Vulnerabilidade

A Microsoft emitiu um alerta sobre uma falha de segurança de severidade máxima no Entra ID, anteriormente conhecido como Azure Active Directory. A vulnerabilidade, identificada como CVE-2026-69836 e com uma pontuação CVSS de 10.0, permite a execução remota de código devido à deserialização de dados não confiáveis. Isso significa que um atacante não autorizado pode executar código através da rede, comprometendo a segurança do serviço de gerenciamento de identidade e acesso da empresa. A falha foi descoberta pelo engenheiro de segurança Robert Fitzaptrick e, embora tenha sido explorada ativamente, a Microsoft afirmou que já implementou mitigação completa, não exigindo ações dos usuários. Além disso, a empresa também corrigiu uma falha de escalonamento de privilégios no Windows, que estava sendo explorada por um grupo vinculado à Coreia do Norte. A situação destaca a importância da vigilância contínua em relação a vulnerabilidades em serviços amplamente utilizados, como os da Microsoft.

Uma nova vulnerabilidade de segurança no GitLab, identificada como CVE-2026-19478, foi divulgada e já está sendo ativamente explorada. Com uma pontuação CVSS de 9.4, essa falha de injeção de código permite que atacantes não autenticados modifiquem ou excluam projetos públicos do GitLab, além de reescrever dados sem a necessidade de credenciais ou interação do usuário. As versões afetadas incluem o GitLab Community Edition (CE) e o Enterprise Edition (EE) anteriores a 18.11.11, 19.0.8, 19.1.6 e 19.2.4. A exploração pode ocorrer através de uma diretiva GraphQL, e a GitLab já lançou correções para as versões vulneráveis. A empresa watchTowr, que monitora vulnerabilidades, conseguiu reproduzir a falha rapidamente e observou tentativas de exploração em sua rede honeypot. A gravidade da situação é acentuada pelo uso de inteligência artificial por atacantes, que acelera o tempo entre a divulgação da vulnerabilidade e sua exploração. Organizações que ainda não aplicaram os patches devem verificar logs em busca de atividades suspeitas e considerar restringir o acesso não autenticado ao endpoint GraphQL como medida de mitigação.

Um software de controle da NASA, especificamente a interface gráfica do AMMOS Instrument Toolkit (AIT-GUI), apresentou uma vulnerabilidade crítica que permite que atacantes não autenticados acessem e controlem espaçonaves. A falha foi identificada na versão 2.5.1 do AIT-GUI, que opera como um servidor web com todas as interfaces de rede abertas e sem proteção de autenticação ou autorização. Isso significa que um invasor poderia emitir comandos para as espaçonaves e executar scripts do lado do servidor, colocando os veículos quase totalmente fora do controle da NASA. A vulnerabilidade foi divulgada pelo pesquisador Yuval Elbar em 18 de agosto de 2026 e já foi corrigida na versão 2.5.2. A falta de proteção contra CSRF (cross-site request forgery) e a possibilidade de explorar falhas básicas de controle de acesso aumentam o risco. O acesso externo não requer que o atacante esteja na mesma rede, o que torna a situação ainda mais alarmante. A Cycode recomenda que os administradores atualizem o AIT-GUI e realizem verificações no histórico de comandos para mitigar riscos.

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA emitiu um alerta sobre a exploração de uma vulnerabilidade crítica no MLflow, uma plataforma de engenharia de IA de código aberto amplamente utilizada. A falha, identificada como CVE-2026-64849, é uma vulnerabilidade de DNS-rebinding que permite a execução de requisições forjadas do lado do servidor (SSRF), possibilitando que atacantes não privilegiados acessem serviços internos ou configurações de metadados em nuvem em instâncias não corrigidas. A equipe de segurança do MLflow destacou que a API de webhooks do servidor de rastreamento padrão está exposta sem autenticação, permitindo que um atacante não autenticado faça requisições HTTP para endpoints internos e leia as respostas. A CISA adicionou essa vulnerabilidade ao seu catálogo de falhas exploradas e ordenou que as agências federais dos EUA protejam suas instâncias do MLflow em um prazo de duas semanas. A empresa de cibersegurança watchTowr relatou que os atacantes começaram a escanear sistemas MLflow logo após a atribuição do ID CVE, indicando um alto nível de atividade maliciosa. Organizações que utilizam o MLflow devem priorizar a aplicação de patches e revisar logs de auditoria em busca de sinais de comprometimento.

Uma vulnerabilidade crítica identificada como CVE-2026-32475 no plugin Elementor Pro para WordPress pode permitir que atacantes façam upload de arquivos executáveis, possibilitando a execução remota de código no servidor. Essa falha afeta versões do Elementor Pro anteriores à 4.2.2 e está relacionada ao módulo de Upload de Arquivos, que trata entradas de arquivos vazias de maneira inconsistente. Um atacante pode explorar essa vulnerabilidade criando um upload multipart em que a primeira parte tem um nome de arquivo vazio, seguido por um payload PHP malicioso. O processo de validação rejeita a primeira parte, mas a segunda parte é processada e movida para um diretório público, permitindo a execução do código malicioso. O Elementor Pro, amplamente utilizado por mais de 10 milhões de sites, já recebeu um patch para corrigir a falha. Os administradores são aconselhados a atualizar para a versão mais recente e verificar o diretório de uploads para arquivos maliciosos. Até o momento, não foram observados casos de exploração ativa dessa vulnerabilidade.

Pesquisadores da Universidade de Massachusetts Amherst demonstraram um ataque que reativa cartões de crédito Visa contactless expirados para compras em lojas, alterando a data de validade que um terminal de ponto de venda (POS) lê via comunicação por campo próximo (NFC), sem quebrar a criptografia do cartão. O ataque, denominado ‘Zombie Card’, exige a posse física do cartão expirado ou proximidade sustentada a ele, além de um relé man-in-the-middle (MitM) entre o cartão e o terminal. Os testes realizados com cartões expirados de três grandes bancos dos EUA mostraram que um deles aprovou transações reativadas, enquanto outro as rejeitou. O estudo revela que a data de validade do cartão não é protegida criptograficamente, permitindo modificações que enganam o POS. Os pesquisadores sugerem contramedidas, como vincular dados críticos de expiração a assinaturas verificáveis e realizar checagens de consistência entre as representações de expiração. A Visa e os bancos afetados foram notificados, mas até o momento não houve atualizações sobre mitigação. Este ataque representa um risco significativo, especialmente considerando a falta de proteção em sistemas amplamente utilizados.

