Vulnerabilidade

Uma vulnerabilidade crítica foi identificada no Terrarium, um sandbox baseado em Python, que pode permitir a execução de código arbitrário. Classificada como CVE-2026-5752, a falha recebeu uma pontuação de 9.3 no sistema CVSS, indicando seu alto risco. A vulnerabilidade se origina de uma exploração na cadeia de protótipos do JavaScript no ambiente WebAssembly do Pyodide, que possibilita a execução de comandos do sistema com privilégios de root no processo Node.js host. Isso pode permitir que atacantes escapem do sandbox e acessem arquivos sensíveis, como ‘/etc/passwd’, além de potencialmente escalar privilégios e comprometer outros serviços na rede do container. Embora a exploração exija acesso local ao sistema, não requer interação do usuário ou privilégios especiais. O pesquisador de segurança Jeremy Brown descobriu e relatou a falha, e como o projeto não está mais sendo mantido, é improvável que um patch seja disponibilizado. O CERT/CC recomenda que os usuários desativem recursos que permitam o envio de código ao sandbox, segmentem a rede e implementem um firewall de aplicação web para detectar tráfego suspeito. A falha destaca a inadequação do sandbox em prevenir o acesso a protótipos de objetos globais, comprometendo a segurança esperada.

A Microsoft lançou atualizações fora do ciclo regular para corrigir uma vulnerabilidade crítica no ASP.NET Core, identificada como CVE-2026-40372, que permite a um atacante escalar privilégios. Com uma pontuação CVSS de 9.1, a falha foi descoberta por um pesquisador anônimo e é classificada como importante. A vulnerabilidade resulta de uma verificação inadequada da assinatura criptográfica na biblioteca Microsoft.AspNetCore.DataProtection, que pode permitir que um invasor obtenha privilégios de sistema em aplicações que utilizam versões específicas da biblioteca em sistemas operacionais não-Windows, como Linux e macOS. A Microsoft esclareceu que a exploração bem-sucedida depende de três condições: o uso da versão 10.0.6 da biblioteca, a carga correta da biblioteca em tempo de execução e a execução em um sistema operacional compatível. A atualização para a versão 10.0.7 corrige a falha, mas tokens legítimos emitidos durante a janela de vulnerabilidade permanecem válidos, a menos que a chave de proteção de dados seja rotacionada. A empresa recomenda que os administradores atualizem suas aplicações imediatamente para mitigar riscos de exploração.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) alertou as agências governamentais sobre uma vulnerabilidade no Catalyst SD-WAN Manager, que está sendo ativamente explorada em ataques. A falha, identificada como CVE-2026-20133, permite que atacantes remotos não autenticados acessem informações sensíveis em dispositivos não corrigidos. A Cisco já havia lançado um patch para essa vulnerabilidade em fevereiro, mas a CISA agora exige que as agências federais apliquem as correções até 24 de abril. A vulnerabilidade é resultado de restrições insuficientes de acesso ao sistema de arquivos, permitindo que um invasor acesse a API do sistema afetado. Além disso, a CISA incluiu essa falha em seu Catálogo de Vulnerabilidades Conhecidas (KEV) devido a evidências de exploração ativa. A Cisco ainda não confirmou a exploração da falha, mas já havia identificado outras vulnerabilidades críticas em seus produtos. A situação destaca a importância de uma resposta rápida a vulnerabilidades em sistemas amplamente utilizados, como os da Cisco, que são comuns em diversas organizações.

Pesquisadores de cibersegurança identificaram uma vulnerabilidade crítica no Protocolo de Contexto de Modelo (MCP) que pode permitir a execução remota de código (RCE) em sistemas vulneráveis. Essa falha, presente no kit de desenvolvimento de software (SDK) da Anthropic, afeta mais de 7.000 servidores acessíveis publicamente e mais de 150 milhões de downloads. A vulnerabilidade se origina de configurações inseguras no transporte STDIO, resultando em injeções de comandos não autenticadas. Os pesquisadores destacam que essa falha não foi corrigida na implementação de referência do MCP, o que perpetua os riscos de execução de código. Para mitigar a ameaça, recomenda-se bloquear o acesso público a serviços sensíveis, monitorar invocações de ferramentas MCP e tratar entradas de configuração como não confiáveis. A situação é alarmante, pois uma única decisão arquitetônica comprometeu a segurança de diversas bibliotecas e projetos que confiam no protocolo. A Anthropic, por sua vez, não pretende modificar a arquitetura do protocolo, o que levanta preocupações sobre a segurança na cadeia de suprimentos de IA.

Um código de exploração de prova de conceito foi publicado para uma falha crítica de execução remota de código (RCE) no protobuf.js, uma implementação JavaScript amplamente utilizada dos Protocol Buffers do Google. Essa biblioteca, que é popular no registro do Node Package Manager (npm) com cerca de 50 milhões de downloads semanais, é utilizada para comunicação entre serviços e armazenamento eficiente de dados estruturados. A vulnerabilidade, identificada como GHSA-xq3m-2v4x-88gg, resulta de uma geração de código dinâmico insegura, onde a biblioteca constrói funções JavaScript a partir de esquemas protobuf sem validar adequadamente os identificadores derivados do esquema. Isso permite que um atacante forneça um esquema malicioso que injete código arbitrário na função gerada, possibilitando a execução desse código quando a aplicação processa uma mensagem usando o esquema comprometido. A falha afeta as versões 8.0.0/7.5.4 e anteriores do protobuf.js, e a Endor Labs recomenda a atualização para as versões 8.0.1 e 7.5.5, que corrigem o problema. Embora a exploração seja considerada simples, até o momento não foram observadas explorações ativas na natureza.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) alertou sobre uma vulnerabilidade crítica em versões antigas do Microsoft Excel, identificada como CVE-2009-0238. Essa falha, detectada em 2009, permite a execução remota de código (RCE), possibilitando que cibercriminosos comprometam sistemas ao enviar documentos Excel maliciosos. Os ataques podem resultar no roubo de informações sensíveis, implantação de ransomware e corrupção da memória do dispositivo. A vulnerabilidade afeta versões do Microsoft Office Excel 2000 SP3 até 2004 e 2008 para Mac, enquanto versões mais recentes já receberam correções. A CISA não detalhou como os documentos maliciosos são enviados, mas a ameaça permanece ativa, com a possibilidade de exploração por hackers. Especialistas associaram a falha à distribuição de um malware conhecido como “Trojan.Mdropper.AC”. É crucial que usuários e empresas que ainda utilizam essas versões antigas do Excel tomem medidas imediatas para mitigar os riscos associados a essa vulnerabilidade.

