Vulnerabilidades

Recentemente, uma operação global contra fraudes resultou na prisão de 5.811 indivíduos e na interceptação de $293 milhões em ativos ilícitos, destacando a gravidade das fraudes de engenharia social. A operação, chamada First Light 2026, envolveu 97 países e revelou mais de 142.000 vítimas em todo o mundo. Além disso, uma campanha de typosquatting afetou pacotes npm e PyPI, visando SDKs de aplicativos de pagamento como Paysafe e Skrill, com o objetivo de roubar informações sensíveis. Outra vulnerabilidade crítica foi identificada no Esri ArcGIS Server, permitindo acesso não autenticado a arquivos sensíveis, com uma pontuação CVSS de 9.8. A pesquisa também revelou técnicas avançadas de injeção de código, como o Process Parameter Poisoning, que evita a detecção de atividades maliciosas. O alerta sobre a coleta de dados sensíveis por versões do Claude Code na China e uma campanha de phishing que utiliza chamadas do Microsoft Teams para disseminar o malware EtherRAT também foram destacados. Esses incidentes ressaltam a necessidade urgente de vigilância e mitigação de riscos em ambientes corporativos.

Recentemente, diversas empresas anunciaram a criação de clearinghouses para vulnerabilidades, incluindo a Athena, que se destaca por já estar em operação antes do anúncio. No entanto, o artigo enfatiza que a criação de um clearinghouse é a parte menos importante do processo de segurança. O verdadeiro desafio reside na capacidade de transformar dados de vulnerabilidades em correções efetivas e aplicáveis. O autor argumenta que, embora esses clearinghouses reúnam dados sobre vulnerabilidades pré-divulgação, a verdadeira questão é como essas informações são utilizadas para proteger aplicações em tempo real. A crescente quantidade de vulnerabilidades privadas em código aberto é um subproduto de métodos de teste que expõem falhas em dependências de terceiros. Além disso, a velocidade de exploração de vulnerabilidades tem diminuído drasticamente, com ataques ocorrendo antes mesmo da divulgação de patches. O artigo conclui que, para proteger eficazmente as aplicações, é necessário um esforço coordenado e em larga escala, onde a colaboração entre diferentes equipes de segurança se torna essencial.

A Ubiquiti lançou atualizações para corrigir várias falhas de segurança críticas em suas aplicações UniFi Connect, UniFi Talk, UniFi Access, UniFi Protect e UniFi OS. As vulnerabilidades, que variam de um CVSS de 9.0 a 10.0, incluem problemas de controle de acesso inadequado, injeção de comandos e injeção SQL. Por exemplo, a CVE-2026-50746 permite que um atacante execute injeções de comandos na aplicação UniFi Connect, enquanto a CVE-2026-50747 envolve injeções SQL na UniFi Talk, ambas podendo resultar em escalonamento de privilégios. Embora não haja evidências de exploração ativa dessas falhas, a CISA já havia alertado sobre vulnerabilidades semelhantes que foram utilizadas em ataques reais. Além disso, um botnet chamado MooBot, que utilizava roteadores Ubiquiti Edge OS comprometidos, foi desmantelado em uma operação de aplicação da lei. As atualizações estão disponíveis e é crucial que os usuários implementem os patches para mitigar os riscos associados a essas vulnerabilidades.

A Ubiquiti lançou atualizações de segurança para corrigir sete vulnerabilidades críticas no UniFi OS, incluindo uma falha de gravidade máxima, identificada como CVE-2026-50746, que pode ser explorada em ataques de injeção de comando. Essa vulnerabilidade afeta a aplicação UniFi Connect (versões 3.4.16 e anteriores), utilizada para gerenciar operações em edifícios comerciais, como sistemas de iluminação LED inteligentes e carregadores de veículos elétricos. A empresa alertou que um ator malicioso com acesso à rede pode explorar uma vulnerabilidade de Controle de Acesso Inadequado para executar injeções de comando no dispositivo host. Os usuários devem atualizar a aplicação UniFi Connect para a versão 3.4.20 ou posterior. Além disso, a Ubiquiti corrigiu outras seis vulnerabilidades críticas em aplicações como UniFi Talk, UniFi Access e UniFi Protect, bem como em seu servidor UniFi OS e uma variedade de roteadores e sistemas de vigilância. A empresa não confirmou se essas vulnerabilidades foram exploradas antes da correção, mas destacou que seis delas podem ser exploradas em ataques de baixa complexidade sem interação do usuário. A empresa de inteligência de ameaças Censys rastreia mais de 100.000 instâncias do UniFi OS expostas online, com a maioria localizada nos Estados Unidos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu quatro novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), todas com evidências de exploração ativa. As falhas incluem CVE-2026-48282 e CVE-2026-56290, ambas com pontuação CVSS de 10.0, que permitem a execução remota de código em sistemas vulneráveis, como Adobe ColdFusion e Joomlack Page Builder. A CVE-2026-55255, com pontuação de 6.1, permite que atacantes autenticados contornem autorizações e executem fluxos de outros usuários. A CVE-2026-48908, também com pontuação 10.0, permite o upload irrestrito de arquivos perigosos, resultando na execução de código PHP. A exploração da CVE-2026-48282 foi observada rapidamente após a divulgação pública, com tentativas de ataque originadas da Índia. As organizações são aconselhadas a aplicar correções até 10 de julho de 2026 para proteger suas redes. O cenário destaca a urgência de ações corretivas, especialmente para plataformas amplamente utilizadas como Joomla e WordPress.