A Citrix anunciou atualizações para corrigir duas vulnerabilidades de segurança que afetam as implementações do NetScaler ADC e do NetScaler Gateway, incluindo uma falha crítica de bypass de autenticação. As vulnerabilidades impactam versões gerenciadas pelo cliente, mas não afetam os serviços em nuvem gerenciados pela Citrix, que já receberam as atualizações necessárias. A primeira vulnerabilidade, CVE-2026-19489, possui um CVSS de 8.8 e pode causar comportamento imprevisível ou negação de serviço (DoS) quando o SIP ALG está habilitado. A segunda, CVE-2026-19490, com um CVSS de 9.3, permite que atacantes contornem a autenticação em configurações específicas de Gateway ou servidores virtuais AAA. A Citrix recomenda que os clientes revisem suas configurações para determinar se estão expostos a essas falhas e priorizem a aplicação das atualizações. Embora não haja evidências de exploração ativa, vulnerabilidades anteriores da Citrix foram alvo de ataques rápidos após a divulgação. As versões corrigidas incluem NetScaler ADC e Gateway 14.1-73.32 ou posterior e 13.1-63.21 ou posterior.

Pesquisadores de cibersegurança revelaram uma falha crítica no isolated-vm, uma biblioteca open-source popular para Node.js, que pode permitir que atacantes escapem do ambiente isolado. A vulnerabilidade, identificada como ‘GHSA-864f-rcv7-6rh4’, afeta todas as versões da biblioteca até a 7.0.0 e foi corrigida nas versões 6.2.0 e 7.0.1. O isolated-vm é utilizado para executar JavaScript não confiável em um V8 Isolate, permitindo que múltiplos ambientes JavaScript sejam executados simultaneamente sem interferência. A falha reside na classe ExternalCopy, que permite a serialização e desserialização de objetos JavaScript entre o host e o guest. A exploração bem-sucedida da vulnerabilidade pode levar à corrupção de memória no processo host, resultando em falhas de segmentação e potencial execução remota de código. Os usuários são aconselhados a atualizar para as versões mais recentes para garantir proteção adequada. Embora a falha tenha sido crítica, a integridade da fronteira de isolamento do V8 foi mantida, indicando que a falha estava no código de ligação C++ que gerencia a transferência de valores.

A Adversa AI revelou uma técnica de ataque chamada ‘Cryptographic Context Injection’, que pode fazer com que o chatbot Grok, da xAI, envie informações sensíveis de usuários, como nome, localização aproximada e histórico de conversas, para um servidor controlado por atacantes. O ataque ocorre quando o usuário solicita um resumo de uma página da web, sem qualquer confirmação ou aviso visível. A técnica foi testada na versão 4.5 Fast do Grok e apresentou uma taxa de sucesso de 40% em 20 tentativas desde junho de 2026. O ataque utiliza instruções criptografadas que são executadas pelo código Python do Grok, permitindo que dados privados sejam enviados sem a devida autorização. A Adversa AI notificou a xAI sobre a vulnerabilidade em junho, mas não recebeu uma resposta adequada. Além disso, a pesquisa também demonstrou vulnerabilidades no modelo Gemini da Google, que permitiram a execução de injeções de prompt invisíveis. A falta de um patch ou solução imediata para o Grok levanta preocupações sobre a segurança dos dados dos usuários e a conformidade com a LGPD no Brasil.

O CERT Polska, equipe de resposta a incidentes de segurança da Polônia, alertou sobre a exploração de uma vulnerabilidade crítica na Zimbra Collaboration Suite (ZCS), um software amplamente utilizado para e-mails e colaboração. A falha, identificada como CVE-2026-73570, permite que atacantes não autenticados realizem execução remota de código ao explorar uma fraqueza de injeção de comandos no componente de monitoramento SNMP, quando as notificações SNMP estão ativadas. A equipe de segurança da Zimbra lançou uma atualização (versão 10.1.20) em 20 de julho para corrigir essa vulnerabilidade. Atualmente, mais de 12.100 servidores Zimbra estão expostos na internet, com a maioria localizada na Europa e na Ásia. O CERT Polska alertou que os administradores devem verificar logs em busca de atividades suspeitas, como reinicializações inesperadas do serviço Zimbra e arquivos criados em diretórios específicos. A vulnerabilidade já está sendo ativamente explorada, e falhas anteriores no Zimbra foram utilizadas em ataques direcionados a servidores de e-mail vulneráveis, destacando a necessidade de vigilância constante e atualização de sistemas.

Pesquisadores de cibersegurança revelaram uma falha crítica no plugin Elementor Pro para WordPress, identificada como CVE-2026-32475, com uma pontuação CVSS de 9.0. Essa vulnerabilidade permite a execução remota de código, possibilitando que atacantes não autenticados façam upload de arquivos maliciosos, como scripts PHP, para diretórios públicos. A falha reside no módulo de Formulários, especificamente no campo de Upload de Arquivos, onde a validação da extensão do arquivo e o movimento do arquivo para o diretório público são tratados de forma inadequada. Isso permite que um atacante contorne a lista de bloqueio de extensões ao enviar partes de arquivos. A exploração bem-sucedida pode comprometer sistemas que utilizam versões do plugin anteriores à 4.2.1. A única condição para o ataque é que o site alvo tenha pelo menos uma página publicada do Elementor com um widget de Formulário que contenha um campo de Upload. A vulnerabilidade foi descoberta por Tin Pham e um patch foi disponibilizado em 19 de agosto de 2026. Os usuários do WordPress são aconselhados a manter seus sites e plugins atualizados e a auditar suas configurações para evitar modificações não autorizadas.

Pesquisadores em cibersegurança revelaram um ataque remoto do tipo Spectre que comprometeu a segurança dos Cloudflare Workers, resultando no vazamento de um JSON Web Token (JWT) de um Worker co-localizado no ambiente de produção. O ataque conseguiu extrair dados a uma taxa de até 12 bits por segundo, superando em 360 vezes um ataque anterior demonstrado em 2021. A pesquisa envolveu um Worker atacante e um Worker vítima, com o JWT colocado intencionalmente na memória do trabalhador alvo. A Cloudflare afirmou que não houve acesso a dados de clientes e que já implementou mitigação para o problema, melhorando o isolamento de processos dinâmicos (DyPrIs) e integrando o V8 Sandbox. Os pesquisadores destacaram que a implementação do DyPrIs era insuficiente, permitindo vazamentos entre inquilinos em processos compartilhados. O ataque não dependia de exploração de software ou fuga do sandbox, mas sim de uma leitura de memória dentro do processo compartilhado. A Cloudflare também implementou medidas adicionais de proteção, como chaves de proteção de memória (MPK) para isolamento em processo. Embora o ataque tenha sido mitigado, a pesquisa ressalta a necessidade de uma detecção robusta durante a execução para evitar vazamentos de dados.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade de execução remota de código (RCE) crítica no componente Windows Internet Key Exchange (IKE) Service Extensions, identificada como CVE-2026-33824. Essa falha afeta todas as versões suportadas do Windows 10, Windows 11 e Windows Server, permitindo que atacantes não autorizados executem código malicioso ao enviar pacotes especialmente elaborados para sistemas Windows não corrigidos através das portas UDP 500 ou 4500. A Microsoft já lançou um patch para corrigir a vulnerabilidade, mas a CISA recomendou que, enquanto a atualização não for aplicada, as equipes de segurança bloqueiem o tráfego de entrada nessas portas em sistemas que não utilizam o IKE. A CISA também classificou a vulnerabilidade como ativamente explorada, exigindo que as agências federais dos EUA tomem medidas para proteger seus dispositivos em um prazo de três dias. A situação é preocupante, pois esse tipo de vulnerabilidade é um vetor de ataque comum para cibercriminosos, representando riscos significativos para a segurança das redes federais e, potencialmente, para empresas no Brasil que utilizam tecnologias da Microsoft.

