRA_USER_EMAIL e JIRA_API_TOKEN. A Wiz conseguiu explorar a falha durante testes de segurança autorizados, obtendo o token da API do Jira, que permitia acesso de leitura a projetos relacionados a engenharia e segurança. A Snowflake foi notificada em 23 de junho de 2026 e rapidamente implementou uma correção. Embora a empresa tenha afirmado que não houve evidências de acesso não autorizado, a vulnerabilidade destaca a importância de gerenciar adequadamente as credenciais em automações de CI/CD. Até a data do relatório, não havia registro de CVE ou pontuação CVSS associada a essa falha, mas a Wiz recomenda cautela ao lidar com dados não confiáveis em blocos de execução.

O GitLab lançou atualizações de segurança em 17 de agosto de 2026, para corrigir uma vulnerabilidade crítica, identificada como CVE-2026-19478, que pode permitir que atacantes não autenticados modifiquem ou excluam projetos públicos e dados de usuários. Com uma pontuação CVSS de 9.4, essa falha afeta as edições Community e Enterprise do software, especialmente em instalações autogeridas. As versões afetadas incluem todas as versões a partir da 18.2 até antes da 18.11.11, bem como versões 19.0 antes da 19.0.8, 19.1 antes da 19.1.6 e 19.2 antes da 19.2.4. O GitLab.com e o GitLab Dedicated já estão rodando a versão corrigida, portanto, seus usuários não precisam tomar nenhuma ação. Além disso, uma segunda vulnerabilidade, CVE-2026-19650, relacionada a uma fraqueza de CSRF, foi corrigida, com uma pontuação CVSS de 7.1, que requer interação do usuário para ser explorada. O GitLab não divulgou detalhes sobre as condições específicas para a exploração da falha crítica, mas enfatizou a importância de aplicar as correções o mais rápido possível para proteger os dados dos usuários.

Pesquisadores de cibersegurança identificaram uma campanha de exploração de uma vulnerabilidade crítica no VMware vCenter, atribuída a um grupo de ameaças persistentes avançadas (APT) com vínculos suspeitos à China. A falha, identificada como CVE-2026-59310, possui um índice de gravidade CVSS de 9.8 e permite a execução de código arbitrário. A Broadcom lançou um patch para a vulnerabilidade em 29 de julho de 2026. A campanha de exploração começou cinco dias após a divulgação pública da falha e afetou 361 endereços IP únicos em 47 países, com maior incidência na Alemanha, EUA, Turquia, Irã e França.

Pesquisadores de segurança da SSD Secure Disclosure revelaram uma cadeia de exploração em duas etapas que permite acesso total ao kernel do Android em dispositivos que utilizam firmware de modem da Unisoc, através de uma chamada de vídeo VoLTE. A primeira etapa foi divulgada em março de 2026, quando foi identificada uma execução remota de código (RCE) em firmware por meio de uma chamada de vídeo SIP malformada. Para completar a cadeia, o atacante deve controlar uma rede celular 4G privada e a vítima deve atender a chamada. A vulnerabilidade de escalonamento de privilégios, classificada como CWE-1189, reside no firmware do modem compartilhado por pelo menos três chipsets da Unisoc, incluindo o T606, T612 e T7250, utilizados em dispositivos como Motorola E13 e Xiaomi Redmi A5. Até o momento, não há correção disponível e a Unisoc não respondeu aos contatos dos pesquisadores. A situação é preocupante, pois a falha permite que o código do modem modifique a memória do kernel Android, comprometendo a segurança dos dispositivos afetados. Os proprietários de dispositivos devem ficar atentos a atualizações de firmware de seus fabricantes.

