Vulnerabilidade

Uma vulnerabilidade zero-day na biblioteca de processamento de imagem do sistema Android da Samsung permitiu que hackers instalassem spywares em celulares da linha Galaxy, especialmente no Oriente Médio. O malware, denominado Landfall, foi identificado pela Unit 42 da Palo Alto Networks e é capaz de gravar conversas, monitorar a localização, tirar fotos e roubar contatos. A falha, classificada como CVE-2025-21042, foi explorada entre meados de 2024 e abril de 2025, quando a Samsung lançou um patch para corrigir o problema. O spyware era disseminado através de negativos digitais (DNG) enviados pelo WhatsApp, atingindo principalmente usuários no Iraque, Irã, Marrocos e Turquia. A descoberta do Landfall sugere uma possível coordenação com ataques semelhantes em dispositivos iOS, indicando que agentes privados ou governamentais podem estar por trás das atividades maliciosas. A situação é alarmante, pois o malware é otimizado para dispositivos de alta gama da Samsung, como os modelos Galaxy S22, S23 e S24, e possui capacidades avançadas de reconhecimento e evasão.

A Synology divulgou uma atualização crítica para corrigir uma vulnerabilidade severa no BeeStation OS, identificada durante o evento PWN2OWN 2025. A falha, classificada como CVE-2025-12686, permite que atacantes remotos executem código arbitrário sem necessidade de autenticação ou interação do usuário, representando uma ameaça imediata para os dispositivos afetados. Essa vulnerabilidade é resultado de uma fraqueza de buffer overflow no sistema operacional, que possibilita a violação de limites de rede e a comprometimento de sistemas. Com uma pontuação CVSS de 9.8, a vulnerabilidade exige ação imediata dos usuários, pois a exploração bem-sucedida concede controle total sobre os sistemas BeeStation, permitindo o roubo de dados sensíveis e a movimentação lateral na rede. Todas as versões do BeeStation OS, de 1.0 a 1.3, estão vulneráveis, e a Synology recomenda que os usuários atualizem para a versão 1.3.2-65648 ou superior. A atualização unificada corrige a falha em todas as versões afetadas, e é crucial que os usuários verifiquem imediatamente a versão do seu sistema e apliquem o patch. Além disso, é aconselhável monitorar atividades suspeitas, especialmente se houver suspeita de comprometimento antes da atualização.

Pesquisadores de cibersegurança da Mandiant descobriram uma vulnerabilidade crítica de zero-day na plataforma de compartilhamento de arquivos Triofox, da Gladinet, identificada como CVE-2025-12480. Desde 24 de agosto de 2025, o grupo de ameaças UNC6485 tem explorado essa falha para contornar controles de autenticação e executar códigos maliciosos com acesso em nível de sistema. O ataque ocorre em duas etapas: inicialmente, os invasores manipulam os cabeçalhos HTTP para se apresentarem como ’localhost’, permitindo acesso não autorizado a páginas de configuração restritas. A vulnerabilidade reside na função CanRunCriticalPage(), que não valida corretamente a origem das requisições. Após obter acesso, os atacantes criam uma conta de administrador e exploram uma segunda fraqueza no antivírus embutido do Triofox, redirecionando o caminho do scanner para um script malicioso. Isso resulta na execução automática do payload malicioso com privilégios de conta SYSTEM. A Mandiant identificou a intrusão em apenas 16 minutos, alertando para a necessidade de atualização imediata para a versão 16.7.10368.56560 ou posterior. As equipes de segurança devem auditar contas de administrador e monitorar tráfego SSH incomum para detectar compromissos em andamento.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma vulnerabilidade crítica de execução remota de código (RCE) que afeta dispositivos móveis da Samsung. A falha, localizada na biblioteca libimagecodec.quram.so, permite que atacantes contornem restrições normais de memória e injetem código arbitrário nos dispositivos. Isso possibilita que invasores obtenham controle total sobre os smartphones afetados, sem necessidade de interação do usuário. A vulnerabilidade é classificada como CWE-787 (Escrita Fora dos Limites) e está sendo ativamente explorada em ataques, embora a extensão e os atores específicos ainda estejam sob investigação. A CISA recomenda que os usuários apliquem imediatamente os patches de segurança disponibilizados pela Samsung e, para aqueles que não puderem aplicar as atualizações, é aconselhável interromper o uso dos dispositivos afetados até que as correções estejam disponíveis. A Samsung foi notificada e deve liberar atualizações de segurança através de seus canais habituais. Este incidente ressalta os riscos contínuos associados à segurança de dispositivos móveis e a importância de manter os dispositivos atualizados.

Pesquisadores da Check Point Research identificaram uma falha crítica no Microsoft Teams, conhecida como CVE-2024-38197, que permite a hackers falsificarem identidades e manipularem conversas. A vulnerabilidade foi reportada à Microsoft em março de 2024, mas a correção só foi implementada em outubro de 2025. Durante esse período, criminosos conseguiram alterar mensagens e notificações na plataforma, enganando usuários e comprometendo a segurança das comunicações corporativas. As táticas incluíam a edição de mensagens sem deixar rastros, o que dificultava a detecção de fraudes. Além disso, hackers podiam se passar por executivos e enviar notificações falsas, aumentando o risco de vazamento de informações sensíveis. Para mitigar esses riscos, as empresas devem adotar medidas de segurança, como a educação digital dos funcionários e a ativação da autenticação multifator. A falha representa um sério risco para a integridade das comunicações empresariais, especialmente em um ambiente onde o Teams é amplamente utilizado para interações corporativas.

Uma vulnerabilidade crítica de execução remota de código (RCE) foi identificada na biblioteca expr-eval, amplamente utilizada para avaliação de expressões matemáticas e processamento de linguagem natural (NLP). A falha, registrada como CVE-2025-12735, permite que atacantes executem comandos de sistema no ambiente do servidor, comprometendo a segurança de aplicações que processam entradas de usuários. Essa vulnerabilidade é especialmente preocupante para organizações que utilizam essa biblioteca em ambientes de produção, pois pode resultar em acesso não autorizado a recursos sensíveis e exfiltração de dados. A falha decorre de um erro de design no método evaluate() da classe Parser, permitindo que funções arbitrárias sejam definidas no contexto do parser. Para mitigar os riscos, as organizações devem auditar suas dependências e aplicar patches imediatamente. As opções incluem a aplicação de um patch específico ou a atualização para versões corrigidas da biblioteca. A rápida implementação dessas correções é crucial para evitar a exploração generalizada da vulnerabilidade. O pesquisador de segurança Jangwoo Choe divulgou a questão de forma responsável, colaborando com GitHub e npm para garantir um relato adequado e tempo suficiente para as correções.