A Microsoft anunciou a resolução de um bug que fazia com que o Windows Defender falhasse após uma atualização de segurança recente, resultando em erros de violação de acesso 0xc0000005 em alguns sistemas. O Microsoft Defender é um software de segurança que oferece proteção em tempo real contra malware, vírus, ransomware e spyware em dispositivos Windows, macOS, Linux, Android e iOS. Usuários começaram a relatar mensagens de erro como “O serviço de ameaça parou. Reinicie-o agora” em dispositivos com Windows 10 e 11, levando alguns a reinstalar o sistema operacional. A Microsoft confirmou o problema e informou que a correção foi incluída em uma nova atualização de assinatura. A empresa recomenda que os usuários atualizem seus sistemas via Windows Update para garantir a instalação da atualização de inteligência de segurança mais recente. Além disso, em maio, houve relatos de que o Defender sinalizou entradas de certificados raiz da DigiCert como malware, resultando em alertas falsos positivos. Este incidente destaca a importância de manter os sistemas atualizados para evitar falhas de segurança e interrupções no serviço.

Um shell web JavaServer Pages (JSP) foi identificado como uma plataforma de extorsão totalmente equipada, implantada após a exploração de uma falha de segurança crítica nos servidores PTC Windchill e FlexPLM. De acordo com a ReliaQuest, essa vulnerabilidade, classificada como CVE-2026-12569 com uma pontuação CVSS de 9.3, permite que atacantes executem código arbitrário ao enviar solicitações maliciosas. O shell web é projetado especificamente para o software de gerenciamento do ciclo de vida do produto (PLM) e é capaz de mapear dados sensíveis, descriptografar credenciais e executar código adicional, funcionando como uma porta dos fundos para acesso remoto e atividades pós-exploração, como movimentação lateral e ransomware. A operação foi atribuída ao grupo de ransomware Clop, que já utilizou shells personalizados em campanhas anteriores. A exposição das credenciais do LDAP pode resultar em um comprometimento em toda a rede, aumentando o risco de roubo de dados e ataques subsequentes. A capacidade do shell de executar código fornecido pelo atacante em memória permite a implantação de cargas úteis secundárias, aumentando ainda mais a gravidade da ameaça.

Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware descobriram que cartões SIM maliciosos podem explorar uma vulnerabilidade em dispositivos, permitindo que atacantes executem comandos remotamente. O estudo focou em uma funcionalidade chamada Proactive SIM, que permite que um SIM envie comandos para o dispositivo, em vez de apenas identificar o usuário na rede. A pesquisa revelou que, de 26 dispositivos testados, nove apresentaram uma interface SIM AT exposta, sendo a maioria em hardware de máquina a máquina, como módulos celulares e carregadores de veículos elétricos. Embora o ataque exija que o invasor já tenha controle sobre o SIM, a possibilidade de exploração em equipamentos IoT é alarmante, especialmente em dispositivos que não recebem atualizações de firmware com frequência. A Qualcomm já desenvolveu uma configuração mais segura que desativa essa interface por padrão, mas a falta de avisos públicos por parte dos fabricantes é preocupante. A situação destaca a necessidade de atenção redobrada em relação à segurança de dispositivos conectados, especialmente aqueles que operam sem supervisão constante.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) confirmou que grupos de ransomware estão explorando uma vulnerabilidade crítica no Windows Task Host, identificada como CVE-2025-60710. Essa falha de escalonamento de privilégios, que afeta dispositivos com Windows 11 e Windows Server 2025, permite que atacantes locais com permissões de usuário básico adquiram privilégios de SYSTEM, obtendo controle total sobre dispositivos não corrigidos. A vulnerabilidade foi corrigida pela Microsoft em novembro de 2025, mas a CISA a incluiu em sua lista de vulnerabilidades ativamente exploradas em 13 de abril, dando um prazo de duas semanas para que agências federais protegessem seus sistemas. Embora a CISA não tenha fornecido detalhes sobre ataques em andamento, a agência alertou que esse tipo de vulnerabilidade é um vetor de ataque frequente e representa riscos significativos para a segurança federal. Além disso, a CISA também destacou que grupos de ransomware começaram a explorar uma vulnerabilidade de execução remota de código no Microsoft SharePoint (CVE-2026-45659). Desde novembro de 2021, a CISA identificou 383 vulnerabilidades ativamente exploradas em produtos da Microsoft, 112 das quais foram utilizadas em ataques de ransomware.

A Varonis Threat Labs revelou três vulnerabilidades no Microsoft Copilot Personal, coletivamente chamadas de CoSnitch, que podem permitir que um clique em um link malicioso extraia dados de aplicativos conectados e outras informações disponíveis na sessão do usuário. As falhas foram reportadas à Microsoft em dezembro de 2025 e corrigidas em 18 de agosto de 2026. O CVE-2026-24301 documenta essas vulnerabilidades, que incluem a execução automática de prompts e a exfiltração de dados através de serviços conectados. Os pesquisadores descobriram que um parâmetro não documentado, ‘autorun=1’, poderia ser utilizado em combinação com outro parâmetro para executar comandos sem interação do usuário. Embora não haja evidências de exploração ativa, a Varonis recomenda que os usuários revisem quais aplicativos estão conectados ao Copilot e desconectem aqueles que não são necessários. A pesquisa destaca a importância de tratar assistentes de IA como insiders privilegiados, especialmente em relação à detecção de anomalias e revisão de acessos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma falha crítica no framework Ray ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando evidências de exploração ativa. A vulnerabilidade, identificada como CVE-2025-62593, possui uma pontuação CVSS de 9.4 e permite a execução remota de código através de navegadores como Mozilla Firefox e Apple Safari, utilizando um ataque de DNS rebinding. A falha se origina da falta de autenticação em endpoints críticos do Ray, o que possibilita que atacantes executem código arbitrário em ambientes de desenvolvimento. O problema afeta principalmente desenvolvedores que utilizam o Ray em suas máquinas, especialmente se forem vítimas de phishing ou anúncios maliciosos. A vulnerabilidade já foi explorada por grupos de ataque, como o botnet RondoDox, e também está sendo usada em campanhas de mineração de criptomoedas. A versão 2.52.0 do pacote Python Ray já corrige a falha, e a CISA recomenda que agências federais apliquem as correções até 20 de agosto de 2026.