Na última sexta-feira, a Microsoft anunciou que está trabalhando em um patch para uma vulnerabilidade zero-day no Microsoft Defender, identificada como ‘ShieldBreak’. Essa falha, divulgada pelo pesquisador de segurança conhecido como ‘Nightmare Eclipse’, permite que atacantes locais com permissões limitadas escalem seus privilégios para o nível de SYSTEM em sistemas Windows 10, Windows 11 e Windows Server. A vulnerabilidade foi classificada como CVE-2026-69414 e é considerada uma continuação de uma falha anterior chamada RoguePlanet, que não foi devidamente corrigida. Nightmare Eclipse apresentou uma prova de conceito (PoC) que demonstra a eficácia do exploit, que foi testado com uma taxa de sucesso de 100% nas versões mais recentes do Windows. A Microsoft, por sua vez, confirmou que está ciente da vulnerabilidade e se comprometeu a fornecer uma atualização de segurança de alta qualidade. A divulgação pública da vulnerabilidade ocorreu em meio a uma disputa entre o pesquisador e a Microsoft sobre práticas de divulgação de falhas e recompensas por bugs. A situação levanta preocupações sobre a segurança dos sistemas que utilizam o Defender, especialmente considerando que a proteção pode ser comprometida após a obtenção de credenciais válidas pelos atacantes.

Quatro cibercriminosos foram presos no Brasil e três outros foram acusados na Europa por explorarem uma vulnerabilidade em um prestador de serviços, permitindo que retirassem fundos das contas de clientes do Commerzbank. A investigação, conduzida pelas polícias federais do Brasil e da Alemanha, revelou que o roubo ocorreu em novembro de 2023 e causou perdas estimadas em cerca de €30 milhões (aproximadamente R$ 160 milhões). Embora o Commerzbank tenha confirmado que seus clientes foram impactados, a instituição assegurou que não houve perdas financeiras para eles. Os hackers aproveitaram uma falha de software introduzida por uma atualização defeituosa em um sistema de processamento de transações. As retiradas não autorizadas foram feitas de várias contas bancárias online na Alemanha e os fundos foram transferidos para o Brasil. A operação, chamada de “Operação Klonen”, resultou na apreensão de bens no valor de até R$ 106 milhões e na prisão de suspeitos em várias cidades brasileiras. Os acusados enfrentam diversas acusações, incluindo furto agravado e lavagem de dinheiro.

Pesquisadores da Universidade de Birmingham e da Universidade de Durham descobriram uma vulnerabilidade crítica no Windows, chamada de “Download more RAM”, que permite a atacantes desativar softwares antivírus e outras proteções com um simples script. Essa falha, que afeta módulos de memória DDR4 e DDR5 de fabricantes como Corsair, G.Skill e ADATA, possibilita que o invasor manipule a configuração da memória, fazendo com que o sistema acredite ter mais memória do que realmente possui. Isso permite contornar medidas de segurança avançadas, como a Virtualization-based Security (VBS) e a Hypervisor-Enforced Code Integrity (HVCI). A vulnerabilidade foi classificada como CVE-2026-23670 e recebeu uma pontuação de severidade de 5.7/10. A Microsoft já lançou um patch para corrigir a falha, mas os usuários devem tomar precauções adicionais, como habilitar a proteção de gravação em seus módulos de memória. A descoberta ressalta a importância de entender as garantias de segurança dos sistemas, pois uma falha em um nível inferior pode comprometer toda a segurança do sistema.

Uma vulnerabilidade crítica de execução remota de código no SAP Commerce Cloud, identificada como CVE-2026-58231, foi corrigida recentemente, mas já está sendo alvo de ataques. Essa falha, que resulta de uma fraqueza na autorização do núcleo do Data Hub Adapter, permite que atacantes não autenticados executem código arbitrário com baixa complexidade. A SAP descreve que a exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade da aplicação. Apesar de a SAP ainda não ter classificado a falha como ativamente explorada, a empresa de inteligência Defused confirmou que tentativas de exploração começaram a ser registradas em honeypots apenas três dias após o lançamento do patch. A SAP recomenda que seus clientes apliquem a correção imediatamente. O grupo de vigilância de segurança Shadowserver monitora mais de 4.200 endereços IP com a impressão digital do SAP Commerce Cloud, a maioria na Europa e América do Norte, mas não há informações sobre quantos já foram protegidos contra esses ataques. A situação é preocupante, especialmente considerando que a SAP já corrigiu várias vulnerabilidades críticas nos últimos meses, destacando a necessidade de atenção constante à segurança em plataformas amplamente utilizadas.