A Allianz UK é a mais recente organização a ser alvo de um ataque cibernético, explorando uma vulnerabilidade crítica no Oracle E-Business Suite (EBS). Os atacantes conseguiram acesso ao sistema EBS da empresa, que gerencia produtos de seguros pessoais, como automóveis e residências. Embora a Allianz UK tenha confirmado a violação, não comentou sobre possíveis demandas de extorsão do grupo criminoso Clop. A empresa notificou o Information Commissioner’s Office, mas o regulador ainda não reconheceu publicamente a reclamação. Este incidente é distinto de um ataque anterior que afetou a Allianz Life, sua subsidiária americana, que comprometeu dados de 1,4 milhão de clientes em julho. A vulnerabilidade, identificada como CVE-2025-61882, possui uma pontuação crítica de 9.8 no CVSS e, segundo pesquisadores do Google, dezenas de organizações podem ter sido afetadas. O grupo Clop, conhecido por sua sofisticação, já havia se destacado em campanhas anteriores, como o ataque MOVEit MFT, que afetou milhões de indivíduos e milhares de organizações. Este novo ataque evidencia a continuidade das campanhas de exploração de zero-day, que se tornaram comuns no cibercrime.

Três vulnerabilidades críticas no runc, o runtime de contêineres que suporta Docker e Kubernetes, foram divulgadas por um pesquisador da SUSE em 5 de novembro de 2025. As falhas, identificadas como CVE-2025-31133, CVE-2025-52565 e CVE-2025-52881, permitem que atacantes contornem o isolamento de contêineres e obtenham acesso root aos sistemas host. Essas vulnerabilidades afetam versões conhecidas do runc e exploram fraquezas nas operações de montagem e nas proteções de arquivos durante a criação de contêineres. Os atacantes podem usar condições de corrida e manipulação de links simbólicos para contornar restrições de segurança, permitindo a escrita em arquivos críticos do sistema, o que pode levar a uma fuga de contêineres. É crucial que organizações que utilizam Docker, Kubernetes ou serviços que dependem do runc atualizem imediatamente para versões corrigidas (1.2.8, 1.3.3 ou 1.4.0-rc.3 e posteriores) para evitar compromissos de segurança. Além disso, recomenda-se a auditoria de ambientes implantados e a implementação de políticas rigorosas de escaneamento de imagens para detectar Dockerfiles maliciosos.

Uma vulnerabilidade crítica foi descoberta no Elastic Defend, um software de proteção de endpoint, que pode permitir que atacantes escalem privilégios em sistemas Windows. Identificada como CVE-2025-37735, a falha resulta de um manuseio inadequado das permissões de arquivos no serviço Defend. Quando o serviço é executado com privilégios de nível SYSTEM, ele não preserva corretamente as configurações de permissão originais, criando uma brecha que permite a usuários locais deletar arquivos arbitrários no sistema comprometido. Isso pode levar a uma escalada de privilégios, permitindo que um atacante com acesso limitado obtenha controle administrativo total da máquina afetada. A Elastic classificou a vulnerabilidade com um score CVSS de 7.0 (Alto), o que indica um risco significativo, especialmente em ambientes onde usuários locais têm acesso. As organizações são aconselhadas a atualizar imediatamente para as versões corrigidas 8.19.6, 9.1.6 ou 9.2.0, que implementam mecanismos adequados de preservação de permissões. Para aquelas que não podem atualizar imediatamente, a versão 24H2 do Windows 11 oferece mudanças arquitetônicas que dificultam a exploração dessa vulnerabilidade, servindo como uma medida de segurança temporária.

Uma vulnerabilidade crítica de execução remota de código foi identificada na biblioteca de serialização de checkpoints do LangGraph, afetando versões anteriores à 3.0. Essa falha permite que atacantes executem código Python arbitrário por meio da desserialização de payloads maliciosos. O problema reside no componente JsonPlusSerializer, que é o protocolo de serialização padrão para operações de checkpoint. Quando a serialização msgpack falha devido a valores Unicode ilegais, o sistema muda automaticamente para o modo JSON, que permite a reconstrução de objetos personalizados sem a devida validação, criando uma superfície de ataque. A LangGraph lançou a versão 3.0.0, que corrige a vulnerabilidade implementando um sistema de lista de permissão para a desserialização de construtores, restringindo os caminhos de código permitidos. A atualização é compatível com versões anteriores e não requer modificações no código. Dada a gravidade da vulnerabilidade e a facilidade de exploração, a atualização imediata é essencial para as organizações que utilizam o LangGraph.

Uma falha de segurança recentemente corrigida em dispositivos Android da Samsung foi explorada como um zero-day para implantar um spyware chamado LANDFALL em ataques direcionados no Oriente Médio. A vulnerabilidade, identificada como CVE-2025-21042, possui uma pontuação CVSS de 8.8 e permite que atacantes remotos executem código arbitrário. A falha foi corrigida pela Samsung em abril de 2025, após relatos de ataques em andamento. Os alvos estão localizados em países como Iraque, Irã, Turquia e Marrocos. O spyware LANDFALL, uma ferramenta de espionagem avançada, coleta dados sensíveis, como gravações de microfone, localização, fotos, contatos e mensagens. Os ataques foram realizados através do envio de imagens maliciosas via WhatsApp, utilizando arquivos DNG. Além disso, outra vulnerabilidade na mesma biblioteca foi identificada, mas não foi utilizada na campanha LANDFALL. A análise sugere que o spyware se comunica com um servidor de comando e controle para receber novas instruções. A origem do spyware ainda é desconhecida, mas há indícios de conexão com o grupo Stealth Falcon. Este caso destaca a complexidade das ameaças cibernéticas e a necessidade de vigilância contínua.

Uma vulnerabilidade crítica foi identificada no cliente Amazon WorkSpaces para Linux, afetando as versões de 2023.0 a 2024.8, conforme o CVE-2025-12779. Essa falha permite que usuários maliciosos em sistemas compartilhados extraiam tokens de autenticação válidos, possibilitando acesso não autorizado a sessões de trabalho de outros usuários. A Amazon emitiu um comunicado de segurança em 5 de novembro de 2025, alertando sobre a gravidade do problema e recomendando a atualização imediata para a versão 2025.0 ou superior. A vulnerabilidade é particularmente preocupante em ambientes multiusuários, onde um atacante pode obter controle total sobre o espaço de trabalho de outra pessoa, comprometendo dados sensíveis e recursos associados. A Amazon encerrou o suporte para as versões afetadas, exigindo que as organizações realizem a atualização sem demora. As equipes de segurança devem auditar suas implementações do WorkSpaces e priorizar a atualização em ambientes de alto risco, além de revisar logs de acesso para identificar tentativas suspeitas de extração de tokens durante o período vulnerável.