Uma vulnerabilidade crítica foi identificada no plugin Forminator Forms, utilizado em mais de 600 mil sites WordPress, que permite a execução de código arbitrário. A falha, classificada como CVE-2026-15748 e com uma pontuação de 9.8 no sistema CVSS, foi descoberta por um pesquisador de segurança conhecido como ‘daroo’. A vulnerabilidade permite que atacantes não autenticados façam upload de arquivos, incluindo arquivos PHP executáveis, em sites vulneráveis, levando a uma possível tomada de controle total do site. Para que a exploração seja bem-sucedida, o site deve conter um formulário com um campo de upload de arquivo e um campo de seleção. A falha afeta todas as versões do plugin até a 1.56.1, sendo corrigida na versão 1.56.2, lançada em 31 de julho de 2026. O problema reside na função ‘handle_file_upload()’, que não valida adequadamente os tipos de arquivo. Embora os arquivos sejam, por padrão, enviados para um diretório protegido, configurações personalizadas podem expor o site a riscos. Os proprietários de sites que utilizam o Forminator Forms devem atualizar imediatamente para a versão corrigida para evitar possíveis ataques.

Pesquisadores de cibersegurança da Wiz identificaram uma vulnerabilidade de injeção no fluxo de trabalho do GitHub Actions no repositório público snowflakedb/snowflake-connector-net da Snowflake. A falha permitia a execução de comandos em um fluxo de trabalho que continha credenciais internas do Jira, expostas quando um problema público era aberto. A vulnerabilidade estava localizada no arquivo .github/workflows/jira_issue.yml, que expunha informações sensíveis como JIRA_BASE_URL, JIRA_USER_EMAIL e JIRA_API_TOKEN. A Wiz conseguiu explorar a falha durante testes de segurança autorizados, obtendo o token da API do Jira, que permitia acesso de leitura a projetos relacionados a engenharia e segurança. A Snowflake foi notificada em 23 de junho de 2026 e rapidamente implementou uma correção. Embora a empresa tenha afirmado que não houve evidências de acesso não autorizado, a vulnerabilidade destaca a importância de gerenciar adequadamente as credenciais em automações de CI/CD. Até a data do relatório, não havia registro de CVE ou pontuação CVSS associada a essa falha, mas a Wiz recomenda cautela ao lidar com dados não confiáveis em blocos de execução.

O GitLab lançou atualizações de segurança em 17 de agosto de 2026, para corrigir uma vulnerabilidade crítica, identificada como CVE-2026-19478, que pode permitir que atacantes não autenticados modifiquem ou excluam projetos públicos e dados de usuários. Com uma pontuação CVSS de 9.4, essa falha afeta as edições Community e Enterprise do software, especialmente em instalações autogeridas. As versões afetadas incluem todas as versões a partir da 18.2 até antes da 18.11.11, bem como versões 19.0 antes da 19.0.8, 19.1 antes da 19.1.6 e 19.2 antes da 19.2.4. O GitLab.com e o GitLab Dedicated já estão rodando a versão corrigida, portanto, seus usuários não precisam tomar nenhuma ação. Além disso, uma segunda vulnerabilidade, CVE-2026-19650, relacionada a uma fraqueza de CSRF, foi corrigida, com uma pontuação CVSS de 7.1, que requer interação do usuário para ser explorada. O GitLab não divulgou detalhes sobre as condições específicas para a exploração da falha crítica, mas enfatizou a importância de aplicar as correções o mais rápido possível para proteger os dados dos usuários.

Pesquisadores de cibersegurança identificaram uma campanha de exploração de uma vulnerabilidade crítica no VMware vCenter, atribuída a um grupo de ameaças persistentes avançadas (APT) com vínculos suspeitos à China. A falha, identificada como CVE-2026-59310, possui um índice de gravidade CVSS de 9.8 e permite a execução de código arbitrário. A Broadcom lançou um patch para a vulnerabilidade em 29 de julho de 2026. A campanha de exploração começou cinco dias após a divulgação pública da falha e afetou 361 endereços IP únicos em 47 países, com maior incidência na Alemanha, EUA, Turquia, Irã e França.

Pesquisadores de segurança da SSD Secure Disclosure revelaram uma cadeia de exploração em duas etapas que permite acesso total ao kernel do Android em dispositivos que utilizam firmware de modem da Unisoc, através de uma chamada de vídeo VoLTE. A primeira etapa foi divulgada em março de 2026, quando foi identificada uma execução remota de código (RCE) em firmware por meio de uma chamada de vídeo SIP malformada. Para completar a cadeia, o atacante deve controlar uma rede celular 4G privada e a vítima deve atender a chamada. A vulnerabilidade de escalonamento de privilégios, classificada como CWE-1189, reside no firmware do modem compartilhado por pelo menos três chipsets da Unisoc, incluindo o T606, T612 e T7250, utilizados em dispositivos como Motorola E13 e Xiaomi Redmi A5. Até o momento, não há correção disponível e a Unisoc não respondeu aos contatos dos pesquisadores. A situação é preocupante, pois a falha permite que o código do modem modifique a memória do kernel Android, comprometendo a segurança dos dispositivos afetados. Os proprietários de dispositivos devem ficar atentos a atualizações de firmware de seus fabricantes.

Na última sexta-feira, a Microsoft anunciou que está trabalhando em um patch para uma vulnerabilidade zero-day no Microsoft Defender, identificada como ‘ShieldBreak’. Essa falha, divulgada pelo pesquisador de segurança conhecido como ‘Nightmare Eclipse’, permite que atacantes locais com permissões limitadas escalem seus privilégios para o nível de SYSTEM em sistemas Windows 10, Windows 11 e Windows Server. A vulnerabilidade foi classificada como CVE-2026-69414 e é considerada uma continuação de uma falha anterior chamada RoguePlanet, que não foi devidamente corrigida. Nightmare Eclipse apresentou uma prova de conceito (PoC) que demonstra a eficácia do exploit, que foi testado com uma taxa de sucesso de 100% nas versões mais recentes do Windows. A Microsoft, por sua vez, confirmou que está ciente da vulnerabilidade e se comprometeu a fornecer uma atualização de segurança de alta qualidade. A divulgação pública da vulnerabilidade ocorreu em meio a uma disputa entre o pesquisador e a Microsoft sobre práticas de divulgação de falhas e recompensas por bugs. A situação levanta preocupações sobre a segurança dos sistemas que utilizam o Defender, especialmente considerando que a proteção pode ser comprometida após a obtenção de credenciais válidas pelos atacantes.