Recentemente, o pesquisador conhecido como ‘Chaotic Eclipse’ divulgou um exploit de prova de conceito para uma falha zero-day no Microsoft Defender, chamada ‘RedSun’. Essa vulnerabilidade permite a escalada de privilégios locais (LPE), concedendo privilégios de SYSTEM em sistemas operacionais Windows 10, Windows 11 e Windows Server, especialmente nas atualizações mais recentes do Patch Tuesday de abril. O exploit explora um comportamento peculiar do Windows Defender, que reescreve arquivos maliciosos com uma etiqueta de nuvem, permitindo que arquivos de sistema sejam sobrescritos e, assim, concedendo privilégios administrativos ao atacante. Will Dormann, analista de vulnerabilidades, confirmou que o exploit funciona em sistemas totalmente atualizados. O pesquisador também lançou um exploit anterior, chamado ‘BlueHammer’, em protesto contra a forma como a Microsoft lida com a divulgação de vulnerabilidades. A Microsoft, em resposta, afirmou que investiga questões de segurança relatadas e apoia a divulgação coordenada de vulnerabilidades. Essa situação levanta preocupações sobre a segurança de sistemas amplamente utilizados e a necessidade de uma resposta rápida por parte das empresas que utilizam essas tecnologias.

Hackers estão aproveitando uma vulnerabilidade crítica no notebook Python reativo Marimo para implantar uma nova variante do malware NKAbuse, hospedada na plataforma Hugging Face Spaces. As primeiras tentativas de exploração da falha de execução remota de código (CVE-2026-39987) começaram na semana passada, logo após a divulgação pública de detalhes técnicos. Pesquisadores da Sysdig monitoraram a atividade e identificaram uma campanha que começou em 12 de abril, utilizando a plataforma Hugging Face para demonstrar aplicações de inteligência artificial.

Uma vulnerabilidade crítica no Nginx UI, relacionada ao suporte ao Model Context Protocol (MCP), está sendo explorada ativamente, permitindo que atacantes assumam o controle total do servidor sem necessidade de autenticação. A falha, identificada como CVE-2026-33032, ocorre devido à falta de proteção no endpoint ‘/mcp_message’, que permite a execução de ações privilegiadas do MCP sem credenciais. Isso possibilita que um único pedido não autenticado altere o comportamento do servidor, incluindo a modificação e recarregamento de arquivos de configuração do Nginx.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) emitiu um alerta para agências governamentais dos EUA sobre uma vulnerabilidade de escalonamento de privilégios no Windows Task Host, identificada como CVE-2025-60710. Essa falha, que afeta dispositivos com Windows 11 e Windows Server 2025, permite que atacantes locais com permissões básicas elevem seus privilégios a nível de SYSTEM, obtendo controle total sobre o dispositivo comprometido. A vulnerabilidade é resultado de uma fraqueza na resolução de links antes do acesso a arquivos, o que pode ser explorado por atacantes autorizados. A Microsoft lançou um patch para corrigir essa falha em novembro de 2025, e a CISA deu um prazo de duas semanas para que as agências federais implementem as correções. Embora o aviso se aplique principalmente a agências federais, a CISA também recomenda que organizações do setor privado adotem as atualizações de segurança para proteger suas redes. A vulnerabilidade representa um vetor de ataque frequente e significativo, exigindo atenção imediata das equipes de segurança.

Uma falha de segurança crítica, identificada como CVE-2026-33032, foi recentemente divulgada e está sendo ativamente explorada. Essa vulnerabilidade, com um escore CVSS de 9.8, permite que atacantes contornem a autenticação em nginx-ui, uma ferramenta de gerenciamento baseada na web para Nginx. O problema reside na integração do Model Context Protocol (MCP), que expõe dois endpoints HTTP: /mcp e /mcp_message. Enquanto o primeiro requer autenticação, o segundo apenas aplica uma lista de IPs, que por padrão está vazia, permitindo acesso irrestrito. Isso possibilita que qualquer atacante na rede invoque ferramentas do MCP sem autenticação, podendo reiniciar o Nginx, modificar arquivos de configuração e até interceptar tráfego para roubar credenciais de administradores. A vulnerabilidade foi corrigida na versão 2.3.4, lançada em 15 de março de 2026, e recomenda-se que os usuários atualizem imediatamente ou implementem medidas temporárias de segurança. Dados do Shodan indicam que existem cerca de 2.689 instâncias expostas na internet, principalmente na China, EUA, Indonésia, Alemanha e Hong Kong. A situação é crítica, e organizações que utilizam nginx-ui devem agir rapidamente para evitar compromissos de segurança.

O Adobe Acrobat Reader, amplamente utilizado para visualização e compartilhamento de arquivos PDF, foi alvo de uma nova vulnerabilidade de segurança identificada como CVE-2026-34621. Essa falha, classificada como poluição de protótipo, permite a injeção de código JavaScript malicioso, possibilitando que atacantes manipulem objetos e propriedades dentro da aplicação, comprometendo assim o sistema do usuário. A vulnerabilidade foi explorada ativamente desde dezembro de 2025, antes de ser divulgada por um pesquisador de segurança da EXPMON. A Adobe já lançou atualizações de segurança para corrigir essa falha crítica, afetando versões específicas do Acrobat DC e Acrobat Reader DC. Apesar da correção, é importante que os usuários permaneçam vigilantes, especialmente em relação a arquivos PDF recebidos por e-mail, que podem conter vírus. A atualização é essencial para garantir a segurança dos dispositivos e evitar possíveis comprometimentos.

Uma vulnerabilidade crítica, identificada como CVE-2025-0520, afeta o ShowDoc, um serviço de gerenciamento e colaboração de documentos amplamente utilizado na China. Com uma pontuação CVSS de 9.4, a falha permite o upload irrestrito de arquivos, possibilitando que atacantes façam upload de arquivos PHP maliciosos e executem código remotamente. A vulnerabilidade foi descoberta em versões anteriores à 2.8.7 do ShowDoc, que foi corrigida em outubro de 2020. No entanto, novas informações indicam que a exploração ativa dessa falha começou recentemente, com ataques observados em um honeypot nos EUA. Dados da VulnCheck mostram que existem mais de 2.000 instâncias do ShowDoc online, a maioria delas na China. Diante disso, é altamente recomendável que os usuários atualizem para a versão mais recente do software, a 3.8.1, para garantir proteção adequada contra essa ameaça.