Uma vulnerabilidade crítica no Windows, identificada como CVE-2025-9491, tem sido explorada por cibercriminosos nos últimos oito anos, levantando preocupações sobre a segurança do sistema operacional. Essa falha, que afeta o processamento de arquivos LNK, permite que hackers disseminem malware, como trojans de acesso remoto, através de ataques de phishing. Recentemente, um grupo de cibercriminosos tem direcionado suas ações a diplomatas em países europeus, como Bélgica, Hungria e Itália, utilizando essa vulnerabilidade para espionagem digital. Apesar de a Microsoft ter sido informada sobre a falha, não há indícios de que a empresa esteja trabalhando em uma correção, o que gera incertezas sobre a segurança dos usuários. Enquanto isso, recomenda-se que os usuários permaneçam vigilantes quanto a e-mails suspeitos e evitem abrir arquivos LNK de remetentes desconhecidos. A situação é alarmante, especialmente considerando a crescente sofisticação dos ataques digitais e a necessidade de proteção robusta em um cenário de ameaças cibernéticas em evolução.

Uma falha crítica foi identificada no tema JobMonster do WordPress, que afeta mais de 5.500 sites. A vulnerabilidade, classificada como CVE-2025-5397, possui uma pontuação de gravidade de 9.8 e permite que hackers acessem contas de administrador sem a devida autenticação. A falha se torna explorável quando a função de login social está ativada, permitindo que invasores se façam passar por usuários legítimos. Para mitigar os riscos, é recomendado que os administradores atualizem imediatamente para a versão 4.8.2 do tema ou desativem a função de login social. Além disso, a autenticação em dois fatores e a troca de senhas são medidas essenciais para aumentar a segurança. A Wordfence, empresa de segurança, já registrou uma onda de ataques utilizando essa vulnerabilidade, o que destaca a necessidade urgente de ações corretivas. O WordPress tem enfrentado um aumento nas tentativas de exploração de suas vulnerabilidades, o que torna a situação ainda mais crítica para os usuários da plataforma.

Uma vulnerabilidade crítica, identificada como CVE-2025-8671 e chamada de “MadeYouReset”, foi descoberta em implementações do protocolo HTTP/2, permitindo que atacantes realizem ataques de negação de serviço (DoS) em larga escala. Essa falha surge de uma discrepância entre as especificações do protocolo e a forma como servidores web reais lidam com o cancelamento de streams. Quando um cliente solicita um reset de stream através de frames malformados, o protocolo considera o stream fechado, mas os servidores continuam processando a solicitação. Isso permite que atacantes abram e resetem streams rapidamente, forçando os servidores a lidar com um número excessivo de requisições simultâneas, enquanto o sistema de contagem do protocolo permanece artificialmente baixo.

Em um ataque significativo ao ecossistema DeFi, a Check Point Research revelou que contratos do ComposableStablePool da Balancer V2 foram explorados em 3 de novembro de 2025, resultando no roubo de $128,64 milhões em menos de 30 minutos. Os atacantes aproveitaram uma falha sutil de precisão aritmética na lógica de invariantes da pool da Balancer, transformando um erro de arredondamento em uma cadeia de exploração catastrófica que contornou mecanismos de segurança padrão. A vulnerabilidade originou-se na função _upscaleArray, que escalava saldos de tokens durante o cálculo de invariantes. Ao manipular os saldos para a faixa microscópica de 8-9 wei, a lógica de divisão inteira do Solidity causou discrepâncias de arredondamento que poderiam chegar a dez por cento por operação. O ataque foi realizado em uma sequência de 65 operações de batchSwap, amplificando perdas de precisão em uma distorção total do valor D da pool. A análise on-chain vinculou a exploração a um contrato específico, e os atacantes conseguiram acumular ativos roubados dentro da camada de contabilidade do Vault da Balancer. Apesar de múltiplas auditorias, a falha sobreviveu devido ao foco da análise em transações únicas, em vez de desvios aritméticos cumulativos. Este evento destaca a importância da modelagem adversarial e do monitoramento contínuo de invariantes nas bibliotecas matemáticas do DeFi.

Recentemente, foram descobertas falhas críticas de execução remota de código na aplicação Claude Desktop, desenvolvida pela Anthropic, uma das principais empresas de inteligência artificial. Três extensões oficiais da plataforma, que somam mais de 350.000 downloads, apresentavam vulnerabilidades que permitiam ataques de injeção de comandos. Essas falhas poderiam ser exploradas durante interações normais com o Claude, permitindo que um simples questionamento do usuário resultasse em comprometimento total do sistema. A vulnerabilidade, classificada com um CVSS de 8.9, se origina de comandos não sanitizados, um erro de segurança conhecido há décadas. As extensões afetadas, que operam com permissões completas do sistema, não validavam a entrada do usuário, permitindo que códigos maliciosos fossem injetados. Embora a Anthropic tenha lançado patches para corrigir as falhas, a situação levanta preocupações sobre a segurança do ecossistema de extensões MCP, que está em rápida expansão. A falta de revisão de segurança em extensões criadas por desenvolvedores independentes, muitas vezes utilizando codificação assistida por IA, aumenta a superfície de ataque, tornando essencial que os usuários e administradores de sistemas compreendam as diferenças entre essas extensões e os complementos tradicionais de navegadores.

O grupo de ransomware Clop está em atividade com uma nova campanha de exploração, utilizando uma vulnerabilidade zero-day identificada no Oracle E-Business Suite (CVE-2025-61882). Essa falha, detectada em junho de 2025 e confirmada pela Oracle em outubro, permite que atacantes remotos acessem funções críticas de ERP, como compras e logística, sem autorização. Durante a investigação, foram identificados dois IPs de comando e controle, além de mais de 90 servidores ativos em diversos países, com a Alemanha apresentando o maior número de servidores. O Brasil, junto com Panamá e Hong Kong, também está entre os países afetados. A infraestrutura utilizada pelo Clop mostra uma continuidade operacional com campanhas anteriores, indicando uma estratégia de reutilização de infraestrutura para evitar bloqueios geopolíticos. Especialistas em segurança alertam que organizações que utilizam sistemas ERP, como o Oracle EBS, devem implementar monitoramento em nível de rede para essas sub-redes, já que a exploração de software empresarial não corrigido continua a ser uma prioridade para o grupo. A situação é crítica, e ações imediatas são recomendadas para mitigar riscos.