O grupo de ameaças avançadas persistentes (APT) conhecido como UAT-7810, vinculado à China, está aprimorando seu malware personalizado para expandir sua rede de Operational Relay Box (ORB). De acordo com a Cisco Talos, o UAT-7810 é responsável pela manutenção e proliferação do LapDogs, uma rede ORB identificada pela primeira vez em junho de 2025. O objetivo do grupo é estabelecer redes ORB que possam ser utilizadas por outros atores de ameaças para realizar ataques cibernéticos a alvos de alto valor. Recentemente, o UAT-7810 desenvolveu uma nova versão de seu malware, chamada LONGLEASH, além de outras ferramentas como DOGLEASH e LEASHTEST, que são utilizadas para explorar vulnerabilidades em dispositivos de rede, como roteadores Ruckus e ASUS. As campanhas do grupo têm se concentrado em explorar falhas conhecidas, como CVE-2020-22653 e CVE-2023-25717, para comprometer dispositivos e estabelecer acesso persistente. A evolução do malware indica um ciclo ativo de desenvolvimento, com novas funcionalidades sendo testadas em dispositivos MIPS. A situação representa um risco significativo para a segurança de redes, especialmente para infraestruturas críticas.

Em junho de 2026, a Novee Security revelou uma nova classe de vulnerabilidades em pipelines de CI/CD, chamada Cordyceps, que afeta repositórios de alto impacto em ecossistemas como npm, PyPI, crates.io e Go. A pesquisa analisou cerca de 30.000 repositórios e identificou 654 vulnerabilidades, das quais mais de 300 eram totalmente exploráveis. O problema reside na forma como os workflows do GitHub Actions são configurados, permitindo que um atacante, com apenas uma conta gratuita do GitHub, execute código malicioso em contextos privilegiados. A vulnerabilidade se origina da interação entre workflows, onde um código aparentemente seguro pode ser manipulado para executar comandos não autorizados. Exemplos de exploração incluem o repositório Azure Sentinel da Microsoft, onde um simples comentário em um pull request permitiu o roubo de uma chave de aplicativo do GitHub, e o repositório do Google Cloud, onde um pull request poderia conceder acesso de proprietário a um projeto. A análise destaca a necessidade urgente de governança e revisão de segurança em pipelines, especialmente com o aumento da automação e do uso de ferramentas de IA, que podem replicar padrões inseguros em larga escala.

A BeyondTrust emitiu um alerta para que seus clientes apliquem patches em duas falhas de segurança críticas em seus softwares Remote Support (RS) e Privileged Remote Access (PRA). A primeira vulnerabilidade, identificada como CVE-2026-40138, afeta versões 25.3.2 ou anteriores do RS e do PRA, permitindo que atacantes contornem controles de acesso e acessem dispositivos alvo, incluindo contas com privilégios elevados. A segunda falha, CVE-2026-40139, permite que atacantes remotos não autenticados acessem instâncias vulneráveis devido a um processamento inadequado de solicitações de autenticação. Embora a BeyondTrust tenha destacado que a exploração dessas falhas requer uma configuração específica de autenticação, não foram fornecidos detalhes adicionais. Além disso, a empresa lançou atualizações de segurança para outras duas vulnerabilidades de alta severidade (CVE-2026-40140 e CVE-2026-40141), que podem causar negação de serviço ou acesso a recursos restritos. A BeyondTrust já aplicou patches para clientes em nuvem e recomenda que clientes auto-hospedados atualizem suas versões. O grupo de vigilância de segurança Shadowserver identificou quase 2.000 instâncias do RS e PRA expostas online, mas não há informações sobre quantas já foram corrigidas. Historicamente, falhas anteriores da BeyondTrust foram exploradas em ataques, incluindo um incidente que comprometeu agências do governo dos EUA, destacando a importância de uma resposta rápida a essas vulnerabilidades.

Um novo grupo de ameaças, identificado como UNK_MassTraction, está explorando vulnerabilidades críticas no software de webmail Roundcube, utilizado por departamentos de física e engenharia em universidades dos EUA e Canadá. A atividade maliciosa, detectada pela primeira vez em maio de 2026, visa principalmente administradores e professores de áreas relacionadas à segurança nacional e estudos avançados em física. Os atacantes utilizam falhas de segurança, como a CVE-2024-42009, para roubar credenciais e implantar ferramentas de acesso remoto, como VShell e SquareShell. Os e-mails maliciosos são enviados a partir de remetentes comprometidos ou domínios vulneráveis, aproveitando políticas DMARC fracas. O ataque é facilitado por um exploit de cross-site scripting (XSS), que permite a execução de código JavaScript no navegador da vítima. Após a exploração, um payload chamado IceCube coleta informações sensíveis, como dados de autenticação de dois fatores (2FA) e cookies, e tenta obter acesso persistente ao servidor de e-mail. A campanha destaca a necessidade de uma defesa robusta para servidores de e-mail, que são frequentemente alvos de ataques cibernéticos, especialmente por grupos patrocinados por estados, como os da China.

A segurança da cadeia de suprimentos de software enfrenta novos desafios com a integração da inteligência artificial (IA) no processo de desenvolvimento. Nos últimos anos, incidentes como SolarWinds e Log4Shell destacaram que os riscos estão mais associados ao que compõe o código do que ao código em si. Com a introdução de ferramentas autônomas e assistentes de codificação baseados em IA, a necessidade de entender a origem e a confiabilidade dos modelos e ferramentas se torna crucial. A validação do código gerado por IA antes de sua implementação é essencial, mas o verdadeiro desafio reside na governança das ferramentas e agentes que produzem esse código. Para lidar com essa nova realidade, as equipes de segurança precisam estender a rastreabilidade para incluir modelos e agentes, além de priorizar vulnerabilidades com base na real possibilidade de exploração. O recente reconhecimento do Gartner sobre a segurança da cadeia de suprimentos de software ressalta a importância de abordar esses riscos de forma sistemática. Um webinar programado para julho de 2026 discutirá como a integração da IA alterou a superfície de ataque e o que um programa de segurança deve incluir para ser eficaz nesta nova era.