Uma vulnerabilidade crítica foi identificada na biblioteca wolfSSL, que implementa SSL/TLS, podendo enfraquecer a segurança na verificação de assinaturas do algoritmo ECDSA. Pesquisadores alertam que um atacante pode explorar essa falha para forçar dispositivos ou aplicações a aceitarem certificados falsificados de servidores maliciosos. A vulnerabilidade, rastreada como CVE-2026-5194 e descoberta por Nicholas Carlini da Anthropic, é um erro de validação criptográfica que afeta múltiplos algoritmos de assinatura, como ECDSA, DSA e EdDSA. A falha permite que resumos de hash inadequadamente fracos sejam aceitos durante a verificação de certificados, o que pode comprometer a autenticação baseada em certificados ECDSA. A wolfSSL, utilizada em mais de 5 bilhões de aplicações e dispositivos em todo o mundo, lançou a versão 5.9.1 em 8 de abril para corrigir essa vulnerabilidade. Organizações que utilizam wolfSSL devem revisar suas implementações e aplicar as atualizações de segurança imediatamente para garantir a validação segura de certificados.

A OpenAI anunciou a descoberta de uma vulnerabilidade em seu fluxo de trabalho do GitHub Actions, que comprometeu diversos aplicativos para macOS, incluindo o ChatGPT Desktop e Codex. A falha permitiu que hackers explorassem um pacote malicioso chamado Axios, que corrompia os aplicativos da empresa. Apesar do incidente, a OpenAI garantiu que não houve exposição de dados de usuários nem danos aos seus sistemas internos. Como medida de precaução, a empresa está revogando e substituindo o certificado de segurança dos aplicativos afetados, que agora serão bloqueados pelas proteções do macOS. O incidente ocorreu em um contexto de crescente preocupação com ataques de supply chain, especialmente após um ataque atribuído a um grupo hacker norte-coreano. A OpenAI está implementando medidas adicionais para proteger seus processos de certificação de aplicativos, destacando a importância de segurança em fluxos de trabalho de desenvolvimento de software.

A Adobe divulgou uma atualização de segurança emergencial para o Acrobat Reader, visando corrigir uma vulnerabilidade crítica identificada como CVE-2026-34621. Essa falha, que tem sido explorada em ataques de zero-day desde dezembro, permite que arquivos PDF maliciosos contornem as restrições de sandbox e invoquem APIs JavaScript privilegiadas, o que pode resultar na execução arbitrária de código. O exploit observado permite a leitura e o roubo de arquivos locais sem necessidade de interação do usuário, além de abusar de APIs como util.readFileIntoStream() e RSS.addFeed() para exfiltração de dados. A vulnerabilidade foi descoberta por Haifei Li, fundador do sistema de detecção de exploits EXPMON, após a análise de um PDF suspeito. A Adobe inicialmente classificou a falha como crítica, mas posteriormente reavaliou sua gravidade para 8.6, considerando que o vetor de ataque é local. A atualização está disponível para várias versões do Acrobat DC e Acrobat Reader DC, e a Adobe recomenda que os usuários atualizem seus aplicativos imediatamente. Não foram listadas alternativas ou mitigação, tornando a aplicação da atualização a única ação recomendada. Os usuários devem ser cautelosos ao abrir PDFs de fontes desconhecidas e preferir ambientes isolados para tal.

O cenário de cibersegurança apresenta uma série de ameaças críticas, incluindo uma vulnerabilidade zero-day no Adobe Acrobat Reader, identificada como CVE-2026-34621, que permite a execução de código malicioso ao abrir PDFs manipulados. Essa falha, com um CVSS de 8.6, está sendo ativamente explorada desde dezembro de 2025, levando a Adobe a lançar atualizações de emergência. Além disso, um grupo de hackers ligado ao Irã tem atacado sistemas de controle industrial nos EUA, causando interrupções operacionais significativas. Outro ponto alarmante é o uso de modelos de IA, como o Mythos da Anthropic, que podem gerar exploits de forma autônoma, aumentando a capacidade de ataque de grupos maliciosos. A operação de desmantelamento do botnet APT28, que explorava vulnerabilidades em roteadores, também destaca a complexidade das ameaças atuais. Por fim, um ataque sofisticado de um grupo norte-coreano resultou no roubo de $285 milhões em ativos digitais, evidenciando a crescente habilidade de atores estatais em realizar operações de espionagem e roubo. Esses eventos ressaltam a necessidade urgente de vigilância e atualização das defesas cibernéticas.

Uma vulnerabilidade crítica foi descoberta na plataforma de notebooks reativos Marimo, permitindo a execução remota de código sem autenticação. A falha, identificada como CVE-2026-39987, afeta as versões 0.20.4 e anteriores e recebeu uma pontuação crítica de 9.3 de 10 pela GitHub. A exploração começou apenas 10 horas após a divulgação pública da falha, com atacantes utilizando informações do aviso do desenvolvedor para realizar operações de exfiltração de dados sensíveis. A vulnerabilidade se origina do endpoint WebSocket ‘/terminal/ws’, que expõe um terminal interativo sem as devidas verificações de autenticação, permitindo que qualquer cliente não autenticado se conecte e execute comandos. O Marimo é amplamente utilizado por cientistas de dados e desenvolvedores, com 20.000 estrelas no GitHub. Os desenvolvedores lançaram a versão 0.23.0 para corrigir a falha, recomendando que os usuários atualizem imediatamente e monitorem as conexões WebSocket. Caso a atualização não seja viável, a recomendação é bloquear o acesso ao endpoint vulnerável.

Uma vulnerabilidade de segurança crítica foi identificada no Marimo, um notebook Python de código aberto voltado para ciência de dados, e foi explorada em menos de 10 horas após sua divulgação pública. A falha, classificada como CVE-2026-39987 com um escore CVSS de 9.3, permite a execução remota de código sem autenticação em todas as versões do Marimo até a 0.20.4. A vulnerabilidade reside no endpoint WebSocket /terminal/ws, que não valida a autenticação, permitindo que atacantes obtenham um shell interativo completo e executem comandos do sistema. A Sysdig observou a primeira tentativa de exploração apenas 9 horas e 41 minutos após a divulgação, onde um ator desconhecido acessou um sistema honeypot e começou a explorar o sistema, buscando dados sensíveis como chaves SSH e o arquivo .env. A rapidez com que as falhas recém-divulgadas estão sendo exploradas indica que os atacantes monitoram atentamente as divulgações de vulnerabilidades, o que reduz o tempo disponível para que os defensores respondam. Isso ressalta que qualquer aplicação exposta à internet com uma vulnerabilidade crítica é um alvo, independentemente de sua popularidade.