A AMD confirmou uma nova vulnerabilidade de segurança em suas CPUs baseadas na arquitetura Zen 5, classificada como de alta severidade. A falha, identificada como AMD-SB-7055, afeta o gerador de números aleatórios RDSEED, que é crucial para a geração de chaves de criptografia. O problema ocorre nas instruções de 16 e 32 bits, que podem retornar o valor ‘0’ sem sinalizar erro, enganando aplicações que dependem dessa funcionalidade para garantir a segurança dos dados. A AMD já está distribuindo atualizações de firmware (AGESA) para corrigir a vulnerabilidade, com prioridade para servidores EPYC 9005, devido ao processamento de dados sensíveis em data centers. Para usuários de desktop e notebooks, as atualizações devem ser disponibilizadas até o final de novembro de 2025. Enquanto isso, a empresa recomenda que desenvolvedores utilizem a versão de 64 bits do RDSEED ou tratem retornos de ‘0’ como falhas. Essa situação levanta preocupações sobre a confidencialidade e integridade dos dados, especialmente em ambientes que utilizam criptografia para proteger informações sensíveis.

A CISA (Agência de Cibersegurança e Infraestrutura de Segurança dos EUA) emitiu um alerta sobre uma vulnerabilidade no kernel do Linux, identificada como CVE-2024-1086, que foi introduzida em 2014 e corrigida em 2024. Apesar da correção, a brecha continua a ser explorada em ataques de ransomware, permitindo a escalada de privilégios em sistemas que não foram atualizados. A vulnerabilidade, classificada com um grau de severidade de 7,8/10, afeta distribuições populares do Linux, como Debian, Ubuntu, Fedora e Red Hat. A CISA já havia alertado as agências federais para que atualizassem seus sistemas até junho de 2024, mas a exploração ativa da falha por grupos de ransomware demonstra que muitos usuários ainda não implementaram as correções necessárias. Para mitigar os riscos, recomenda-se atualizar o sistema operacional ou aplicar medidas de segurança, como bloquear o componente nf_tables ou usar o Linux Kernel Runtime Guard (LKRG), embora essas ações possam desestabilizar o sistema. A situação destaca a importância de manter sistemas atualizados para evitar a exploração de vulnerabilidades conhecidas.

Uma vulnerabilidade crítica, identificada como CVE-2025-11749, foi descoberta no plugin AI Engine do WordPress, que está ativo em mais de 100 mil sites. Com uma pontuação CVSS de 9.8, a falha permite que atacantes não autenticados recuperem um token de acesso exposto da API REST MCP, concedendo-lhes privilégios administrativos completos nos sites afetados. O problema foi relatado por Emiliano Versini através do programa de recompensas da Wordfence em 4 de outubro de 2025 e corrigido pelo desenvolvedor Jordy Meow na versão 3.1.4, lançada em 19 de outubro de 2025. A vulnerabilidade reside na integração do plugin com o Modelo de Contexto de Protocolo (MCP), que permite que sistemas de IA interajam com o WordPress. As versões até 3.1.3 não incluíram o parâmetro “show_in_index => false” durante o registro da rota REST, expondo endpoints visíveis publicamente. Os proprietários de sites afetados devem atualizar para a versão 3.1.4 ou superior e rotacionar imediatamente o token de acesso MCP para evitar acessos não autorizados.

Uma vulnerabilidade crítica de escalonamento de privilégios foi identificada no Windows Cloud Files Mini Filter Driver, classificada como CVE-2025-55680. Essa falha explora uma vulnerabilidade do tipo time-of-check to time-of-use (TOCTOU), permitindo que atacantes locais contornem restrições de gravação de arquivos e obtenham acesso não autorizado a nível de sistema. A origem da vulnerabilidade remonta a uma divulgação do Project Zero em 2020, que visava prevenir ataques de links simbólicos. No entanto, a validação de strings de caminho ocorre no espaço do usuário antes do processamento em modo kernel, criando uma janela crítica para exploração. Um atacante pode modificar a memória entre a verificação de segurança e a operação real do arquivo, contornando todas as proteções. O processo de exploração envolve a função HsmFltProcessHSMControl da API do Cloud Files, que, ao chamar HsmFltProcessCreatePlaceholders, pode criar arquivos em diretórios protegidos com privilégios de modo kernel. A Microsoft já disponibilizou patches para corrigir essa vulnerabilidade, e as organizações devem priorizar sua aplicação, uma vez que o ataque requer apenas acesso local ao sistema e não necessita de interação do usuário.

Pesquisadores de segurança revelaram uma técnica de ataque sofisticada que utiliza o Microsoft OneDrive para executar código malicioso, contornando defesas de segurança tradicionais. O método, conhecido como DLL sideloading, explora a ordem previsível de busca de bibliotecas dinâmicas do Windows. Quando o OneDrive.exe é iniciado, o sistema operacional procura arquivos necessários, como version.dll, em várias localizações, começando pelo diretório do aplicativo. Os atacantes aproveitam esse comportamento ao inserir uma versão maliciosa do arquivo version.dll no diretório do OneDrive, fazendo com que o aplicativo carregue código controlado pelo invasor em vez das bibliotecas legítimas da Microsoft.

Um recente teste de penetração revelou uma vulnerabilidade crítica de escalonamento de privilégios nas instalações do Jupyter Notebook, uma plataforma amplamente utilizada para ciência de dados. A falha não é decorrente de um erro de código, mas sim de uma combinação perigosa de configurações padrão e padrões de implantação que muitas equipes de segurança frequentemente ignoram. Quando o Jupyter é executado com privilégios de root e a autenticação está desativada, o recurso de API de terminal se torna um acesso direto ao sistema. Os pesquisadores descobriram que, ao acessar o endpoint da API REST /api/terminals, um invasor pode criar sessões de terminal sem autenticação. Utilizando ferramentas compatíveis com WebSocket, como websocat, os atacantes podem interagir com a interface do terminal e obter acesso root sem a necessidade de técnicas tradicionais de escalonamento de privilégios. Uma vez que o acesso root é alcançado, os invasores podem acessar arquivos de configuração do Jupyter, permitindo a criação de shells reversos persistentes e backdoors. Para mitigar essa vulnerabilidade, é crucial que o Jupyter não seja executado como root em ambientes de produção e que medidas de segurança, como autenticação obrigatória e desativação da API de terminal, sejam implementadas.