A BeyondTrust divulgou atualizações para corrigir duas falhas de segurança críticas em seus produtos de Suporte Remoto (RS) e Acesso Remoto Privilegiado (PRA). As vulnerabilidades, identificadas como CVE-2026-40138 e CVE-2026-40139, possuem uma pontuação CVSS de 9.2, permitindo que atacantes não autenticados contornem controles de acesso e obtenham acesso não autorizado a dispositivos vulneráveis, incluindo contas com privilégios elevados. Ambas as falhas estão relacionadas a problemas na validação de dados de autenticação. Além disso, outras vulnerabilidades, como CVE-2026-40140 e CVE-2026-40141, apresentam riscos adicionais, como negação de serviço e acesso não intencional a recursos. A BeyondTrust não relatou exploração ativa dessas falhas, mas enfatizou a importância de aplicar as correções rapidamente, especialmente considerando que falhas anteriores em seus produtos foram exploradas para implantar shells web e backdoors. As versões afetadas são RS 25.3.2 ou inferiores e PRA 25.3.2 ou inferiores, com correções disponíveis nas versões 25.3.3 e superiores.

Pesquisadores identificaram o que acreditam ser o primeiro caso documentado de uma operação de ransomware, chamada JadePuffer, conduzida inteiramente por um agente de modelo de linguagem grande (LLM). Segundo a empresa de segurança em nuvem Sysdig, JadePuffer utilizou um agente de IA autônomo para realizar reconhecimento do alvo, roubar credenciais, mover-se lateralmente, estabelecer persistência, escalar privilégios e criptografar dados. O agente de IA demonstrou uma capacidade de adaptação a falhas durante a intrusão, semelhante ao que um operador humano faria. A operação começou com a exploração de uma vulnerabilidade (CVE-2025-3248) em Langflow, um framework open-source popular. Após obter acesso, o agente coletou informações sensíveis e estabeleceu persistência no servidor. A partir daí, ele se moveu para um servidor MySQL de produção, onde implantou o ransomware, criptografando 1.342 itens de configuração do serviço Nacos. A nota de resgate indicava que os dados foram criptografados usando o algoritmo AES-256, embora os pesquisadores acreditem que o AES-128-ECB foi o realmente utilizado. Este caso destaca a chegada de ‘agentes de ameaças autônomas’, que podem reduzir a habilidade necessária para realizar ataques cibernéticos prejudiciais.

A empresa de segurança runZero revelou sete vulnerabilidades na biblioteca de sistema de arquivos FatFs, que é amplamente utilizada em dispositivos como câmeras de segurança, drones e carteiras de criptomoedas. As falhas permitem que um atacante, ao inserir um dispositivo USB ou cartão SD malicioso, possa corromper a memória do dispositivo e executar código não autorizado. A vulnerabilidade mais crítica, CVE-2026-6682, apresenta um estouro de inteiro que pode levar à execução de código malicioso. Outras falhas incluem estouros de buffer e problemas de manipulação de dados que podem causar corrupção de memória ou falhas no dispositivo. Embora a runZero tenha classificado essas vulnerabilidades como de médio a alto risco, não houve relatos de exploração ativa até o momento. O FatFs é mantido por um único desenvolvedor, e a falta de resposta a tentativas de contato para correções levanta preocupações sobre a segurança de muitos produtos que dependem dessa biblioteca. Para organizações que utilizam firmware que interage com mídias FAT ou exFAT, é essencial auditar o código e implementar correções. Além disso, recomenda-se limitar o acesso físico a dispositivos e monitorar atualizações de firmware.

Nesta semana, diversas vulnerabilidades e campanhas de phishing foram destacadas no cenário de cibersegurança. Uma campanha de phishing está atacando pequenas empresas em várias regiões, incluindo a Europa e os EUA, utilizando e-mails falsos que se passam por investigações da INTERPOL, levando à instalação de ransomware. Além disso, uma pesquisa revelou uma falha no serviço ‘Hide My Email’ da Apple, que permite que endereços de e-mail reais sejam expostos. Outra descoberta alarmante envolve um novo Trojan de Acesso Remoto (RAT) chamado BeepRAT, que se infiltra em sistemas através de um utilitário de gerenciamento de números de telefone, demonstrando um sofisticado encadeamento de infecção. Por fim, a avaliação do modelo GPT-5.6 da OpenAI mostrou que, apesar de suas capacidades ofensivas, ainda enfrenta limitações em alvos bem defendidos. Essas questões ressaltam a necessidade de vigilância constante e atualização de sistemas para mitigar riscos.

A empresa de segurança Sysdig revelou um ataque de ransomware que, segundo eles, foi totalmente conduzido por um agente de inteligência artificial, nomeado JADEPUFFER. O ataque explorou uma vulnerabilidade já corrigida (CVE-2025-3248) em Langflow, uma ferramenta de código aberto, permitindo que o agente acessasse servidores expostos na internet. Após invadir a rede, o agente mapeou a máquina, coletou credenciais e, em seguida, criptografou e eliminou dados de um banco de dados de produção. O ataque se destacou pela ausência de um chave de descriptografia, impossibilitando a recuperação dos dados, mesmo que o resgate fosse pago. A Sysdig observou que o código do ataque continha anotações em inglês que explicavam cada passo, uma característica típica de modelos de IA, e que o agente corrigiu seus próprios erros rapidamente. Este incidente marca um novo patamar na automação de ataques cibernéticos, levantando preocupações sobre a segurança de sistemas que utilizam ferramentas de IA expostas à internet. Os especialistas recomendam que as empresas atualizem suas ferramentas e adotem práticas de segurança rigorosas para proteger suas redes.