Quatro cibercriminosos foram presos no Brasil e três outros foram acusados na Europa por explorarem uma vulnerabilidade em um prestador de serviços, permitindo que retirassem fundos das contas de clientes do Commerzbank. A investigação, conduzida pelas polícias federais do Brasil e da Alemanha, revelou que o roubo ocorreu em novembro de 2023 e causou perdas estimadas em cerca de €30 milhões (aproximadamente R$ 160 milhões). Embora o Commerzbank tenha confirmado que seus clientes foram impactados, a instituição assegurou que não houve perdas financeiras para eles. Os hackers aproveitaram uma falha de software introduzida por uma atualização defeituosa em um sistema de processamento de transações. As retiradas não autorizadas foram feitas de várias contas bancárias online na Alemanha e os fundos foram transferidos para o Brasil. A operação, chamada de “Operação Klonen”, resultou na apreensão de bens no valor de até R$ 106 milhões e na prisão de suspeitos em várias cidades brasileiras. Os acusados enfrentam diversas acusações, incluindo furto agravado e lavagem de dinheiro.

Pesquisadores da Universidade de Birmingham e da Universidade de Durham descobriram uma vulnerabilidade crítica no Windows, chamada de “Download more RAM”, que permite a atacantes desativar softwares antivírus e outras proteções com um simples script. Essa falha, que afeta módulos de memória DDR4 e DDR5 de fabricantes como Corsair, G.Skill e ADATA, possibilita que o invasor manipule a configuração da memória, fazendo com que o sistema acredite ter mais memória do que realmente possui. Isso permite contornar medidas de segurança avançadas, como a Virtualization-based Security (VBS) e a Hypervisor-Enforced Code Integrity (HVCI). A vulnerabilidade foi classificada como CVE-2026-23670 e recebeu uma pontuação de severidade de 5.7/10. A Microsoft já lançou um patch para corrigir a falha, mas os usuários devem tomar precauções adicionais, como habilitar a proteção de gravação em seus módulos de memória. A descoberta ressalta a importância de entender as garantias de segurança dos sistemas, pois uma falha em um nível inferior pode comprometer toda a segurança do sistema.

Uma vulnerabilidade crítica de execução remota de código no SAP Commerce Cloud, identificada como CVE-2026-58231, foi corrigida recentemente, mas já está sendo alvo de ataques. Essa falha, que resulta de uma fraqueza na autorização do núcleo do Data Hub Adapter, permite que atacantes não autenticados executem código arbitrário com baixa complexidade. A SAP descreve que a exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade da aplicação. Apesar de a SAP ainda não ter classificado a falha como ativamente explorada, a empresa de inteligência Defused confirmou que tentativas de exploração começaram a ser registradas em honeypots apenas três dias após o lançamento do patch. A SAP recomenda que seus clientes apliquem a correção imediatamente. O grupo de vigilância de segurança Shadowserver monitora mais de 4.200 endereços IP com a impressão digital do SAP Commerce Cloud, a maioria na Europa e América do Norte, mas não há informações sobre quantos já foram protegidos contra esses ataques. A situação é preocupante, especialmente considerando que a SAP já corrigiu várias vulnerabilidades críticas nos últimos meses, destacando a necessidade de atenção constante à segurança em plataformas amplamente utilizadas.

O Centro Nacional de Cibersegurança dos Países Baixos (NCSC) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade de bypass de autenticação no macOS, após a divulgação de um código de exploração público. A falha, identificada como CVE-2026-65400, afeta o recurso de Compartilhamento de Tela do macOS, que utiliza o protocolo VNC na porta TCP 5900. Essa vulnerabilidade permite que atacantes obtenham acesso não autorizado a sistemas, podendo abrir aplicativos, acessar arquivos e alterar configurações de segurança. O NCSC informou que a exploração já foi observada em sistemas expostos à internet, onde os invasores conseguiram acesso root e instalaram um minerador de criptomoedas Monero. Para mitigar o problema, os usuários do macOS são aconselhados a atualizar seus sistemas para versões que corrigem a falha, como macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Caso a atualização não seja viável, recomenda-se desativar o Compartilhamento de Tela. O NCSC não forneceu detalhes sobre a extensão dos ataques ou o número de sistemas afetados, mas enfatizou a necessidade de ações imediatas para proteger os sistemas vulneráveis.

A Microsoft lançou patches de segurança para uma vulnerabilidade zero-day no Windows, conhecida como ‘LegacyHive’, que foi divulgada após o Patch Tuesday de julho de 2026. A falha foi descoberta pelo pesquisador de segurança que utiliza o pseudônimo ‘Nightmare Eclipse’, que criticou as práticas de recompensa e divulgação de vulnerabilidades da Microsoft. O exploit, que foi publicado logo após a divulgação dos patches, permite que usuários não administradores modifiquem o registro do sistema e executem código automaticamente quando uma conta de administrador faz login. Embora o exploit exija credenciais adicionais, o que dificulta sua exploração, a vulnerabilidade ainda representa um risco significativo. A Microsoft reconheceu a falha como CVE-2026-62832, resultante de uma resolução inadequada de links antes do acesso a arquivos no Serviço de Perfil de Usuário do Windows. Além disso, a ACROS Security lançou patches não oficiais para sistemas afetados. A situação é preocupante, pois a exploração bem-sucedida pode permitir que atacantes acessem dados de outros usuários e obtenham privilégios de administrador sem interação do usuário. A Microsoft ainda não reconheceu publicamente Nightmare Eclipse como o descobridor da falha, rotulando-o como um pesquisador anônimo.

O pesquisador de segurança conhecido como Nightmare Eclipse revelou uma nova vulnerabilidade zero-day chamada ShieldBreak, que permite a escalada de privilégios em sistemas Windows, incluindo todas as versões do Windows 11, mesmo aquelas com as últimas atualizações de segurança. A falha, que contorna um patch anterior da Microsoft, foi divulgada logo após a atualização de segurança de agosto da empresa, aumentando a preocupação entre os usuários. A vulnerabilidade permite que atacantes obtenham privilégios de nível SYSTEM, o que pode comprometer a segurança de sistemas vulneráveis. Nightmare Eclipse já havia revelado outras falhas, totalizando dez vulnerabilidades desde abril de 2026, e a Microsoft está ciente da situação, mas ainda investiga a validade das alegações. A empresa declarou que apoia a divulgação coordenada de vulnerabilidades, mas a situação levanta questões sobre a eficácia de suas atualizações de segurança e a proteção dos usuários. A vulnerabilidade ShieldBreak, assim como outras divulgadas anteriormente, ainda não possui um patch disponível, o que representa um risco significativo para os usuários do Windows.