Uma vulnerabilidade crítica foi descoberta e já corrigida no EngageLab SDK, um kit de desenvolvimento de software amplamente utilizado em aplicativos Android, que poderia ter colocado em risco milhões de usuários de carteiras de criptomoedas. Segundo a equipe de pesquisa de segurança da Microsoft Defender, essa falha permitia que aplicativos no mesmo dispositivo contornassem a sandbox de segurança do Android, obtendo acesso não autorizado a dados privados. O EngageLab SDK, que oferece um serviço de notificações push, foi integrado em muitos aplicativos do ecossistema de criptomoedas, totalizando mais de 30 milhões de instalações. A vulnerabilidade, identificada na versão 4.5.4 do SDK, é classificada como uma vulnerabilidade de redirecionamento de intent, onde um aplicativo malicioso poderia manipular intents para acessar dados sensíveis de outros aplicativos. Embora não haja evidências de exploração maliciosa, a Microsoft recomenda que os desenvolvedores atualizem para a versão mais recente do SDK para evitar riscos futuros. Este caso destaca como falhas em SDKs de terceiros podem ter implicações de segurança em larga escala, especialmente em setores de alto valor como o gerenciamento de ativos digitais.

Pesquisadores de segurança descobriram uma vulnerabilidade de execução remota de código (RCE) no Apache ActiveMQ Classic, que permaneceu indetectada por 13 anos. A falha, identificada como CVE-2026-34197, recebeu uma pontuação de severidade alta de 8.8 e afeta versões anteriores à 5.19.4 e todas as versões entre 6.0.0 e 6.2.3. O ActiveMQ, um broker de mensagens open-source escrito em Java, é amplamente utilizado em sistemas empresariais e governamentais. A vulnerabilidade foi encontrada pelo pesquisador Naveen Sunkavally, que utilizou o assistente de IA Claude para analisar a interação entre componentes do ActiveMQ. A falha permite que um atacante, ao enviar uma solicitação especialmente elaborada, force o broker a buscar um arquivo XML remoto e executar comandos do sistema durante sua inicialização. Embora a autenticação seja necessária via API Jolokia, versões específicas estão vulneráveis sem autenticação devido a outro bug. Os pesquisadores alertam que, embora a CVE-2026-34197 não esteja sendo ativamente explorada, sinais de exploração foram observados nos logs do broker. Organizações que utilizam ActiveMQ devem tratar essa vulnerabilidade como prioridade alta, dada a recorrência de ataques a essa tecnologia.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) concedeu um prazo de quatro dias para que agências governamentais dos EUA protejam seus sistemas contra uma vulnerabilidade crítica no Ivanti Endpoint Manager Mobile (EPMM), identificada como CVE-2026-1340. Essa falha de injeção de código permite que atacantes não autorizados executem código remotamente em dispositivos EPMM expostos à Internet e não corrigidos. A Ivanti já havia alertado sobre essa e outra vulnerabilidade (CVE-2026-1281) em janeiro, quando lançou atualizações de segurança. A CISA incluiu a CVE-2026-1340 em seu catálogo de vulnerabilidades conhecidas e ordenou que as agências federais aplicassem patches até a meia-noite de 11 de abril. A agência destacou que esse tipo de vulnerabilidade é um vetor de ataque comum e representa riscos significativos para a segurança federal. A Ivanti, que fornece produtos de gerenciamento de ativos de TI para mais de 40.000 clientes, já teve outras vulnerabilidades exploradas em ataques zero-day nos últimos anos, afetando diversas agências governamentais ao redor do mundo.

Uma vulnerabilidade de alta severidade, identificada como CVE-2025-59528, foi descoberta na plataforma de código aberto Flowise, utilizada para desenvolver aplicativos de LLM e sistemas autônomos. Essa falha permite a injeção de código JavaScript sem a realização de verificações de segurança, possibilitando a execução de comandos e acesso ao sistema de arquivos. O problema reside no nó CustomMCP do Flowise, que avalia de forma insegura a configuração do servidor MCP fornecida pelo usuário. A vulnerabilidade foi divulgada publicamente em setembro e, embora a atividade de exploração tenha sido detectada recentemente, existem entre 12.000 e 15.000 instâncias do Flowise expostas na internet. A empresa VulnCheck, que monitora essas atividades, recomenda que os usuários atualizem para a versão 3.1.1 ou, no mínimo, para a 3.0.6, e considerem remover suas instâncias da internet pública se o acesso externo não for necessário. Além disso, outras vulnerabilidades, como CVE-2025-8943 e CVE-2025-26319, também afetam o Flowise e estão sendo ativamente exploradas.

Uma vulnerabilidade crítica foi identificada no complemento premium Ninja Forms File Uploads para WordPress, permitindo o upload de arquivos arbitrários sem autenticação, o que pode resultar em execução remota de código. Classificada como CVE-2026-0740, essa falha já está sendo explorada em ataques ativos, com mais de 3.600 tentativas bloqueadas pelo firewall Wordfence em apenas 24 horas. O Ninja Forms, um construtor de formulários popular com mais de 600.000 downloads, permite que usuários criem formulários sem codificação. A extensão de upload de arquivos, utilizada por cerca de 90.000 clientes, apresenta uma gravidade de 9.8 em 10. A vulnerabilidade se origina da falta de validação dos tipos de arquivos e extensões no nome do arquivo de destino, permitindo que atacantes não autenticados façam upload de arquivos maliciosos, incluindo scripts PHP. A exploração dessa falha pode levar a consequências severas, como a instalação de web shells e a tomada total do site. A vulnerabilidade foi descoberta em 8 de janeiro e um patch completo foi disponibilizado em 19 de março. Usuários do Ninja Forms File Upload são fortemente aconselhados a atualizar para a versão mais recente para mitigar riscos.

Uma vulnerabilidade de alta severidade foi identificada no Docker Engine, permitindo que atacantes contornem plugins de autorização (AuthZ) em circunstâncias específicas. A falha, identificada como CVE-2026-34040, possui uma pontuação CVSS de 8.8 e resulta de uma correção incompleta da vulnerabilidade CVE-2024-41110, revelada em julho de 2024. De acordo com os mantenedores do Docker, um atacante pode enviar uma solicitação de API especialmente elaborada, fazendo com que o daemon do Docker encaminhe a solicitação para um plugin de autorização sem o corpo da requisição. Isso pode permitir que um pedido que normalmente seria negado seja aceito, comprometendo a segurança. A vulnerabilidade foi descoberta por vários pesquisadores de segurança e já foi corrigida na versão 29.3.1 do Docker Engine. O impacto é significativo, pois permite a criação de contêineres privilegiados com acesso ao sistema de arquivos do host, expondo credenciais e dados sensíveis. Além disso, agentes de inteligência artificial (IA) podem ser induzidos a executar códigos maliciosos que exploram essa vulnerabilidade, aumentando ainda mais o risco. Recomenda-se que as organizações evitem o uso de plugins AuthZ que dependem da inspeção do corpo da requisição e limitem o acesso à API do Docker.