A Adobe divulgou atualizações de segurança para corrigir várias vulnerabilidades críticas em seus produtos ColdFusion e Adobe Campaign Classic. As falhas, que possuem pontuação máxima no CVSS, incluem a possibilidade de execução de código arbitrário, escalonamento de privilégios e leitura não autorizada do sistema de arquivos. Entre as vulnerabilidades destacadas estão CVE-2026-48276 e CVE-2026-48283, que permitem o upload de arquivos perigosos, e CVE-2026-48282, que envolve uma vulnerabilidade de traversal de caminho. As atualizações estão disponíveis nas versões ColdFusion 2023 Update 21 e ColdFusion 2025 Update 10. Além disso, uma falha crítica no Adobe Campaign Classic, identificada como CVE-2026-48286, também foi corrigida, afetando versões anteriores ao build 9397. A Adobe informou que não encontrou exploração ativa dessas vulnerabilidades até o momento, mas ressaltou a importância de aplicar as atualizações rapidamente, especialmente com a crescente utilização de inteligência artificial para descobrir vulnerabilidades. A empresa também anunciou que passará a publicar boletins de segurança quinzenalmente a partir de julho de 2026.

A Adobe divulgou atualizações de segurança para corrigir sete vulnerabilidades de alta severidade nas plataformas ColdFusion e Campaign Classic. Essas falhas podem ser exploradas em ataques de baixa complexidade, sem necessidade de interação do usuário, e foram classificadas como prioridade 1, indicando um alto risco de exploração. As vulnerabilidades identificadas como CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48316 e CVE-2026-48282 afetam versões do ColdFusion 2025.9, 2023.20 e anteriores, permitindo que atacantes não privilegiados executem código remotamente em sistemas não corrigidos. A vulnerabilidade do Campaign Classic, CVE-2026-48286, afeta versões 7.4.3 build 9396 e anteriores, podendo levar à execução de código arbitrário no contexto do usuário atual. A Adobe recomenda que administradores apliquem as atualizações o mais rápido possível, preferencialmente em até 72 horas. A empresa também anunciou que passará a publicar boletins de segurança duas vezes por mês, visando uma resposta mais ágil a vulnerabilidades ativamente exploradas.

A Citrix divulgou atualizações de segurança para corrigir múltiplas vulnerabilidades em seus produtos NetScaler ADC e NetScaler Gateway, que podem ser exploradas por atacantes para realizar leituras arbitrárias de arquivos ou provocar condições de negação de serviço (DoS). As falhas identificadas incluem CVE-2026-8451 e CVE-2026-8452, ambas com pontuação CVSS de 8.8, relacionadas a validação insuficiente de entrada e estouro de memória. Outras vulnerabilidades, como CVE-2026-10816, permitem leitura não autenticada de arquivos. As atualizações estão disponíveis nas versões 14.1-72.61 e 13.1-63.18 ou posteriores. É crucial que os usuários apliquem os patches para garantir a proteção, especialmente considerando que, nos últimos anos, os dispositivos da Citrix têm sido alvos frequentes de ataques, incluindo a implantação de ransomware. Além disso, recomenda-se que os clientes ajustem a configuração do parâmetro Http2SmallWndTimeout para mitigar a CVE-2026-13474. Embora não haja evidências de exploração ativa dessas vulnerabilidades, a fragilidade na gestão de memória dos dispositivos Citrix é uma preocupação crescente.

Uma nova família de malware chamada RustDuck está comprometendo roteadores domésticos, câmeras IP, caixas Android e servidores mal protegidos, formando uma botnet destinada a realizar ataques de negação de serviço distribuída (DDoS). Pesquisadores da QiAnXin’s XLab monitoram essa ameaça desde fevereiro de 2026, destacando sua rápida evolução e a complexidade de suas técnicas de evasão. RustDuck se espalha por meio de senhas fracas, bugs não corrigidos e vulnerabilidades conhecidas em dispositivos, como CVE-2017-17215 e CVE-2025-29635. O malware é notável por ser reescrito em Rust, o que dificulta a análise e a desativação. Ele opera em duas etapas, começando com um carregador que descompacta um módulo central mais robusto. Além disso, RustDuck realiza verificações para evitar ser detectado em ambientes de pesquisa, utilizando criptografia avançada para suas comunicações. Embora atualmente seja uma botnet pequena, sua capacidade de adaptação e as técnicas que está testando podem representar uma ameaça crescente no futuro. Para mitigar os riscos, recomenda-se desativar interfaces de gerenciamento remoto, corrigir vulnerabilidades conhecidas e monitorar indicadores técnicos associados ao malware.

Pesquisadores identificaram seis falhas de segurança nas funcionalidades AirDrop da Apple e Quick Share da Samsung, que permitem a transferência de arquivos entre dispositivos próximos sem a necessidade de cabos ou redes compartilhadas. Um atacante que esteja dentro do alcance wireless pode derrubar o serviço de compartilhamento em dispositivos Apple configurados para receber de ‘Todos’, sem necessidade de interação do usuário. As falhas no Quick Share da Samsung também permitem que um dispositivo não verificado inicie uma conexão antes da criptografia ser estabelecida, comprometendo a segurança da sessão. Embora as falhas tenham sido testadas em versões específicas de dispositivos, o impacto potencial é significativo, dado que mais de cinco bilhões de dispositivos Apple e Android estão em uso. A Apple já lançou um patch para uma das falhas do AirDrop, enquanto a Google também implementou correções para o Quick Share no Windows. Os ataques são locais, exigindo que o invasor esteja a uma distância de 10 a 30 metros, mas ainda assim representam um risco em locais públicos. Os usuários são aconselhados a manter suas configurações de compartilhamento restritas e a atualizar seus dispositivos para as versões mais recentes.