O setor elétrico brasileiro está sob crescente ameaça de ciberataques, com 535 mil tentativas registradas apenas no primeiro semestre de 2025, conforme divulgado pela ANEEL durante um painel sobre segurança online. Apesar de todas as tentativas terem sido bloqueadas, a superintendente de Gestão Técnica da Informação da ANEEL, Adriana Drummond Vivan, alertou para a vulnerabilidade dos sistemas de segurança do setor. Ela destacou a importância de uma regulamentação que, embora sirva como diretriz, não deve limitar a atuação dos profissionais da área. Vivan enfatizou que a regulação deve ser constantemente atualizada para acompanhar as rápidas mudanças no ambiente digital. Além disso, ela mencionou que um ataque cibernético ao setor elétrico pode ter um efeito dominó, afetando outras áreas, como telecomunicações, o que poderia resultar em sérios problemas de segurança de dados. Para mitigar esses riscos, a cooperação entre diferentes setores é essencial, permitindo um compartilhamento eficaz de informações e estratégias de defesa.

Em 3 de novembro de 2025, o Google divulgou seu Boletim de Segurança Android, revelando uma vulnerabilidade crítica de execução remota de código (CVE-2025-48593) que afeta dispositivos Android em todo o mundo. Essa falha, que não requer interação do usuário para ser explorada, representa um risco severo, pois permite que atacantes executem código arbitrário em dispositivos vulneráveis. A vulnerabilidade impacta as versões Android 13, 14, 15 e 16, e a sua gravidade é acentuada pelo fato de que os usuários não podem mitigar o problema através de mudanças de comportamento ou práticas de segurança. O Google recomenda que todos os dispositivos com nível de patch de segurança de 2025-11-01 ou posterior sejam atualizados imediatamente para se proteger contra essa e outras ameaças. Além disso, uma outra vulnerabilidade de elevação de privilégios (CVE-2025-48581) foi identificada, afetando exclusivamente o Android 16. O Google também enfatiza a importância de atualizações regulares e o uso do Google Play Protect para aumentar a segurança dos dispositivos.

Uma vulnerabilidade crítica foi identificada e corrigida no pacote npm ‘@react-native-community/cli’, utilizado por desenvolvedores para construir aplicações móveis em React Native. A falha, classificada como CVE-2025-11953, possui um score CVSS de 9.8, indicando sua gravidade. Essa vulnerabilidade permite que atacantes remotos não autenticados executem comandos arbitrários no sistema operacional da máquina que roda o servidor de desenvolvimento do React Native, o que representa um risco significativo para os desenvolvedores. O problema surge porque o servidor de desenvolvimento Metro, por padrão, se conecta a interfaces externas e expõe um endpoint ‘/open-url’ vulnerável a injeções de comandos do sistema. Com isso, um atacante pode enviar uma solicitação POST maliciosa para o servidor e executar comandos indesejados. Embora a falha já tenha sido corrigida na versão 20.0.0 do pacote, desenvolvedores que utilizam frameworks que não dependem do Metro não são afetados. Essa situação destaca a importância de uma análise de segurança automatizada e abrangente em toda a cadeia de suprimentos de software para evitar que falhas facilmente exploráveis impactem as organizações.

Pesquisadores de segurança descobriram uma vulnerabilidade crítica no sistema de IA Claude, da Anthropic, que permite a atacantes explorar prompts indiretos para roubar dados sensíveis dos usuários através da API de Arquivos da plataforma. A falha foi documentada publicamente em 28 de outubro de 2025 e revela como os criminosos podem manipular o interpretador de código e as funcionalidades da API do Claude para extrair informações confidenciais diretamente dos ambientes de trabalho das vítimas.

Uma grave vulnerabilidade de segurança, identificada como Brash, foi descoberta no mecanismo de renderização Blink, utilizado por navegadores baseados no Chromium, como Google Chrome e Microsoft Edge. Essa falha permite que um cibercriminoso provoque travamentos em qualquer navegador Chromium em um intervalo de 15 a 60 segundos, explorando a falta de limitação de taxa na API document.title do JavaScript. Com isso, é possível gerar milhões de mutações no DOM por segundo, saturando o sistema e levando ao colapso do navegador. A gravidade da situação é acentuada pelo fato de que o Google Chrome possui cerca de três bilhões de usuários ativos globalmente. O pesquisador Jose Pino, que descobriu a falha, alertou que ela pode ser programada para ser ativada em um momento específico, aumentando ainda mais o risco. O Google e outras empresas de navegadores já foram notificados e estão trabalhando em soluções. Durante os testes, navegadores como Mozilla Firefox e Safari não foram afetados pela vulnerabilidade.

Pesquisadores de segurança da Arctic Wolf Labs alertaram sobre um ataque cibernético direcionado a diplomatas europeus, realizado por um grupo de hackers conhecido como Mustang Panda, vinculado ao governo chinês. O ataque utiliza uma vulnerabilidade zero-day no Windows, identificada como CVE-2025-9491, que permite a exploração de arquivos .LNK maliciosos. Esses arquivos foram enviados em e-mails de phishing, disfarçados como convites para eventos diplomáticos, como workshops de defesa da OTAN. Ao serem abertos, os arquivos executam um Trojan de Acesso Remoto (RAT) chamado PlugX, que concede acesso persistente ao sistema comprometido, permitindo a espionagem e a exfiltração de dados. A vulnerabilidade, que é considerada de alta severidade, foi associada a campanhas de espionagem que datam de 2017. A exploração requer interação do usuário, o que a torna menos crítica, mas ainda assim representa um risco significativo para a segurança de informações sensíveis. O ataque destaca a necessidade de vigilância constante e medidas de segurança robustas para proteger dados diplomáticos e governamentais.

Uma vulnerabilidade crítica de execução remota de código (RCE) foi descoberta no UniFi OS da Ubiquiti, afetando a infraestrutura da API de backup em dispositivos UniFi. Identificada como CVE-2025-52665, a falha resulta de uma validação inadequada de entrada no endpoint de exportação de backup, permitindo que atacantes executem comandos arbitrários com privilégios elevados. A vulnerabilidade foi identificada durante uma avaliação de segurança rotineira e está relacionada a múltiplas APIs não autenticadas no ecossistema do UniFi OS. O endpoint vulnerável aceita um parâmetro de diretório sem a devida sanitização, possibilitando a injeção de comandos maliciosos. Além disso, a configuração incorreta expôs o endpoint a acessos não autenticados, permitindo que atacantes realizem operações sensíveis. Organizações que utilizam o UniFi OS devem priorizar a aplicação de patches e revisar os controles de acesso à rede para restringir a exposição dos endpoints da API. A gravidade da vulnerabilidade é evidenciada pelo CVSS Score de 9.8, classificada como crítica, e a recompensa de $25.000 oferecida pela descoberta.