Uma grave vulnerabilidade de segurança foi identificada na plataforma de inteligência artificial Flowise, com a classificação CVE-2025-59528, que possui um escore CVSS de 10.0, indicando sua severidade máxima. Essa falha, uma vulnerabilidade de injeção de código, permite a execução remota de código, possibilitando que atacantes executem JavaScript arbitrário no servidor Flowise. O problema reside no nó CustomMCP, que processa configurações de conexão com servidores externos sem validação de segurança adequada, permitindo acesso a módulos perigosos como child_process e fs, que podem comprometer completamente o sistema e permitir a exfiltração de dados sensíveis.

Uma nova vulnerabilidade, chamada BlueHammer, foi divulgada por um pesquisador de segurança insatisfeito com a forma como a Microsoft lidou com o processo de divulgação. Essa falha de escalonamento de privilégios no Windows permite que atacantes obtenham permissões de SYSTEM ou administrador elevado. Sem um patch oficial disponível, a vulnerabilidade é considerada um zero-day. O pesquisador, que se identifica como Chaotic Eclipse, expressou frustração com a Microsoft e publicou um repositório no GitHub contendo o código de exploração. Embora a exploração exija acesso local, o risco é significativo, pois atacantes podem obter acesso local por meio de engenharia social ou outras vulnerabilidades. A falha combina um problema de TOCTOU (time-of-check to time-of-use) e confusão de caminho, permitindo acesso ao banco de dados Security Account Manager (SAM), que contém hashes de senhas. Especialistas confirmaram que, embora o exploit funcione, ele pode apresentar bugs que dificultam sua eficácia em algumas versões do Windows, como o Windows Server. A Microsoft ainda não se pronunciou sobre a questão.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências federais protejam suas instâncias do FortiClient Enterprise Management Server (EMS) contra uma vulnerabilidade criticamente explorada, identificada como CVE-2026-35616. Esta falha, descoberta pela empresa de cibersegurança Defused, permite que atacantes contornem controles de autenticação e autorização, possibilitando a execução de comandos maliciosos. A Fortinet, fabricante do FortiClient, lançou correções de emergência e alertou que a vulnerabilidade está sendo ativamente explorada em ataques zero-day. A CISA incluiu a CVE-2026-35616 em seu catálogo de Vulnerabilidades Conhecidas e Explotadas (KEV) e exigiu que as agências federais aplicassem patches até a meia-noite de 9 de abril. Apesar de a ordem se aplicar apenas a agências federais, a CISA recomendou que todas as organizações, incluindo as do setor privado, priorizassem a correção dessa vulnerabilidade. Atualmente, cerca de 2.000 instâncias do FortiClient EMS estão expostas na internet, com mais de 1.400 IPs localizados nos EUA e na Europa, aumentando a urgência para a aplicação das correções.

A Fortinet divulgou um alerta sobre uma vulnerabilidade crítica no FortiClient Enterprise Management Server (EMS), identificada como CVE-2026-35616, que está sendo ativamente explorada em ataques. Esta falha de controle de acesso inadequado permite que atacantes não autenticados executem comandos ou códigos maliciosos por meio de requisições especialmente elaboradas. A vulnerabilidade afeta as versões 7.4.5 e 7.4.6 do FortiClient EMS, e a empresa recomenda que os clientes vulneráveis instalem imediatamente os hotfixes disponíveis. A falha foi descoberta pela empresa de cibersegurança Defused, que observou sua exploração como um zero-day antes de reportá-la à Fortinet. Além disso, a Shadowserver identificou mais de 2.000 instâncias expostas do FortiClient EMS, principalmente nos EUA e na Alemanha. A Fortinet também está trabalhando em uma correção para a versão 7.4.7 do software. A empresa enfatiza a urgência da atualização, especialmente após a identificação de outra vulnerabilidade crítica no mesmo sistema, o CVE-2026-21643, que foi reportada na semana anterior e também está sendo explorada em ataques.

Uma operação de grande escala de coleta de credenciais foi identificada, utilizando a vulnerabilidade React2Shell como vetor inicial para roubar credenciais de banco de dados, chaves privadas SSH, segredos da Amazon Web Services (AWS), histórico de comandos de shell, chaves da API do Stripe e tokens do GitHub. A Cisco Talos atribuiu essa operação a um grupo de ameaças conhecido como UAT-10608, que comprometeu pelo menos 766 hosts em diversas regiões geográficas e provedores de nuvem. Após o comprometimento, o grupo utiliza scripts automatizados para extrair e exfiltrar credenciais, que são então enviadas para um servidor de comando e controle (C2) que possui uma interface gráfica chamada ‘NEXUS Listener’. Essa interface permite que os operadores visualizem as informações roubadas e realizem análises estatísticas sobre as credenciais coletadas. A campanha visa especificamente aplicações Next.js vulneráveis à falha crítica CVE-2025-55182, que pode resultar em execução remota de código. A amplitude do conjunto de vítimas sugere um padrão de ataque automatizado, utilizando serviços como Shodan para identificar implantações vulneráveis. As organizações são aconselhadas a auditar seus ambientes e implementar práticas de segurança rigorosas para mitigar esses riscos.

A Cisco divulgou atualizações de segurança para corrigir várias vulnerabilidades críticas e de alta severidade, incluindo uma falha de bypass de autenticação no Integrated Management Controller (IMC), que permite que atacantes obtenham acesso administrativo. Conhecido como CIMC, o Cisco IMC é um módulo de hardware presente nas placas-mãe dos servidores Cisco, oferecendo gerenciamento fora de banda para os servidores UCS C-Series e E-Series. A vulnerabilidade, rastreada como CVE-2026-20093, foi identificada na funcionalidade de alteração de senha do Cisco IMC e pode ser explorada remotamente por atacantes não autenticados. A Cisco recomenda fortemente que os clientes atualizem para o software corrigido, uma vez que não existem soluções alternativas para mitigar essa falha de segurança. Além disso, a empresa lançou patches para outra vulnerabilidade crítica (CVE-2026-20160) no Smart Software Manager On-Prem, que pode permitir a execução remota de código por atacantes sem privilégios. A Cisco também enfrentou um incidente de segurança em seu ambiente de desenvolvimento interno, onde credenciais foram comprometidas durante um ataque à cadeia de suprimentos. Diante disso, a atualização imediata dos sistemas é essencial para evitar possíveis explorações.