A Apple divulgou, na última segunda-feira, atualizações de segurança para iOS, macOS e o navegador Safari, abordando mais de trinta falhas, incluindo quatro vulnerabilidades no WebKit, identificadas com o auxílio de ferramentas de inteligência artificial (IA) como Anthropic Claude e OpenAI Codex Security. As vulnerabilidades no WebKit incluem problemas de corrupção de memória e falhas de validação de entrada, que poderiam levar a travamentos inesperados do Safari ao processar conteúdo web malicioso. As falhas foram identificadas como CVE-2026-43707, CVE-2026-43716, CVE-2026-43745 e CVE-2026-43715, sendo que as três primeiras foram atribuídas ao OpenAI Codex Security e a última aos pesquisadores da Anthropic. Além disso, a Apple corrigiu três bugs que poderiam ser explorados por aplicativos maliciosos para vazar informações sensíveis do kernel. As atualizações estão disponíveis para as versões 26.5.2 do iOS, iPadOS, macOS Tahoe e Safari. A Apple destacou que está antecipando as atualizações de segurança em resposta ao aumento da capacidade da IA em acelerar o desenvolvimento de ferramentas de exploração, reduzindo o tempo entre a descoberta e a exploração das vulnerabilidades.

Recentemente, novas vulnerabilidades de cibersegurança foram identificadas, destacando a importância de manter sistemas atualizados e seguros. A falha DirtyClone, uma variante do problema Dirty Frag no kernel Linux, permite que usuários locais adquiram privilégios de root em sistemas Debian, Ubuntu e Fedora. Essa vulnerabilidade é especialmente crítica em ambientes de nuvem multi-inquilinos e clusters Kubernetes. Além disso, uma falha crítica no software PTC Windchill PDMlink e FlexPLM está sendo ativamente explorada para execução remota de código, permitindo que atacantes implantem shells web maliciosos. O OpenAI também lançou novos modelos de IA que podem auxiliar na cibersegurança, mas alertou sobre o potencial de uso indevido dessa tecnologia por agentes maliciosos. Outro ponto alarmante é a descoberta do malware Gaslight, que confunde ferramentas de análise de malware, dificultando a detecção. As operações de desmantelamento de infraestruturas criminosas, como a de Amadey e StealC, mostraram resultados significativos, mas a ameaça continua. É crucial que as empresas brasileiras estejam atentas a essas vulnerabilidades e adotem medidas proativas para proteger seus sistemas.

A OpenAI lançou três versões do modelo GPT-5.6, denominadas Sol, Terra e Luna, em uma prévia limitada para algumas empresas e o governo dos EUA. O modelo Sol é destacado como o mais poderoso e seguro, com um robusto sistema de proteção contra atividades de alto risco e solicitações cibernéticas sensíveis. A empresa enfatiza que o GPT-5.6 Sol é o modelo mais capaz até agora para pesquisa de vulnerabilidades e exploração, permitindo acesso a atividades legítimas como revisão de código e desenvolvimento de patches, enquanto bloqueia ações ofensivas. Apesar de suas capacidades avançadas, a OpenAI alerta que o modelo não é projetado para realizar ataques autônomos contra alvos endurecidos. Avaliações indicam que o GPT-5.6 Sol pode automatizar partes significativas da pesquisa de vulnerabilidades, especialmente quando combinado com ferramentas e sistemas de verificação. O lançamento ocorre em um contexto onde o governo dos EUA busca regulamentar modelos de IA com capacidades cibernéticas avançadas, refletindo a crescente importância da cibersegurança no cenário atual.

Uma nova campanha de ciberataque, identificada pela Kaspersky como StrikeShark, está utilizando um malware inédito chamado SharkLoader, que serve como carregador para implantar o Cobalt Strike Beacon em sistemas comprometidos. Os alvos incluem uma organização diplomática na Indonésia, entidades governamentais em Taiwan e empresas de desenvolvimento de software em diversos países, como Hong Kong, Colômbia e Sérvia. A campanha se destaca pela sua abrangência geográfica e diversidade de alvos, sem vínculos diretos a grupos de ameaças conhecidos. Os atacantes exploram vulnerabilidades conhecidas, como falhas no Exchange Server e no Openfire, para obter acesso inicial. Após a invasão, eles estabelecem persistência através de shells web e técnicas de hijacking de DLLs. Embora não haja evidências claras de exfiltração de dados, a natureza dos alvos sugere um possível interesse em espionagem cibernética. A utilização de ferramentas de código aberto e a exploração de aplicações públicas indicam que os atacantes podem estar visando sistemas vulneráveis de forma oportunista.

No último dia 20 de junho de 2026, um alerta falso disparado pelo sistema da Defesa Civil Nacional causou pânico em milhões de brasileiros, com mensagens que incluíam termos como ‘misantropia’. O incidente resultou na retirada temporária da plataforma do ar e na investigação pela Polícia Federal, revelando falhas críticas de segurança em um sistema destinado a emergências. Mirella Kurata, especialista em cibersegurança, destacou que a invasão não foi resultado de um ataque sofisticado, mas sim de uma série de falhas, como o uso de credenciais fracas e a falta de autenticação em dois fatores. Durante o evento, foram enviados 10 alertas, sendo a maioria via Cell Broadcast, tecnologia que permite o envio de mensagens mesmo em celulares no modo silencioso. O Brasil, que registrou mais de 314 bilhões de tentativas de ataques cibernéticos no primeiro semestre de 2025, enfrenta um cenário preocupante, com a população ainda despreparada em relação à segurança digital. Kurata enfatizou a importância de tratar a cibersegurança como uma estratégia e não como um custo, especialmente em um contexto onde a LGPD impõe obrigações rigorosas sobre o tratamento de dados pessoais.

O cenário de cibersegurança apresenta uma série de incidentes preocupantes, incluindo a colaboração da Cloudflare com navegadores para implementar um protocolo de controle de acesso privado (PACT), visando proteger a privacidade dos usuários ao evitar captchas e rastreamento invasivo. Além disso, foram descobertas seis vulnerabilidades críticas no curl, uma biblioteca amplamente utilizada, que afetam versões desde 2001, com a correção já disponível na versão 8.21.0.