Uma nova vulnerabilidade no Microsoft SharePoint, identificada como CVE-2026-55040, está sendo ativamente explorada por agentes maliciosos após a divulgação de um código de prova de conceito (PoC). Com uma pontuação CVSS de 9.1, essa falha permite a bypass de uma funcionalidade crítica de autenticação, possibilitando que atacantes não autenticados realizem operações arbitrárias como usuários ou administradores de um site SharePoint vulnerável. A Microsoft lançou um patch para essa vulnerabilidade em julho de 2026, mas a exploração começou a aumentar após a liberação do PoC pela Rapid7. O ataque se aproveita de fraquezas na validação de tokens JWT, permitindo que um invasor forje um token válido e se passe por qualquer usuário do SharePoint. Desde 19 de julho, foram registradas 12 tentativas de exploração, com um aumento significativo nos dias 12 e 13 de agosto, originadas de endereços IP de cinco países, incluindo os EUA e Japão. Os usuários do SharePoint são aconselhados a manter suas instâncias atualizadas para garantir a proteção adequada.

Uma vulnerabilidade crítica no Microsoft SharePoint, identificada como CVE-2026-55040, está sendo explorada ativamente por atacantes. Essa falha de segurança, que permite a bypass de autenticação no pipeline de validação de tokens JWT, possibilita que invasores sem privilégios realizem operações como usuários ou administradores de um site SharePoint. A Microsoft lançou um patch para essa vulnerabilidade em julho de 2026, alertando os clientes sobre a necessidade de atualizar seus sistemas, especialmente aqueles que utilizam o SharePoint Enterprise Server 2016 e o SharePoint Server 2019. A empresa destacou que a exploração dessa falha pode permitir a divulgação de arquivos e a modificação de dados, embora não impacte a disponibilidade do sistema. A Rapid7, que publicou um código de prova de conceito (PoC) para a vulnerabilidade, informou que o código já foi utilizado em ataques direcionados a honeypots. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) também emitiu um alerta, recomendando que as equipes de segurança evitem expor diretamente os servidores SharePoint na internet e sigam as diretrizes de segurança da Microsoft. Com mais de 8.500 servidores SharePoint expostos online, a situação requer atenção urgente das organizações para mitigar riscos potenciais.

Hackers da Coreia do Norte, associados ao grupo Lazarus, estão explorando uma vulnerabilidade zero-day do Windows (CVE-2026-68820) para atacar empresas do setor de defesa, como parte da campanha chamada Operation Dream Job. A Microsoft corrigiu essa falha em suas atualizações de segurança deste mês, destacando que ela está sendo ativamente explorada. A vulnerabilidade permite que um usuário autenticado local execute um aplicativo malicioso, elevando seus privilégios a nível de sistema sem interação do usuário. A campanha tem como alvo organizações na Europa e na Índia, utilizando ofertas de emprego fraudulentas para comprometer as vítimas. Além disso, os hackers implementaram um novo backdoor chamado Troy, que permite uma série de comandos maliciosos, como execução de processos remotos e injeção de DLLs na memória. A Check Point, empresa de cibersegurança, identificou que a campanha também se estendeu para a América do Sul, incluindo o Brasil, e que os hackers têm se tornado mais furtivos, utilizando infraestrutura web legítima para ocultar suas comunicações maliciosas. A análise sugere que a evolução das táticas do Lazarus representa uma ameaça crescente para o setor de defesa e outras indústrias críticas.

O pesquisador de segurança conhecido como Nightmare Eclipse divulgou um novo exploit zero-day do Microsoft Defender, denominado ‘ShieldBreak’, após a liberação das atualizações de segurança de agosto de 2026 pela Microsoft. Esta vulnerabilidade é considerada um bypass da falha RoguePlanet, que foi corrigida em julho de 2026. O exploit permite que atacantes obtenham privilégios de SYSTEM em sistemas Windows 10, Windows 11 e Windows Server totalmente atualizados. Nightmare Eclipse afirmou que a falha RoguePlanet (CVE-2026-50656) não foi adequadamente corrigida, e o PoC (Proof of Concept) demonstrou uma taxa de sucesso de 100% em testes realizados nas versões mais recentes do Windows 11 e Windows Server 2025. A Microsoft respondeu com advertências legais contra atividades maliciosas, levando especialistas em cibersegurança a acreditar que a empresa estava ameaçando o pesquisador. Desde abril de 2026, Nightmare Eclipse já divulgou várias outras falhas zero-day relacionadas ao Microsoft Defender e componentes do Windows, algumas das quais ainda aguardam correções oficiais. A situação destaca a necessidade urgente de atenção à segurança cibernética, especialmente para organizações que utilizam as tecnologias da Microsoft.

A Cisco emitiu um alerta sobre uma vulnerabilidade crítica, identificada como CVE-2026-20349, que afeta o software Secure Firewall Adaptive Security Appliance (ASA) e o Secure Firewall Threat Defense (FTD). Com uma pontuação CVSS de 8.6, a falha se deve a uma verificação insuficiente de erros ao processar requisições HTTP, permitindo que um atacante remoto não autenticado cause uma condição de negação de serviço (DoS). O ataque pode ser realizado enviando uma requisição HTTP manipulada ao serviço de VPN SSL de acesso remoto em dispositivos afetados. As versões vulneráveis incluem várias do ASA e FTD, com patches já disponibilizados pela Cisco. A empresa não identificou alternativas para mitigar a falha e alertou que a exploração ativa foi detectada recentemente. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) incluiu a vulnerabilidade em seu catálogo de vulnerabilidades conhecidas, exigindo que agências federais apliquem as correções até 14 de agosto de 2026.

O pesquisador de segurança conhecido como Chaotic Eclipse divulgou uma prova de conceito (PoC) para uma nova vulnerabilidade zero-day chamada ShieldBreak, que afeta o Microsoft Defender para Windows. Esta falha é um bypass de patch para a vulnerabilidade CVE-2026-50656, também conhecida como RoguePlanet, que permite a um atacante obter privilégios de nível SYSTEM, possibilitando a execução de código arbitrário. A vulnerabilidade foi inicialmente divulgada em junho de 2026, mas a Microsoft só lançou um patch quase um mês depois. Chaotic Eclipse afirmou que as atualizações de defesa implementadas pela Microsoft não corrigiram adequadamente a falha, resultando em vazamento de dados em determinadas situações no Windows 11 e Windows Server 2025. A PoC foi testada com uma taxa de sucesso de 100%. Além disso, a Microsoft lançou patches para 421 falhas de segurança, incluindo outras vulnerabilidades críticas. A CISA dos EUA adicionou uma das vulnerabilidades a seu catálogo de vulnerabilidades exploradas conhecidas, exigindo que agências federais apliquem as correções até 25 de agosto de 2026.