A Cisco lançou atualizações para corrigir uma falha de segurança crítica no Integrated Management Controller (IMC), identificada como CVE-2026-20093, que permite a um atacante remoto não autenticado contornar a autenticação e obter acesso ao sistema com privilégios elevados. A vulnerabilidade, que possui uma pontuação CVSS de 9.8, resulta de um manuseio incorreto de solicitações de alteração de senha. Um atacante pode explorar essa falha enviando uma solicitação HTTP manipulada para um dispositivo afetado, o que pode permitir a alteração de senhas de qualquer usuário, incluindo administradores.

A organização sem fins lucrativos Shadowserver identificou mais de 14 mil instâncias do BIG-IP APM expostas na internet, em meio a ataques que exploram uma vulnerabilidade crítica de execução remota de código (RCE). O BIG-IP APM, uma solução da F5 para gerenciamento de acesso, foi inicialmente classificado como uma vulnerabilidade de negação de serviço (DoS) em outubro, mas foi reclassificado como RCE após novas informações surgirem em março de 2026. A F5 alertou que atacantes sem privilégios estão explorando essa falha em sistemas não corrigidos, especialmente aqueles com políticas de acesso configuradas em servidores virtuais. Apesar de uma ordem da CISA para que agências federais protegessem seus sistemas até a meia-noite de segunda-feira, mais de 14 mil instâncias permanecem vulneráveis. A F5 também forneceu indicadores de comprometimento e recomendações para verificar logs e discos em busca de atividades maliciosas, sugerindo a reconstrução dos sistemas afetados a partir de fontes confiáveis para evitar a persistência de malware. A empresa atende mais de 23 mil clientes, incluindo grandes corporações, e suas vulnerabilidades têm sido alvo de grupos de cibercrime e nações-estado nos últimos anos.

A Apple anunciou a ampliação da atualização de segurança iOS 18.7.7 e iPadOS 18.7.7 para uma gama mais ampla de dispositivos, visando proteger os usuários de um exploit kit recentemente revelado, conhecido como DarkSword. A atualização, que começou a ser disponibilizada em 1º de abril de 2026, é crucial para dispositivos que ainda operam em versões mais antigas do sistema. O DarkSword, que tem sido utilizado em ataques cibernéticos desde julho de 2025, é capaz de comprometer dispositivos que executam versões entre iOS 18.4 e 18.7, ativando-se quando o usuário visita um site legítimo, mas comprometido. Os ataques podem implantar backdoors e ferramentas de mineração de dados, resultando em roubo de informações. A Apple já havia alertado os usuários sobre a necessidade de atualizar para versões mais recentes, como iOS 15.8.7 e 16.7.15, para mitigar outras vulnerabilidades. A empresa também começou a enviar notificações de bloqueio de tela para dispositivos mais antigos, alertando sobre os riscos de ataques baseados na web. A situação é preocupante, pois uma nova versão do kit foi vazada, aumentando o risco de exploração por outros atores maliciosos.

Hackers têm atacado servidores de conferência TrueConf, explorando uma vulnerabilidade zero-day identificada como CVE-2026-3502, que permite a execução de arquivos arbitrários em todos os pontos finais conectados. A falha, classificada como de severidade média, resulta de uma verificação de integridade ausente no mecanismo de atualização do software, possibilitando que um invasor substitua uma atualização legítima por uma variante maliciosa. O TrueConf, utilizado por mais de 100 mil organizações, incluindo forças armadas e agências governamentais, é uma plataforma de videoconferência que pode ser hospedada localmente ou na nuvem. A campanha de ataques, denominada TrueChaos, tem como alvo entidades governamentais no Sudeste Asiático e é atribuída a um ator de ameaça com vínculos chineses. Os pesquisadores da CheckPoint identificaram que, ao obter controle do servidor TrueConf, um atacante pode distribuir arquivos maliciosos disfarçados de atualizações legítimas. A vulnerabilidade afeta as versões 8.1.0 a 8.5.2, e um patch foi disponibilizado na versão 8.5.3 em março de 2026. Os sinais de comprometimento incluem a presença de arquivos suspeitos e tráfego de rede associado a uma infraestrutura de comando e controle chamada Havoc.

A Gigabyte, fabricante de hardware, divulgou um alerta sobre uma vulnerabilidade crítica no seu software GIGABYTE Control Center, que afeta versões anteriores à 25.12.10.01. Essa falha, identificada como CVE-2026-4415, permite que atacantes remotos não autenticados escrevam arquivos arbitrários no sistema operacional, executem códigos maliciosos e escalem privilégios, podendo causar negação de serviço. A vulnerabilidade está relacionada à funcionalidade de ‘pairing’, que facilita a comunicação do software com outros dispositivos na rede. O National Vulnerability Database classificou a gravidade da falha com uma pontuação de 9.2/10, indicando um risco elevado. A Gigabyte recomenda que todos os usuários atualizem imediatamente para a versão corrigida do software para proteger seus sistemas. A falha foi inicialmente divulgada pelo Computer Emergency Response Team de Taiwan, que reconheceu o pesquisador David Sprüngli pela descoberta. A atualização inclui melhorias na gestão de caminhos de download, processamento de mensagens e criptografia de comandos, fechando a brecha de segurança.

O Google lançou atualizações de emergência para corrigir uma vulnerabilidade zero-day no Chrome, identificada como CVE-2026-5281, que está sendo explorada ativamente em ataques. Esta é a quarta falha de segurança desse tipo corrigida desde o início do ano. A vulnerabilidade é originada de uma fraqueza do tipo use-after-free no Dawn, a implementação multiplataforma do padrão WebGPU utilizada pelo projeto Chromium. Os atacantes podem explorar essa falha para causar travamentos no navegador, corrupção de dados e outros comportamentos anormais. O Google confirmou que há evidências de que essa vulnerabilidade está sendo utilizada em ataques, mas não divulgou detalhes específicos sobre os incidentes. A correção já está disponível para usuários do canal Estável do Chrome em versões para Windows, macOS e Linux. Embora a atualização possa levar dias ou semanas para alcançar todos os usuários, ela já estava acessível no momento da verificação. Este incidente ressalta a importância de manter os navegadores atualizados para evitar riscos de segurança.