Um bug severo no Hoppscotch permite que atacantes não autenticados comprometam completamente servidores, explorando falhas na validação de dados. A pesquisa também revelou que muitos aplicativos de smart TVs da LG e Samsung contêm proxyware, permitindo que tráfego de terceiros seja redirecionado pela conexão do usuário sem seu pleno conhecimento.

A engenharia social aplicada em service desks continua a ser uma das táticas mais eficazes para invasores que buscam acesso a sistemas corporativos. Os ataques de 2025 contra grandes varejistas britânicos, como Marks & Spencer e Harrods, destacaram a vulnerabilidade desse ponto de entrada. No caso da M&S, os atacantes se passaram por um funcionário e convenceram um agente de suporte terceirizado a redefinir credenciais, permitindo acesso a sistemas internos. Recentemente, a Carnival Corporation também relatou um incidente de cibersegurança em que um funcionário foi enganado por um atacante. O FBI alertou sobre o grupo Silent Ransom, que se disfarça de suporte técnico para persuadir funcionários a participar de sessões de acesso remoto. Esses ataques são facilitados pela vulnerabilidade humana, acesso a credenciais e a capacidade de contornar defesas técnicas. Para se proteger, as organizações devem implementar verificações rigorosas de identidade, treinar equipes de suporte para reconhecer táticas de engenharia social e monitorar atividades incomuns. A situação é alarmante, pois a maioria dos ataques bem-sucedidos ocorre sem disparar alertas de segurança, evidenciando a necessidade urgente de medidas de proteção.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre hackers que estão explorando vulnerabilidades em sistemas Ubiquiti UniFi OS e servidores Lantronix. As falhas identificadas incluem CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910, que permitem a execução remota de comandos e acesso não autorizado a sistemas. A Ubiquiti lançou atualizações de segurança em maio, mas a CISA recomenda que as agências federais apliquem essas correções em até três dias. Além disso, a vulnerabilidade CVE-2025-67038 nos servidores Lantronix permite a injeção de comandos de sistema, afetando o modelo EDS5000. A Lantronix também disponibilizou um patch para essa falha. Apesar da gravidade das vulnerabilidades, a CISA não divulgou detalhes sobre a exploração observada. Administradores de sistemas devem agir rapidamente para aplicar as atualizações e mitigações recomendadas, uma vez que a exploração dessas falhas pode levar a compromissos significativos de segurança.

A gestão de vulnerabilidades enfrenta um novo desafio com a aceleração da exploração de falhas, que agora ocorre em horas, em vez de meses. O ‘Zero Day Clock’ indica que o tempo médio entre a divulgação de uma vulnerabilidade e sua exploração caiu para cerca de 8 horas em 2026, uma redução drástica em relação a 53 dias há dois anos. A resposta tradicional de simplesmente aplicar patches não é mais suficiente, pois o tempo médio para corrigir vulnerabilidades conhecidas que já foram exploradas aumentou para 43 dias, enquanto a porcentagem de organizações que conseguem aplicar patches caiu de 38% para 26%. Além disso, a introdução de modelos de IA, como o Mythos, permite que vulnerabilidades sejam identificadas e exploradas de forma autônoma, aumentando a pressão sobre as equipes de segurança. A validação de técnicas de exploração (TTPs) contra controles existentes se torna essencial para determinar a real exposição a riscos, uma vez que apenas 10 a 15% dos ativos podem ser testados com segurança. A abordagem proposta envolve decompor as vulnerabilidades em suas cadeias de técnicas e testar cada uma delas contra as defesas em vigor, permitindo decisões fundamentadas sobre a segurança dos ativos sem a necessidade de exploração ao vivo.

A OpenAI anunciou o lançamento do modelo GPT-5.5-Cyber, uma versão aprimorada de sua inteligência artificial voltada para a segurança cibernética, que será disponibilizada a defensores confiáveis como parte da iniciativa Daybreak. Este modelo é descrito como o mais robusto para identificar e ajudar a corrigir vulnerabilidades de software, permitindo análises mais profundas em grandes bases de código. Além disso, a empresa atualizou o plugin Codex Security, que acelera a descoberta e correção de vulnerabilidades em sistemas existentes. O plugin permite que desenvolvedores realizem varreduras profundas, gerem relatórios detalhados e desenvolvam patches específicos para suas bases de código. Em parceria com a Trail of Bits, a OpenAI lançou a iniciativa Patch the Planet, que visa ajudar a proteger projetos de código aberto, envolvendo participantes como cURL e Python. As novas ferramentas surgem em um contexto onde a descoberta de vulnerabilidades está acelerando, mas o desafio agora é a correção rápida dessas falhas. Especialistas alertam que modelos de IA mais avançados também estão sendo utilizados por agentes maliciosos, aumentando a necessidade de uma resposta rápida e eficaz das organizações. A OpenAI destaca que a iniciativa já ajudou a identificar várias vulnerabilidades críticas em sistemas operacionais e navegadores, enfatizando a importância de integrar a segurança cibernética nas estratégias empresariais.

Pesquisadores de cibersegurança revelaram quatro vulnerabilidades na Dify, uma plataforma de workflow open-source com mais de 146.000 estrelas no GitHub. Codenomeadas DifyTap pela Zafran Security, as falhas permitem que atacantes leiam conversas de inteligência artificial (IA) de outros clientes sem necessidade de autenticação. Dentre as vulnerabilidades, duas são de severidade crítica e três têm impacto cross-tenant, expondo dados de um cliente a outro. As falhas possibilitam a leitura de chats privados, a manipulação de requisições para a API interna da Dify e a visualização de documentos de outros inquilinos. Além disso, a Dify utiliza uma versão vulnerável da biblioteca PDFium, que pode ser explorada por meio de arquivos PDF maliciosos. Após a divulgação responsável, a Dify lançou uma atualização para corrigir a maioria das vulnerabilidades, exceto uma que deve ser abordada em uma versão futura. Este caso destaca a importância da visibilidade de vulnerabilidades, especialmente em ambientes de multi-tenancy, onde a segurança dos dados é crítica.