O Centro Nacional de Cibersegurança dos Países Baixos (NCSC) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade de bypass de autenticação no macOS, após a divulgação de um código de exploração público. A falha, identificada como CVE-2026-65400, afeta o recurso de Compartilhamento de Tela do macOS, que utiliza o protocolo VNC na porta TCP 5900. Essa vulnerabilidade permite que atacantes obtenham acesso não autorizado a sistemas, podendo abrir aplicativos, acessar arquivos e alterar configurações de segurança. O NCSC informou que a exploração já foi observada em sistemas expostos à internet, onde os invasores conseguiram acesso root e instalaram um minerador de criptomoedas Monero. Para mitigar o problema, os usuários do macOS são aconselhados a atualizar seus sistemas para versões que corrigem a falha, como macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Caso a atualização não seja viável, recomenda-se desativar o Compartilhamento de Tela. O NCSC não forneceu detalhes sobre a extensão dos ataques ou o número de sistemas afetados, mas enfatizou a necessidade de ações imediatas para proteger os sistemas vulneráveis.

A Microsoft lançou patches de segurança para uma vulnerabilidade zero-day no Windows, conhecida como ‘LegacyHive’, que foi divulgada após o Patch Tuesday de julho de 2026. A falha foi descoberta pelo pesquisador de segurança que utiliza o pseudônimo ‘Nightmare Eclipse’, que criticou as práticas de recompensa e divulgação de vulnerabilidades da Microsoft. O exploit, que foi publicado logo após a divulgação dos patches, permite que usuários não administradores modifiquem o registro do sistema e executem código automaticamente quando uma conta de administrador faz login. Embora o exploit exija credenciais adicionais, o que dificulta sua exploração, a vulnerabilidade ainda representa um risco significativo. A Microsoft reconheceu a falha como CVE-2026-62832, resultante de uma resolução inadequada de links antes do acesso a arquivos no Serviço de Perfil de Usuário do Windows. Além disso, a ACROS Security lançou patches não oficiais para sistemas afetados. A situação é preocupante, pois a exploração bem-sucedida pode permitir que atacantes acessem dados de outros usuários e obtenham privilégios de administrador sem interação do usuário. A Microsoft ainda não reconheceu publicamente Nightmare Eclipse como o descobridor da falha, rotulando-o como um pesquisador anônimo.

O pesquisador de segurança conhecido como Nightmare Eclipse revelou uma nova vulnerabilidade zero-day chamada ShieldBreak, que permite a escalada de privilégios em sistemas Windows, incluindo todas as versões do Windows 11, mesmo aquelas com as últimas atualizações de segurança. A falha, que contorna um patch anterior da Microsoft, foi divulgada logo após a atualização de segurança de agosto da empresa, aumentando a preocupação entre os usuários. A vulnerabilidade permite que atacantes obtenham privilégios de nível SYSTEM, o que pode comprometer a segurança de sistemas vulneráveis. Nightmare Eclipse já havia revelado outras falhas, totalizando dez vulnerabilidades desde abril de 2026, e a Microsoft está ciente da situação, mas ainda investiga a validade das alegações. A empresa declarou que apoia a divulgação coordenada de vulnerabilidades, mas a situação levanta questões sobre a eficácia de suas atualizações de segurança e a proteção dos usuários. A vulnerabilidade ShieldBreak, assim como outras divulgadas anteriormente, ainda não possui um patch disponível, o que representa um risco significativo para os usuários do Windows.

Uma nova vulnerabilidade no Microsoft SharePoint, identificada como CVE-2026-55040, está sendo ativamente explorada por agentes maliciosos após a divulgação de um código de prova de conceito (PoC). Com uma pontuação CVSS de 9.1, essa falha permite a bypass de uma funcionalidade crítica de autenticação, possibilitando que atacantes não autenticados realizem operações arbitrárias como usuários ou administradores de um site SharePoint vulnerável. A Microsoft lançou um patch para essa vulnerabilidade em julho de 2026, mas a exploração começou a aumentar após a liberação do PoC pela Rapid7. O ataque se aproveita de fraquezas na validação de tokens JWT, permitindo que um invasor forje um token válido e se passe por qualquer usuário do SharePoint. Desde 19 de julho, foram registradas 12 tentativas de exploração, com um aumento significativo nos dias 12 e 13 de agosto, originadas de endereços IP de cinco países, incluindo os EUA e Japão. Os usuários do SharePoint são aconselhados a manter suas instâncias atualizadas para garantir a proteção adequada.