A SAP divulgou patches para uma vulnerabilidade de alta severidade no Commerce Cloud, identificada como CVE-2026-58231, que pode permitir a execução de código arbitrário. Avaliada com a pontuação máxima de 10.0 no sistema CVSS, a falha resulta de verificações de autorização insuficientes e falta de validação de entrada. Um atacante não autenticado pode explorar essa vulnerabilidade ao abusar de um cliente de autenticação padrão, enviando entradas especialmente elaboradas para funções que não possuem validação adequada. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade da aplicação. Além dessa vulnerabilidade, a SAP também corrigiu outras três falhas críticas em sua atualização de agosto de 2026, incluindo vulnerabilidades de injeção de código e escrita fora dos limites, que podem resultar em execução de comandos arbitrários e corrupção de memória. A empresa de segurança Onapsis recomenda que os clientes apliquem os patches e reimplantem a versão atualizada do SAP Commerce Cloud. Como solução temporária, é sugerido configurar um conjunto de filtros de IP para restringir o acesso ao endpoint vulnerável.

Recentemente, a empresa de cibersegurança QUIRSO identificou que atores maliciosos estão explorando ativamente uma vulnerabilidade crítica no VMware vCenter, classificada como CVE-2026-59310, com um alto índice de severidade (CVSS 9.8). Essa falha de segurança, que permite a execução de código arbitrário através de um ataque de ‘directory traversal’, foi corrigida pela Broadcom no mês passado. A atividade maliciosa foi detectada após um engajamento de resposta a incidentes, onde foram encontrados 361 endereços IP comprometidos em 47 países, com a maioria localizada na Alemanha, EUA, Turquia, Irã e França. Os atacantes utilizaram um cron job malicioso para manter a persistência no sistema comprometido, utilizando a ferramenta open-source reverse_ssh para estabelecer conexões com a infraestrutura controlada pelos atacantes. A correlação entre a divulgação da vulnerabilidade e a exploração sugere que os atacantes podem ter agido rapidamente após a divulgação pública. Embora a identidade dos responsáveis pela campanha de exploração não esteja clara, acredita-se que se trate de um ator de ameaça persistente avançada (APT). A situação é preocupante, especialmente considerando que o VMware é uma tecnologia amplamente utilizada em ambientes corporativos.

A Cisco emitiu um alerta sobre uma vulnerabilidade de alta severidade, classificada como CVE-2026-20349, que afeta o software Secure Firewall ASA e Threat Defense (FTD). Com uma pontuação de severidade de 8.6, a falha permite que atacantes remotos provoquem a reinicialização de dispositivos afetados ao enviar requisições HTTP maliciosas para o serviço de VPN SSL de Acesso Remoto. A vulnerabilidade pode ser explorada sem necessidade de autenticação ou interação do usuário, especialmente em configurações que utilizam sockets de escuta SSL. A Cisco recomenda que os clientes atualizem para versões corrigidas do software, já que não há soluções alternativas disponíveis. A empresa também informou que a exploração ativa dessa vulnerabilidade foi detectada em agosto de 2026, embora não tenha fornecido detalhes sobre os alvos ou os atacantes envolvidos. Além disso, a Cisco revelou que o Secure Endpoint Connector para Windows, Mac e Linux também possui vulnerabilidades relacionadas ao ClamAV, mas os patches ainda não estão disponíveis. A situação exige atenção imediata dos profissionais de segurança, especialmente considerando a possibilidade de impacto em conformidade com a LGPD.

Pesquisadores de segurança descobriram uma vulnerabilidade crítica no Microsoft SharePoint que permite a um atacante remoto não autenticado assumir a identidade de qualquer usuário, incluindo administradores, sem a necessidade de uma conta válida. A falha, identificada como CVE-2026-55040, possui uma pontuação CVSS de 9.1 e afeta as edições on-premises do SharePoint Server Subscription Edition, 2019 e 2016. Para explorar essa vulnerabilidade, o invasor precisa conhecer o identificador de segurança (SID) ou o nome principal do usuário (UPN) da conta alvo.

Na última terça-feira, a Microsoft lançou suas atualizações mensais de segurança, incluindo um patch para uma vulnerabilidade crítica identificada como CVE-2026-68820, que já está sendo explorada em ataques. Esta falha, que reside em um driver central do kernel do Windows, permite que um invasor que já tenha código em execução na máquina eleve suas permissões para o nível SYSTEM. A exploração depende da ativação de uma condição de corrida no driver. A Check Point Research identificou que o grupo Lazarus utilizou essa vulnerabilidade em sua campanha chamada ‘Operation Dream Job’. Além dessa falha, outras quatro vulnerabilidades críticas foram corrigidas, todas com uma pontuação CVSS de 9.8, que não requerem interação do usuário ou credenciais para serem exploradas. Essas falhas afetam serviços como o Windows DNS Server e o Microsoft QUIC. A Microsoft não atribuiu publicamente a exploração a um grupo específico, mas a gravidade da situação exige atenção imediata, especialmente para ambientes que utilizam os serviços vulneráveis. Os administradores devem priorizar a aplicação do patch para a CVE-2026-68820 e verificar a presença das outras falhas em seus sistemas.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) confirmou que gangues de ransomware começaram a explorar uma vulnerabilidade crítica de execução remota de código no Microsoft SharePoint, identificada como CVE-2026-45659. Essa falha, que permite a execução de código arbitrário em servidores SharePoint não corrigidos, foi classificada como ativamente explorada desde julho. A vulnerabilidade resulta de uma fraqueza na desserialização de dados não confiáveis, permitindo que atacantes com privilégios baixos realizem ataques de baixa complexidade. A CISA incluiu essa vulnerabilidade em seu catálogo de vulnerabilidades conhecidas e ordenou que agências federais protegessem seus servidores em um prazo de três dias. A agência também recomendou que as equipes de segurança monitorassem os servidores afetados, aplicassem os patches mais recentes da Microsoft e utilizassem o Microsoft Defender Antivirus para detectar e remediar possíveis compromissos. Atualmente, mais de 8.500 servidores SharePoint estão expostos online, com mais de 200 deles sem correções para essa vulnerabilidade. A situação é alarmante, pois a exploração de falhas no SharePoint tem sido um vetor frequente de ataque para atores maliciosos, representando riscos significativos para a segurança cibernética.