Nesta semana, o cenário de cibersegurança apresenta ameaças recorrentes, incluindo a campanha FortiBleed, que comprometeu mais de 80 mil dispositivos Fortinet FortiGate em todo o mundo. A campanha, que começou em fevereiro de 2026, utiliza credenciais reutilizadas de incidentes anteriores e técnicas de força bruta, destacando a importância de práticas de segurança robustas, como a autenticação multifator (MFA). Além disso, a Salesforce desativou a integração do aplicativo Klue após um incidente de extorsão que resultou no acesso não autorizado a dados de clientes. A operação de ransomware Gentlemen também está desenvolvendo ferramentas para desativar produtos de detecção de endpoint, enquanto uma nova vulnerabilidade no Splunk permite a execução remota de código sem autenticação. Por fim, um exploit de hardware, chamado usbliter8, afeta chips Apple A12 e A13, sendo impossível de ser corrigido. Essas ameaças ressaltam a necessidade de vigilância contínua e atualização das práticas de segurança em ambientes corporativos.

Em um cenário onde a adoção de Inteligência Artificial (IA) avança rapidamente, um ponto cego nas estratégias de segurança é a vulnerabilidade das infraestruturas legadas que suportam esses sistemas. Um estudo recente revela que 71% das organizações estão testando agentes de IA, mas muitos não consideram as falhas em servidores não corrigidos, permissões mal configuradas e credenciais armazenadas como riscos diretos. Esses fatores podem ser explorados por atacantes para comprometer agentes de IA sem precisar atacá-los diretamente. O artigo detalha um exemplo prático onde um agente de IA foi comprometido através de uma cadeia de vulnerabilidades, começando por um servidor desatualizado e culminando em um acesso indevido a dados sensíveis. A solução proposta envolve uma abordagem de gestão de exposições que considera as dependências dos agentes de IA como ativos críticos, permitindo que as equipes de segurança identifiquem e fechem caminhos de ataque antes que sejam explorados. A urgência em proteger a infraestrutura legada é enfatizada, pois cada novo agente de IA implantado aumenta a superfície de ataque.

Uma nova família de malware, chamada AryStinger, está transformando roteadores domésticos esquecidos em uma rede de reconhecimento distribuído, ao invés de uma botnet DDoS. A empresa QiAnXin’s XLab identificou pelo menos 4.300 roteadores infectados, número que continua a crescer. O malware explora vulnerabilidades em roteadores antigos, especificamente aqueles com chips RTL819X da Realtek, que eram comuns entre 2012 e 2015. A infecção se espalhou a partir de um único IP e utiliza falhas conhecidas, como CVE-2013-3307 e CVE-2016-5681, para comprometer dispositivos, principalmente da D-Link. Além disso, uma variante do malware também ataca caixas NAS da QNAP. O AryStinger permite que os dispositivos infectados realizem varreduras na internet, coletando informações e ocultando a localização do verdadeiro atacante. A persistência do malware é garantida por um servidor SSH. A recomendação para os usuários é desativar a administração remota e substituir roteadores que não recebem mais atualizações de firmware.

O malware botnet AryStinger, recentemente descoberto, já comprometeu mais de 4.000 roteadores desatualizados, transformando-os em proxies para tráfego malicioso. Pesquisadores do XLab, da Qianxin, revelaram que o malware permite que dispositivos infectados atuem como ’executores’ controlados remotamente, realizando atividades como escaneamento, proxy, tunelamento e execução de comandos. Essa abordagem distribuída permite que atacantes dividam tarefas massivas em partes menores, aumentando a eficiência de operações de intrusão. Além de usar roteadores comprometidos para operações maliciosas, o AryStinger pode alterar configurações de DNS, sequestrando a navegação do usuário e monitorando silenciosamente o tráfego de rede. O malware explora vulnerabilidades antigas, como CVE-2013-3307 e CVE-2016-5681, visando principalmente modelos de roteadores D-Link. A pesquisa indica que a maioria das infecções está concentrada na Coreia do Sul, seguida pela China e Suécia. Os especialistas alertam que proprietários de roteadores obsoletos devem substituí-los por modelos novos e aplicar atualizações de firmware para mitigar riscos.

A F5 Networks anunciou atualizações de segurança para corrigir duas vulnerabilidades críticas no NGINX Open Source, que podem permitir a execução remota de código em sistemas afetados. As falhas, identificadas como CVE-2026-42530 e CVE-2026-42055, possuem uma pontuação CVSS de 9.2, indicando seu alto nível de gravidade. A primeira vulnerabilidade, CVE-2026-42530, é uma falha de uso após a liberação no módulo ngx_http_v3_module, que pode ser explorada por atacantes remotos não autenticados ao manipular sessões HTTP/3. A segunda, CVE-2026-42055, é um estouro de buffer baseado em heap nos módulos ngx_http_proxy_v2_module e ngx_http_grpc_module, que também pode ser ativada por atacantes remotos sob condições específicas. Ambas as falhas podem ser exploradas em sistemas onde a Randomização do Layout do Espaço de Endereços (ASLR) está desativada ou quando o atacante consegue contorná-la. A F5 recomenda desabilitar o HTTP/3 e ajustar as configurações de buffer para mitigar os riscos. Embora não haja relatos de exploração ativa, a história de vulnerabilidades em produtos da F5 sugere que as organizações devem agir rapidamente para aplicar os patches disponíveis.