Uma vulnerabilidade crítica no Microsoft SharePoint, identificada como CVE-2026-55040, está sendo explorada ativamente por atacantes. Essa falha de segurança, que permite a bypass de autenticação no pipeline de validação de tokens JWT, possibilita que invasores sem privilégios realizem operações como usuários ou administradores de um site SharePoint. A Microsoft lançou um patch para essa vulnerabilidade em julho de 2026, alertando os clientes sobre a necessidade de atualizar seus sistemas, especialmente aqueles que utilizam o SharePoint Enterprise Server 2016 e o SharePoint Server 2019. A empresa destacou que a exploração dessa falha pode permitir a divulgação de arquivos e a modificação de dados, embora não impacte a disponibilidade do sistema. A Rapid7, que publicou um código de prova de conceito (PoC) para a vulnerabilidade, informou que o código já foi utilizado em ataques direcionados a honeypots. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) também emitiu um alerta, recomendando que as equipes de segurança evitem expor diretamente os servidores SharePoint na internet e sigam as diretrizes de segurança da Microsoft. Com mais de 8.500 servidores SharePoint expostos online, a situação requer atenção urgente das organizações para mitigar riscos potenciais.

Hackers da Coreia do Norte, associados ao grupo Lazarus, estão explorando uma vulnerabilidade zero-day do Windows (CVE-2026-68820) para atacar empresas do setor de defesa, como parte da campanha chamada Operation Dream Job. A Microsoft corrigiu essa falha em suas atualizações de segurança deste mês, destacando que ela está sendo ativamente explorada. A vulnerabilidade permite que um usuário autenticado local execute um aplicativo malicioso, elevando seus privilégios a nível de sistema sem interação do usuário. A campanha tem como alvo organizações na Europa e na Índia, utilizando ofertas de emprego fraudulentas para comprometer as vítimas. Além disso, os hackers implementaram um novo backdoor chamado Troy, que permite uma série de comandos maliciosos, como execução de processos remotos e injeção de DLLs na memória. A Check Point, empresa de cibersegurança, identificou que a campanha também se estendeu para a América do Sul, incluindo o Brasil, e que os hackers têm se tornado mais furtivos, utilizando infraestrutura web legítima para ocultar suas comunicações maliciosas. A análise sugere que a evolução das táticas do Lazarus representa uma ameaça crescente para o setor de defesa e outras indústrias críticas.

O pesquisador de segurança conhecido como Nightmare Eclipse divulgou um novo exploit zero-day do Microsoft Defender, denominado ‘ShieldBreak’, após a liberação das atualizações de segurança de agosto de 2026 pela Microsoft. Esta vulnerabilidade é considerada um bypass da falha RoguePlanet, que foi corrigida em julho de 2026. O exploit permite que atacantes obtenham privilégios de SYSTEM em sistemas Windows 10, Windows 11 e Windows Server totalmente atualizados. Nightmare Eclipse afirmou que a falha RoguePlanet (CVE-2026-50656) não foi adequadamente corrigida, e o PoC (Proof of Concept) demonstrou uma taxa de sucesso de 100% em testes realizados nas versões mais recentes do Windows 11 e Windows Server 2025. A Microsoft respondeu com advertências legais contra atividades maliciosas, levando especialistas em cibersegurança a acreditar que a empresa estava ameaçando o pesquisador. Desde abril de 2026, Nightmare Eclipse já divulgou várias outras falhas zero-day relacionadas ao Microsoft Defender e componentes do Windows, algumas das quais ainda aguardam correções oficiais. A situação destaca a necessidade urgente de atenção à segurança cibernética, especialmente para organizações que utilizam as tecnologias da Microsoft.