A AMD revelou uma vulnerabilidade crítica em seus processadores Zen 5, identificada como CVE-2025-62626, que compromete a integridade da geração de números aleatórios. A falha afeta a instrução RDSEED, essencial para a geração de números aleatórios criptográficos, e pode resultar na devolução de valores zero enquanto sinaliza erroneamente sucesso. Isso pode levar a operações criptográficas comprometidas, pois aplicações podem utilizar valores previsíveis, tornando-as vulneráveis a ataques de predição. A vulnerabilidade impacta as implementações de 16 e 32 bits da instrução, enquanto a versão de 64 bits permanece segura. A AMD recomenda que as organizações adotem medidas imediatas, como a utilização da versão de 64 bits ou a ocultação da capacidade RDSEED até que patches de microcódigo sejam disponibilizados. Atualizações estão programadas para os processadores EPYC 9005 e Ryzen 9000 até novembro de 2025. A descoberta inicial da vulnerabilidade no mailing list do kernel Linux ressalta a importância da divulgação coordenada de falhas na comunidade de segurança.

Recentemente, sensores de segurança na internet detectaram um aumento significativo em varreduras de rede direcionadas às portas TCP 8530 e 8531, indicando esforços de reconhecimento ativo por parte de hackers que buscam explorar a vulnerabilidade CVE-2025-59287, que afeta os Serviços de Atualização do Servidor Windows (WSUS). Essa vulnerabilidade permite que atacantes se conectem a servidores WSUS vulneráveis e executem scripts arbitrários, obtendo controle sobre o sistema comprometido. A atividade de escaneamento é proveniente de diversas fontes globais, incluindo IPs que não estão associados a iniciativas de pesquisa legítimas, sugerindo que os atacantes estão ativamente caçando servidores WSUS expostos na internet. A combinação de detalhes de exploração amplamente disponíveis e a exposição direta à internet torna as organizações que utilizam WSUS um alvo fácil. Especialistas recomendam que as empresas apliquem patches de segurança imediatamente e implementem restrições de rede para proteger sua infraestrutura de atualização. Além disso, é crucial que as organizações investiguem sinais de comprometimento em seus sistemas, considerando-os potencialmente violados até que se prove o contrário.

O Australian Signals Directorate (ASD) emitiu um alerta sobre ataques cibernéticos direcionados a dispositivos Cisco IOS XE não corrigidos, utilizando um implante desconhecido chamado BADCANDY. A vulnerabilidade explorada, CVE-2023-20198, possui uma pontuação CVSS de 10.0, permitindo que atacantes remotos e não autenticados criem contas com privilégios elevados, comprometendo o controle dos sistemas afetados. Desde 2023, essa falha tem sido ativamente explorada, especialmente por grupos de ameaças vinculados à China, como o Salt Typhoon, que visam prestadoras de telecomunicações. O ASD identificou que cerca de 400 dispositivos na Austrália foram comprometidos desde julho de 2025, com 150 infecções ocorrendo apenas em outubro. O BADCANDY é descrito como um shell web baseado em Lua, que não possui um mecanismo de persistência, mas pode ser reintroduzido se os dispositivos permanecerem expostos e não corrigidos. O ASD recomenda que operadores de sistemas apliquem patches, limitem a exposição pública das interfaces web e sigam diretrizes de segurança da Cisco para evitar novas tentativas de exploração. Medidas adicionais incluem a revisão de configurações de contas e interfaces de túnel desconhecidas.

Autoridades de cibersegurança alertam sobre campanhas de exploração direcionadas a dispositivos Cisco IOS XE, utilizando uma vulnerabilidade crítica identificada como CVE-2023-20198. Essa falha permite que atacantes remotos e não autenticados criem contas altamente privilegiadas, comprometendo o controle total dos dispositivos. Desde outubro de 2023, um shell web sofisticado chamado BADCANDY tem sido implantado, afetando mais de 150 dispositivos na Austrália, mesmo após esforços de remediação. O BADCANDY é caracterizado como um implante de baixa complexidade técnica, o que facilita sua adoção por diversos grupos de ameaças, incluindo atores patrocinados por estados. A vulnerabilidade é particularmente preocupante, pois permite que os atacantes apliquem patches não persistentes, dificultando a detecção por administradores de rede. Para mitigar essa ameaça, é essencial que as organizações apliquem os patches oficiais da Cisco e sigam as diretrizes de segurança recomendadas, especialmente desabilitando a interface HTTP, a menos que seja absolutamente necessário. A situação atual exige vigilância contínua e ações rápidas para proteger a infraestrutura crítica das redes.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma vulnerabilidade crítica no kernel do Linux, identificada como CVE-2024-1086. Essa falha, que se localiza no componente netfilter, permite que atacantes que já tenham acesso inicial a um sistema Linux elevem seus privilégios a nível root, concedendo controle total sobre a máquina comprometida. A vulnerabilidade é classificada como ‘use-after-free’, uma condição que ocorre quando um programa continua a usar um ponteiro de memória após a memória ter sido liberada, possibilitando a execução de código arbitrário. A exploração dessa falha tem sido utilizada em campanhas de ransomware, permitindo que operadores de ransomware criptografem arquivos em sistemas inteiros e realizem operações de exfiltração de dados. A CISA recomenda que todas as organizações realizem um inventário de seus sistemas Linux, priorizem a aplicação de patches e implementem controles compensatórios onde a correção imediata não for viável. A gravidade da situação exige atenção imediata de administradores de rede e defensores de sistemas, especialmente em ambientes empresariais e de infraestrutura crítica que dependem de sistemas baseados em Linux.

Uma campanha sofisticada atribuída ao grupo de ameaças patrocinado pelo Estado chinês, conhecido como BRONZE BUTLER, está explorando uma vulnerabilidade crítica zero-day no Motex LANSCOPE Endpoint Manager para comprometer organizações japonesas e roubar informações sensíveis. A falha, identificada como CVE-2025-61932, possui um escore CVSS 3.0 de 9.8, permitindo que atacantes remotos executem código arbitrário com privilégios de sistema. A vulnerabilidade afeta versões 9.4.7.1 e anteriores do LANSCOPE Endpoint Manager, visando especificamente os componentes do programa cliente e do agente de detecção. As tentativas de exploração começaram em abril de 2025, com a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionando a CVE-2025-61932 ao seu catálogo de vulnerabilidades conhecidas exploradas em 22 de outubro de 2025. Os pesquisadores identificaram que o grupo BRONZE BUTLER utilizou um malware sofisticado chamado Gokcpdoor como infraestrutura de comando e controle, além de técnicas de exfiltração de dados que incluíam ferramentas legítimas e serviços de armazenamento em nuvem. Organizações que utilizam o LANSCOPE devem revisar imediatamente a justificativa para a exposição pública e aplicar atualizações de segurança disponíveis.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu a vulnerabilidade CVE-2025-24893 em seu catálogo de Vulnerabilidades Conhecidas Exploited, destacando um grave problema de injeção de código na plataforma XWiki. Essa falha permite que qualquer usuário convidado execute código remoto arbitrário sem autenticação, representando um risco significativo para organizações que utilizam essa plataforma de wiki de código aberto. A vulnerabilidade está relacionada ao componente SolrSearch do XWiki, que não trata adequadamente as funções de avaliação de código, permitindo que atacantes não autenticados injetem código malicioso. A CISA estabeleceu o dia 20 de novembro de 2025 como prazo crítico para que as organizações implementem correções de segurança fornecidas pela equipe de desenvolvimento do XWiki. Para organizações que não conseguem aplicar as correções imediatamente, a CISA recomenda a suspensão do uso da plataforma até que a remediação completa seja possível. Embora não haja evidências de exploração ativa, a gravidade da vulnerabilidade sugere que os atacantes podem rapidamente desenvolver códigos de exploração contra sistemas não corrigidos. As equipes de segurança devem realizar um inventário de todas as implementações do XWiki e estabelecer procedimentos de teste de patches antes da implementação em larga escala.