O GIGABYTE Control Center (GCC), uma ferramenta essencial para gerenciamento de hardware em laptops e placas-mãe da GIGABYTE, apresenta uma vulnerabilidade crítica que permite a um atacante remoto e não autenticado escrever arquivos arbitrários no sistema operacional subjacente. Essa falha, identificada como CVE-2026-4415, foi descoberta pelo pesquisador de segurança David Sprüngli e possui uma classificação de severidade de 9.2 em 10, segundo o sistema CVSS v4.0. A vulnerabilidade afeta versões do GCC até 25.07.21.01, especialmente quando a função de “pareamento” está ativada. A exploração bem-sucedida dessa falha pode resultar em execução de código arbitrário, escalonamento de privilégios e até mesmo condições de negação de serviço. A GIGABYTE recomenda que todos os usuários atualizem para a versão mais recente do GCC, 25.12.10.01, que corrige essa e outras falhas. É crucial que os usuários baixem a atualização diretamente do portal oficial da GIGABYTE para evitar instaladores comprometidos. A falta de resposta da GIGABYTE sobre a vulnerabilidade levanta preocupações adicionais sobre a gestão de segurança da empresa.

Recentemente, foram descobertas vulnerabilidades críticas nos editores de texto Vim e GNU Emacs, que permitem a execução remota de código (RCE) ao abrir arquivos maliciosos. O pesquisador Hung Nguyen, da Calif, identificou falhas no Vim que resultam da falta de verificações de segurança e problemas no manuseio de modelines, que são instruções contidas no início dos arquivos. Essas falhas afetam todas as versões do Vim até 9.2.0271 e foram corrigidas na versão 9.2.0272, após a notificação dos mantenedores do software.

Pesquisadores de cibersegurança da Palo Alto Networks revelaram uma falha de segurança na plataforma Vertex AI do Google Cloud, que pode ser explorada por atacantes para acessar dados sensíveis e comprometer ambientes em nuvem. O problema está relacionado ao modelo de permissões do Vertex AI, que, por padrão, concede permissões excessivas ao agente de serviço associado a um agente de IA. Isso permite que um agente mal configurado ou comprometido atue como um ‘agente duplo’, exfiltrando dados sem autorização. A pesquisa destacou que o agente de serviço por projeto e produto (P4SA) pode ter suas credenciais extraídas, permitindo que um invasor realize ações em nome do agente. Além disso, as credenciais comprometidas podem dar acesso a repositórios restritos do Google, expondo ainda mais a infraestrutura interna da plataforma. O Google já atualizou sua documentação e recomenda que os clientes adotem a prática de ‘Bring Your Own Service Account’ (BYOSA) para limitar as permissões concedidas aos agentes de IA. A falha representa um risco significativo, transformando um agente de IA de uma ferramenta útil em uma potencial ameaça interna.

Uma falha de segurança de alta gravidade foi identificada no software de videoconferência TrueConf, classificada como CVE-2026-3502, com um score CVSS de 7.8. Essa vulnerabilidade permite que atacantes distribuam atualizações maliciosas, resultando na execução de código arbitrário em sistemas vulneráveis. A falha foi explorada em uma campanha chamada TrueChaos, que visa entidades governamentais no Sudeste Asiático. A Check Point, empresa de cibersegurança, relatou que a vulnerabilidade se origina de uma verificação de integridade inadequada no mecanismo de atualização do TrueConf, permitindo que um servidor comprometido substitua pacotes de atualização legítimos por versões adulteradas. O ataque pode implantar o framework de comando e controle Havoc em pontos finais vulneráveis. A exploração dessa vulnerabilidade não requer a comprometimento de cada endpoint individualmente, mas sim a manipulação da relação de confiança entre o servidor TrueConf e seus clientes. A atualização para a versão 8.5.3 do TrueConf já corrige essa falha, mas a ameaça persiste, especialmente considerando a atribuição do ataque a um ator de ameaça com vínculos chineses.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências governamentais atualizassem seus dispositivos Citrix NetScaler devido a uma vulnerabilidade crítica (CVE-2026-3055) que está sendo ativamente explorada. Essa falha, identificada como resultado de validação insuficiente de entrada, permite que atacantes remotos não autenticados acessem informações sensíveis em dispositivos Citrix ADC ou Citrix Gateway configurados como provedores de identidade SAML. A CISA destacou que a vulnerabilidade representa um vetor de ataque frequente para agentes maliciosos e pode levar a uma tomada de controle total de dispositivos não corrigidos. Apesar de a Citrix ter emitido orientações detalhadas e atualizações de segurança, a CISA ainda não confirmou se os ataques estão em andamento. A agência também alertou que a correção deve ser priorizada por todas as organizações, incluindo o setor privado. A situação é crítica, especialmente considerando que a CISA já havia identificado outras vulnerabilidades da Citrix como exploradas no passado, aumentando a urgência para a aplicação de patches.

Hackers estão explorando uma vulnerabilidade crítica, identificada como CVE-2026-3055, em dispositivos Citrix NetScaler ADC e NetScaler Gateway, permitindo o acesso a dados sensíveis. A Citrix divulgou inicialmente essa falha em um boletim de segurança em 23 de março, juntamente com outra vulnerabilidade de alta severidade, CVE-2026-4368. A falha afeta versões anteriores a 14.1-60.58 e 13.1-62.23, além de versões mais antigas que 13.1-37.262. A Citrix destacou que a vulnerabilidade impacta apenas dispositivos configurados como provedores de identidade SAML (IDP) e que a ação é necessária apenas para administradores de dispositivos locais.

Um novo relatório da Check Point revelou uma vulnerabilidade crítica no ChatGPT da OpenAI, que permitia a exfiltração de dados sensíveis sem o consentimento do usuário. A falha, que foi corrigida em 20 de fevereiro de 2026, explorava um canal de comunicação DNS oculto, permitindo que informações fossem enviadas para fora do ambiente sem que o sistema detectasse. Isso significa que um prompt malicioso poderia transformar uma conversa comum em um canal de vazamento de dados, expondo mensagens e arquivos carregados. Embora não haja evidências de que a vulnerabilidade tenha sido explorada maliciosamente, a descoberta destaca a necessidade de camadas adicionais de segurança em ambientes corporativos que utilizam IA. Além disso, uma vulnerabilidade separada no OpenAI Codex permitiu a injeção de comandos, comprometendo tokens de acesso do GitHub, o que poderia levar a um acesso não autorizado a repositórios. Ambas as falhas ressaltam a importância de uma arquitetura de segurança robusta para proteger dados sensíveis em sistemas de IA.