Pesquisadores de segurança, Alejandro Hernando e Borja Martinez, revelaram uma vulnerabilidade crítica no Windows Plug and Play (PnP) que pode ser explorada para executar código com privilégios de sistema em máquinas com Windows 11 totalmente atualizadas. A técnica, apresentada na DEF CON 34, permite que um usuário não privilegiado transforme o caminho de instalação do PnP em uma execução de código com acesso ao sistema. O ataque pode ser realizado tanto fisicamente, emulando dispositivos USB, quanto remotamente via Remote Desktop, desde que a redireção de USB esteja habilitada. Os pesquisadores demonstraram que, ao emular um dispositivo Sierra Wireless, o Windows instala um serviço que pode ser manipulado para redirecionar o DNS. Além disso, uma falha de travessia de caminho permite que um DLL malicioso seja colocado na pasta System32, resultando em acesso total ao sistema. Embora a Microsoft afirme que a redireção USB não é permitida por padrão, administradores devem estar cientes das configurações que podem permitir essa vulnerabilidade. O estudo destaca a necessidade de monitorar e restringir a instalação de dispositivos, especialmente em ambientes corporativos.

Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware descobriram que cartões SIM maliciosos podem executar comandos em dispositivos que utilizam módulos celulares, como carregadores de veículos elétricos e roteadores industriais. Em um teste com 26 dispositivos, 9 apresentaram a vulnerabilidade, permitindo que os pesquisadores executassem código em um carregador de EV comercial. A maioria dos dispositivos afetados utiliza processadores de comunicação da Qualcomm, e a falha está relacionada à interface RUN AT, que permite que o SIM envie comandos ao modem. Embora a Qualcomm tenha implementado uma configuração endurecida para novos dispositivos, muitos módulos existentes ainda estão vulneráveis. A pesquisa destaca a necessidade de os fornecedores de módulos celulares confirmarem se essa interface está habilitada em seus produtos, especialmente em um cenário onde dispositivos IoT não supervisionados são comuns. A falta de um patch único e a dificuldade de verificação em larga escala tornam a situação crítica, especialmente considerando que a maioria dos dispositivos afetados está em uso em setores como automotivo e industrial.

Pesquisadores de cibersegurança alertaram sobre um ataque à cadeia de suprimentos que impactou a fornecedora de plugins do WordPress, BdThemes. Como resultado, a equipe de plugins da plataforma desativou temporariamente os downloads de vários plugins. Ao contrário de ataques tradicionais, nenhum arquivo de código-fonte foi modificado no repositório oficial do WordPress.org. Em vez disso, os atacantes envenenaram um fluxo de dados JSON remoto estático utilizado por um componente de banner promocional. Os plugins afetados incluem o Element Pack Addons e o Ultimate Store Kit, que possuem mais de 100 mil e 6 mil instalações ativas, respectivamente.

Um ator de ameaças comprometeu a infraestrutura da BdThemes, desenvolvedora de ferramentas de design para WordPress, alterando um feed JSON remoto que era entregue aos navegadores dos administradores. A partir de sábado, todos os produtos afetados da BdThemes foram retirados do download após a equipe de Plugins do WordPress encerrar suas atividades para uma revisão completa. A BdThemes é conhecida por seus plugins premium, como Element Pack e Prime Slider, que possuem mais de 350.000 instalações ativas. A empresa foi alvo de ataques detectados pela empresa de segurança Wordfence, que identificou uma vulnerabilidade de Cross-Site Scripting (XSS) no código de análise do JSON, permitindo que o invasor injetasse código malicioso. O ataque, que começou em 23 de junho, utilizou uma falha na biblioteca Biggop, que gerencia banners promocionais, para criar contas de administrador falsas em sites afetados. O código malicioso manipula consultas ao banco de dados do WordPress para ocultar essas contas, dificultando a detecção. Até o momento, a BdThemes não se manifestou oficialmente sobre o incidente.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade crítica de injeção de comandos no Kemp LoadMaster, um controlador de entrega de aplicativos amplamente utilizado por empresas de tecnologia e entidades governamentais, incluindo a Amazon e a Força Aérea dos EUA. A falha, identificada como CVE-2026-8037, permite que atacantes não autenticados executem comandos arbitrários em dispositivos LoadMaster não corrigidos, explorando entradas de API não tratadas. A Progress Software, responsável pelo Kemp LoadMaster, lançou atualizações de segurança em junho para corrigir a vulnerabilidade, que afeta versões GA v7.2.63.1 ou anteriores e LTSF v7.2.54.17 ou anteriores. A CISA incluiu a falha em seu catálogo de vulnerabilidades ativamente exploradas, exigindo que agências federais dos EUA protejam seus servidores em até três dias. Embora a vulnerabilidade tenha sido identificada, cerca de 300 instâncias do Kemp LoadMaster estão expostas online, levantando preocupações sobre a segurança dessas implementações. A CISA enfatizou a necessidade de priorizar a correção da CVE-2026-8037 para evitar ataques futuros.

A Metabase alertou sobre uma vulnerabilidade de alta severidade em seu software de inteligência de negócios e visualização de dados, que está sendo explorada ativamente como um zero-day. Com uma pontuação CVSS de 10.0, a falha permite que atacantes remotos não autenticados injetem SQL arbitrário no banco de dados da aplicação, possibilitando acesso administrativo. A Metabase confirmou que a Metabase Cloud foi atacada através dessa vulnerabilidade em versões 1.58 e superiores. As instâncias da Metabase Cloud já foram atualizadas, enquanto os usuários de versões auto-hospedadas devem aplicar os patches de segurança imediatamente. As versões afetadas incluem aquelas entre x.58.0 e x.63.0, com correções disponíveis nas versões subsequentes. Como medida temporária, recomenda-se bloquear o endpoint ‘/api/session/reset_password’. A empresa também forneceu indicadores de comprometimento, como chamadas específicas de API que podem indicar uma violação. A Framework, uma das empresas afetadas, informou que dados de clientes, como nomes e endereços, foram acessados, embora informações de pagamento não tenham sido comprometidas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma vulnerabilidade de alta severidade, identificada como CVE-2026-8037, ao seu catálogo de Vulnerabilidades Conhecidas Exploited (KEV). Essa falha, com uma pontuação CVSS de 9.6, é uma vulnerabilidade de injeção de comando que permite que atacantes não autenticados executem comandos arbitrários em dispositivos afetados. A análise da watchTowr Labs revelou que a vulnerabilidade reside em uma função chamada ’escape_quotes()’, que não trata adequadamente a entrada do usuário, possibilitando a injeção de comandos. Apesar de esforços de exploração ativa, a maioria das tentativas, que totalizaram 792 em 41 dias, foram malsucedidas. No entanto, a CISA recomenda que as agências do governo federal dos EUA apliquem patches até 10 de agosto de 2026 para proteger suas redes, conforme a Diretiva Operacional Vinculativa (BOD) 26-04. A vulnerabilidade é uma preocupação significativa, pois pode comprometer a segurança de redes que utilizam o LoadMaster, amplamente empregado em ambientes corporativos.