Pesquisadores de segurança da Sophos identificaram a exploração ativa de uma vulnerabilidade crítica nos Serviços de Atualização do Windows Server (WSUS), que permite a atores maliciosos coletar dados sensíveis de organizações sem necessidade de autenticação. A falha, classificada como CVE-2025-59287, foi amplamente explorada após a divulgação de detalhes técnicos e a liberação de patches pela Microsoft em 14 de outubro de 2025. A situação se agravou com a publicação de um código de prova de conceito no GitHub, resultando em uma onda de ataques coordenados contra servidores WSUS expostos à internet. Os ataques, que começaram em 24 de outubro de 2025, afetaram principalmente organizações nos setores de tecnologia, saúde, manufatura e educação, com pelo menos seis incidentes confirmados. Os atacantes utilizam um bug de desserialização para executar comandos PowerShell maliciosos, extraindo informações críticas como endereços IP externos e configurações de rede, que são então exfiltradas para URLs controladas pelos atacantes. Especialistas em segurança estão alertando as organizações para que apliquem imediatamente os patches disponíveis e restrinjam o acesso aos servidores WSUS expostos.

Um grupo de ciberespionagem conhecido como Tick, também chamado de Bronze Butler, tem explorado uma vulnerabilidade crítica no Motex Lanscope Endpoint Manager, identificada como CVE-2025-61932, com uma pontuação CVSS de 9.3. Essa falha permite que atacantes remotos executem comandos arbitrários com privilégios de sistema em versões locais do software. O JPCERT/CC confirmou que a vulnerabilidade está sendo ativamente utilizada para instalar um backdoor em sistemas comprometidos. A campanha sofisticada, observada pela Sophos, utiliza um backdoor chamado Gokcpdoor, que estabelece uma conexão proxy com um servidor remoto e permite a execução de comandos maliciosos. Além disso, o ataque envolve o uso do framework Havoc para pós-exploração e ferramentas como goddi e Remote Desktop para movimentação lateral e exfiltração de dados. O Tick já havia sido observado explorando falhas zero-day em campanhas anteriores, como em 2017, quando comprometeu o SKYSEA Client View. A Sophos recomenda que as organizações atualizem seus servidores Lanscope vulneráveis e revisem a necessidade de expô-los publicamente na internet.

O grupo de ameaças conhecido como UNC6384, associado à China, está vinculado a uma nova onda de ataques que exploram uma vulnerabilidade não corrigida em atalhos do Windows, visando entidades diplomáticas e governamentais na Europa entre setembro e outubro de 2025. Os ataques foram direcionados a organizações diplomáticas na Hungria, Bélgica, Itália e Países Baixos, além de agências governamentais na Sérvia. A cadeia de ataque começa com e-mails de spear-phishing que contêm URLs maliciosas, levando à entrega de arquivos LNK que exploram a vulnerabilidade ZDI-CAN-25373, identificada como CVE-2025-9491. Esses arquivos são projetados para desencadear uma sequência de ataques que culminam na implantação do malware PlugX, um trojan de acesso remoto. O PlugX é conhecido por suas capacidades de acesso remoto, incluindo execução de comandos, registro de teclas e upload/download de arquivos. A evolução do malware foi observada, com a redução do tamanho dos artefatos de 700 KB para 4 KB, indicando um desenvolvimento ativo. A campanha se alinha com os interesses estratégicos da China em relação à coesão das alianças europeias e iniciativas de defesa.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade crítica de escalonamento de privilégios, identificada como CVE-2025-41244, que afeta o VMware Tools e o VMware Aria Operations. Essa falha permite que atacantes com acesso de usuário padrão a uma máquina virtual elevem seus privilégios a nível root, comprometendo a segurança de sistemas virtualizados. A vulnerabilidade é particularmente preocupante devido à sua baixa complexidade de ataque e aos requisitos mínimos para exploração, tornando-a acessível em ambientes multi-inquilinos e de hospedagem compartilhada. A CISA estabeleceu um prazo obrigatório até 20 de novembro de 2025 para que as organizações apliquem patches ou implementem medidas de segurança alternativas. A Broadcom, responsável pelo VMware, já disponibilizou orientações de segurança e patches para mitigar a falha. Enquanto isso, as organizações devem considerar restrições de acesso local e desativação de funcionalidades não essenciais como medidas temporárias. A urgência é reforçada pela natureza pública da vulnerabilidade e pela janela de exploração ativa, exigindo uma resposta rápida das equipes de segurança.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade de alta severidade no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando o Broadcom VMware Tools e o VMware Aria Operations. Identificada como CVE-2025-41244, essa falha possui uma pontuação CVSS de 7.8 e permite que atacantes locais com privilégios não administrativos escalem suas permissões para nível root em sistemas vulneráveis. A CISA destacou que a exploração dessa vulnerabilidade pode ocorrer em máquinas virtuais (VMs) com VMware Tools instalados e geridos pelo Aria Operations, especialmente com o SDMP habilitado. A falha foi descoberta pela NVISO Labs e já estava sendo explorada como um zero-day desde outubro de 2024 por um ator de ameaça vinculado à China, identificado como UNC5174. Além disso, a CISA também listou uma vulnerabilidade crítica de injeção eval no XWiki, que permite a execução remota de código por usuários convidados. As agências do Federal Civilian Executive Branch (FCEB) devem implementar as mitig ações necessárias até 20 de novembro de 2025 para proteger suas redes contra essas ameaças.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) e a Agência de Segurança Nacional (NSA), em colaboração com parceiros internacionais, emitiram orientações para proteger instâncias locais do Microsoft Exchange Server contra possíveis explorações. As recomendações incluem restringir o acesso administrativo, implementar autenticação multifatorial e adotar princípios do modelo de segurança de confiança zero. As agências alertam que a atividade maliciosa direcionada ao Exchange Server continua a aumentar, especialmente em instâncias desprotegidas ou mal configuradas. Organizações são aconselhadas a descontinuar servidores Exchange obsoletos e migrar para o Microsoft 365. Além disso, a CISA atualizou o alerta sobre a vulnerabilidade CVE-2025-59287, que pode permitir a execução remota de código, recomendando que as organizações apliquem atualizações de segurança e monitorem atividades suspeitas em suas redes. A exploração dessa vulnerabilidade já foi identificada em diversas indústrias, incluindo tecnologia e saúde, destacando a urgência de ações corretivas para mitigar riscos.