A empresa de cibersegurança F5 Networks reclassificou uma vulnerabilidade no BIG-IP APM, anteriormente considerada uma falha de negação de serviço (DoS), como uma falha crítica de execução remota de código (RCE). Essa vulnerabilidade, identificada como CVE-2025-53521, permite que atacantes não privilegiados realizem execução remota de código em sistemas BIG-IP APM com políticas de acesso configuradas em um servidor virtual. A F5 alertou que a vulnerabilidade está sendo explorada ativamente, com a possibilidade de implantação de webshells em dispositivos não corrigidos. A organização também forneceu indicadores de comprometimento (IOCs) e recomendou que os administradores verifiquem os discos, logs e histórico de terminais de seus sistemas BIG-IP em busca de atividades maliciosas. A CISA dos EUA incluiu essa vulnerabilidade em sua lista de falhas ativamente exploradas e ordenou que agências federais garantissem a segurança de seus sistemas até 30 de março. A F5 enfatizou a importância de seguir as diretrizes de segurança corporativa e as melhores práticas forenses em caso de incidentes. Com mais de 240 mil instâncias do BIG-IP expostas online, a situação representa um risco significativo para a segurança das redes corporativas.

Uma vulnerabilidade crítica, identificada como CVE-2026-21643, foi descoberta na plataforma FortiClient EMS da Fortinet e está sendo ativamente explorada por atacantes. Essa falha de injeção SQL permite que agentes mal-intencionados não autenticados executem comandos arbitrários em sistemas não corrigidos, utilizando ataques de baixa complexidade direcionados à interface web do FortiClient EMS. A vulnerabilidade afeta a versão 7.4.4 do FortiClient EMS e pode ser corrigida com a atualização para a versão 7.4.5 ou posterior. Apesar de a CISA não ter listado a vulnerabilidade como explorada, dados recentes indicam que a exploração começou há apenas quatro dias. A empresa Fortinet ainda não atualizou seu aviso de segurança sobre a situação. Atualmente, cerca de 1.000 instâncias do FortiClient EMS estão expostas publicamente, com mais de 1.400 IPs localizados nos Estados Unidos e na Europa. A exploração de vulnerabilidades da Fortinet é comum em ataques de ransomware e campanhas de espionagem cibernética, o que torna a situação ainda mais crítica para as empresas que utilizam essa tecnologia.

Uma vulnerabilidade no plugin Smart Slider 3, utilizado em mais de 800 mil sites WordPress, permite que usuários autenticados, como assinantes, acessem arquivos arbitrários no servidor. A falha, identificada como CVE-2026-3098, foi descoberta pelo pesquisador Dmitrii Ignatyev e afeta todas as versões do plugin até a 3.5.1.33. O problema se origina da falta de verificações de capacidade nas ações de exportação AJAX do plugin, permitindo que qualquer usuário autenticado invoque funções que não validam o tipo ou a origem dos arquivos. Isso significa que arquivos sensíveis, como o wp-config.php, que contém credenciais do banco de dados, podem ser acessados, aumentando o risco de roubo de dados e comprometimento total do site. Embora a vulnerabilidade tenha recebido uma classificação de severidade média, ela ainda representa um risco significativo, especialmente para sites com opções de assinatura. A Nextendweb, desenvolvedora do plugin, lançou um patch em 24 de março, mas estima-se que cerca de 500 mil sites ainda estejam vulneráveis. Os administradores de sites devem agir rapidamente para mitigar os riscos associados a essa falha.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma falha crítica no F5 BIG-IP Access Policy Manager (APM) em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), após evidências de exploração ativa. A vulnerabilidade, identificada como CVE-2025-53521, possui uma pontuação CVSS v4 de 9.3, permitindo que um ator malicioso execute código remotamente. Inicialmente classificada como uma vulnerabilidade de negação de serviço (DoS), a F5 reclassificou-a após novas informações em março de 2026. A empresa confirmou que a falha foi explorada nas versões vulneráveis do BIG-IP e forneceu indicadores para verificar se o sistema foi comprometido, incluindo alterações em arquivos e logs específicos. As versões afetadas incluem 17.5.0 a 17.5.1, 17.1.0 a 17.1.2, entre outras. Diante da exploração ativa, agências federais têm até 30 de março de 2026 para aplicar as correções necessárias. Especialistas alertam que a situação representa um risco significativamente maior do que o inicialmente comunicado, exigindo atenção imediata dos administradores de sistema.

Uma vulnerabilidade crítica, identificada como CVE-2026-3055, foi recentemente divulgada, afetando o Citrix NetScaler ADC e o NetScaler Gateway. Com uma pontuação CVSS de 9.3, a falha se refere a uma validação insuficiente de entrada, que pode levar a uma leitura excessiva de memória, permitindo que um atacante potencialmente vaze informações sensíveis. A exploração bem-sucedida dessa vulnerabilidade depende da configuração do dispositivo como um Provedor de Identidade SAML (SAML IDP).

Atualmente, atividades de reconhecimento ativo estão sendo observadas, com atacantes tentando identificar se as instâncias do NetScaler estão configuradas como SAML IDP. Especialistas de segurança, como a Defused Cyber e a watchTowr, alertaram que a exploração pode ocorrer a qualquer momento, e as organizações que utilizam versões afetadas devem aplicar patches imediatamente. As versões vulneráveis incluem o NetScaler ADC e Gateway 14.1 antes da 14.1-66.59 e 13.1 antes da 13.1-62.23.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica no Open VSX, que afeta o processo de verificação de extensões do Visual Studio Code (VS Code). A falha, identificada como ‘Open Sesame’, permitiu que extensões maliciosas passassem pelo processo de verificação e fossem publicadas no repositório. O problema reside em um retorno booleano que não diferencia entre ’nenhum scanner configurado’ e ’todos os scanners falharam’, levando a uma interpretação errônea dos resultados de verificação. Quando os scanners falhavam sob carga, o Open VSX considerava que não havia nada a escanear, permitindo que extensões maliciosas fossem ativadas e disponibilizadas para download. A vulnerabilidade foi explorada por atacantes que inundaram o endpoint de publicação com várias extensões maliciosas, esgotando o pool de conexões do banco de dados e impedindo que os trabalhos de verificação fossem enfileirados. A falha foi corrigida na versão 0.32.0 do Open VSX, após divulgação responsável em fevereiro de 2026. A situação destaca a importância de um design robusto em pipelines de segurança, onde estados de falha devem ser explicitamente tratados.