Pesquisadores das universidades Georgia Tech e Purdue University descobriram uma falha grave em CPUs modernas da AMD e Intel, que permite o acesso a informações sensíveis armazenadas no Ambiente de Execução Confiável (TEE). O ataque, denominado TEE.Fail, explora vulnerabilidades nas tecnologias Intel SGX/TDX e AMD SEV-SNP, especialmente em sistemas que utilizam memórias DDR5. Embora o método de ataque exija acesso físico à máquina e uma modificação invasiva, ele pode ser realizado com um custo inferior a 1.000 euros, tornando-o acessível até mesmo para entusiastas de hardware. Durante os testes, os pesquisadores conseguiram extrair chaves de assinatura do OpenSSL em máquinas virtuais protegidas pela tecnologia SEV-SNP da AMD, mesmo com a segurança adicional ativada. Apesar da gravidade da vulnerabilidade, o ataque não representa uma ameaça imediata para o usuário comum, pois requer privilégios de administrador e acesso físico. A AMD, única entre as fabricantes a responder, afirmou que não planeja correções, uma vez que a solução exigiria alterações de hardware. Essa situação levanta preocupações sobre a segurança de dados sensíveis em ambientes corporativos que utilizam essas tecnologias.

Uma vulnerabilidade severa foi descoberta no motor de renderização Blink do Chromium, permitindo que navegadores baseados em Chromium, como Google Chrome e Microsoft Edge, sejam explorados para falhar em questão de segundos. O pesquisador de segurança Jose Pino, que revelou a falha, a nomeou de Brash. Essa vulnerabilidade se origina da falta de limitação de taxa nas atualizações da API ‘document.title’, permitindo que milhões de mutações do modelo de objeto do documento (DOM) sejam enviadas por segundo, levando o navegador a travar e degradar o desempenho do sistema. O ataque ocorre em três etapas: geração de hash, injeção em rajadas de atualizações e saturação da thread da interface do usuário, resultando em um navegador não responsivo. Além disso, Brash pode ser programada para ser ativada em momentos específicos, funcionando como uma bomba lógica. A falha afeta todos os navegadores baseados em Chromium, enquanto o Mozilla Firefox e o Apple Safari estão imunes. A equipe do Hacker News entrou em contato com o Google para obter mais informações sobre a correção.

Pesquisadores de segurança identificaram uma falha crítica na arquitetura do motor de renderização Blink, que afeta navegadores baseados em Chromium, como Chrome, Edge, Brave e Opera, colocando mais de 3 bilhões de usuários em risco de ataques de negação de serviço (DoS). Denominada Brash, a vulnerabilidade permite que atacantes incapacitem completamente esses navegadores em apenas 15 a 60 segundos, utilizando técnicas simples de injeção de código. O ataque explora a ausência de limitação de taxa na API document.title, inundando o navegador com milhões de solicitações de atualização de título por segundo, o que sobrecarrega o thread principal do navegador e provoca um colapso do sistema. Testes mostraram que todos os navegadores baseados em Chromium são vulneráveis, enquanto Firefox e Safari permanecem imunes devido a arquiteturas de renderização diferentes. As consequências vão além da simples inconveniência, afetando o desempenho do sistema e podendo interromper operações críticas em setores como saúde e finanças. A vulnerabilidade ainda não foi corrigida, e patches estão em desenvolvimento, o que exige atenção imediata dos usuários e administradores de sistemas.

Uma vulnerabilidade crítica foi identificada no plugin Anti-Malware Security e Brute-Force Firewall do WordPress, afetando mais de 100 mil sites globalmente. A falha, registrada como CVE-2025-11705, permite que atacantes autenticados com acesso básico leiam arquivos arbitrários nos servidores afetados, expondo dados sensíveis como configurações e credenciais de banco de dados. O problema decorre da ausência de uma verificação de autorização na função GOTMLS_ajax_scan(), que exibe resultados de varredura de malware. Apesar de mecanismos de proteção, a implementação falhou em validar corretamente as capacidades dos usuários, permitindo que contas de baixo privilégio contornassem essas salvaguardas. A vulnerabilidade foi descoberta pelo pesquisador Dmitrii Ignatyev e divulgada através do programa de recompensas da Wordfence, resultando em um patch liberado em 15 de outubro de 2025. Administradores de sites devem atualizar imediatamente para a versão 4.23.83 ou posterior para mitigar os riscos. Este incidente destaca a importância de manter versões de plugins atualizadas e monitorar avisos de segurança.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287. Essa falha permite que atacantes não autenticados executem código remotamente com privilégios de sistema, comprometendo a infraestrutura de milhões de servidores. A CISA atualizou suas diretrizes em 29 de outubro de 2025, recomendando que as organizações identifiquem servidores vulneráveis e apliquem imediatamente a atualização de segurança emergencial da Microsoft, lançada em 23 de outubro de 2025. Para aqueles que não conseguem aplicar os patches rapidamente, a CISA sugere desabilitar temporariamente o WSUS ou bloquear o tráfego para as portas padrão do WSUS. Além disso, as equipes de segurança devem monitorar tentativas de exploração e movimentos laterais dentro da rede, prestando atenção a processos suspeitos que possam indicar uma violação. A vulnerabilidade foi adicionada ao catálogo de Vulnerabilidades Conhecidas da CISA, confirmando a exploração ativa desde pelo menos 24 de outubro de 2025. A situação exige atenção imediata das organizações para evitar compromissos severos em suas operações.

A Microsoft corrigiu uma vulnerabilidade crítica no driver Windows Cloud Files Minifilter, identificada como CVE-2025-55680, que permite a atacantes locais escalar privilégios e criar arquivos arbitrários no sistema. Descoberta por pesquisadores da Exodus Intelligence em março de 2024, a falha foi incluída nas atualizações de segurança de outubro de 2025, recebendo uma pontuação CVSS de 7.8 devido à sua capacidade de conceder acesso em nível SYSTEM por meio de técnicas de side-loading de DLLs.