Pesquisadores em cibersegurança observaram a evolução do grupo de ransomware INC, que se tornou um dos mais ativos em 2026, com pelo menos 830 vítimas desde agosto de 2023. A interrupção de operações como LockBit e BlackCat permitiu que o INC expandisse suas atividades, com 65% das vítimas localizadas nos Estados Unidos, abrangendo setores como serviços jurídicos, manufatura, construção, tecnologia e saúde. O ransomware do INC, desenvolvido em Rust, visa facilitar o desenvolvimento multiplataforma e resistir a esforços de engenharia reversa. Os ataques são caracterizados pelo uso de um dumper de credenciais atualizado, capaz de atingir novas implementações de backup da Veeam. A cadeia de ataque do INC inclui acesso inicial por meio de phishing, compra de credenciais e exploração de vulnerabilidades em aplicações públicas. O grupo utiliza uma variedade de ferramentas para movimentação lateral e exfiltração de dados, culminando na criptografia de informações. A análise indica que o INC se destaca por sua capacidade de escalar operações sem depender de técnicas avançadas, resultando em um fluxo constante de vítimas em diversos setores e geografias.

A empresa de cibersegurança F5 divulgou atualizações de segurança para corrigir várias vulnerabilidades no servidor web NGINX, incluindo duas falhas de gravidade crítica. As vulnerabilidades, identificadas como CVE-2026-42530 e CVE-2026-42055, podem ser exploradas por atacantes remotos não autenticados, permitindo a execução de código ou ataques de negação de serviço (DoS) em sistemas NGINX com configurações não padrão. A exploração bem-sucedida resulta em problemas como uso após liberação e estouro de buffer, levando à reinicialização do processo do NGINX. A F5 também lançou correções para outros produtos NGINX afetados, como NGINX Plus e NGINX Open Source. Para administradores que não podem aplicar as atualizações imediatamente, foram sugeridas medidas de mitigação, como desabilitar o HTTP/3 e ajustar configurações específicas. Embora a F5 não tenha indicado que essas vulnerabilidades estejam sendo ativamente exploradas, a empresa tem um histórico de ser alvo de grupos de cibercrime e ameaças de estado. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) já sinalizou várias vulnerabilidades da F5 como exploradas ativamente, com implicações significativas para a segurança das redes corporativas.

Um estudo recente da equipe da Intruder revelou que 60% das organizações possuem pelo menos um painel HTTP exposto, como consoles administrativos e páginas de login, que não deveriam ser acessíveis publicamente. Além disso, 49% das empresas têm serviços ou portas arriscadas expostas, e 42% têm bancos de dados acessíveis diretamente pela internet. As exposições mais comuns incluem bancos de dados MySQL e Postgres, além de documentação de APIs. A análise destaca que, com o tempo de exploração de vulnerabilidades reduzido a um dia, a prioridade não deve ser apenas a correção, mas também a razão pela qual esses serviços estão expostos. A pesquisa sugere que a redução da superfície de ataque deve receber mais atenção do que a gestão de vulnerabilidades, uma vez que muitos serviços listados nunca deveriam estar acessíveis pela internet. O relatório completo está disponível no Índice de Gestão da Superfície de Ataque de 2026.

Recentemente, a empresa de inteligência em ameaças Defused Cyber alertou sobre a exploração ativa de múltiplas vulnerabilidades no Fortinet FortiSandbox. Nos últimos dias, três falhas críticas foram identificadas: CVE-2026-39813, CVE-2026-39808 e CVE-2026-25089, todas com uma pontuação CVSS de 9.1, indicando seu alto risco. A CVE-2026-39813 é uma vulnerabilidade de travessia de caminho na API JRPC do FortiSandbox, permitindo que atacantes não autenticados contornem a autenticação através de requisições HTTP manipuladas. A CVE-2026-39808, por sua vez, é uma injeção de comando do sistema operacional, que também pode ser explorada por atacantes não autenticados para executar comandos não autorizados. A CVE-2026-25089, corrigida recentemente, afeta o FortiSandbox e suas interfaces na nuvem, permitindo a execução de comandos não autorizados. Apesar de a Defused Cyber ter notado que o exploit para a CVE-2026-25089 parece ter sido desenvolvido com um modelo de inteligência artificial, ele apresenta falhas e ainda não foi divulgado publicamente. As vulnerabilidades em dispositivos Fortinet têm atraído a atenção de atacantes nos últimos anos, com a empresa já tendo lançado patches para outras falhas críticas em abril de 2026.

Pesquisadores da Obsidian Security identificaram uma cadeia de três vulnerabilidades críticas no LiteLLM, um gateway de IA de código aberto amplamente utilizado. A primeira falha, CVE-2026-47101, permite que contas de baixo privilégio contornem restrições de autorização, possibilitando que usuários não administradores gerem chaves de API com acesso irrestrito. A segunda vulnerabilidade, CVE-2026-47102, permite a escalonamento de privilégios, onde um usuário pode se promover a administrador completo. Por fim, a CVE-2026-40217 permite a execução de código remoto através de um escape de sandbox, possibilitando que atacantes executem comandos no servidor. A exploração bem-sucedida dessas falhas pode expor chaves de acesso, credenciais e dados sensíveis que transitam pelo gateway. A Obsidian avaliou a gravidade da cadeia de vulnerabilidades com um CVSS de 9.9, classificando-a como crítica. O mantenedor do LiteLLM, BerriAI, lançou uma atualização (v1.83.14-stable) em 2 de maio para corrigir as falhas. É essencial que as organizações atualizem suas implementações e realizem auditorias de segurança para mitigar riscos associados a essas vulnerabilidades.

Nesta semana, o cenário de cibersegurança foi marcado por diversas vulnerabilidades críticas e incidentes de exploração ativa. O Google lançou atualizações de segurança para corrigir 74 falhas, incluindo uma vulnerabilidade de alta severidade no Chrome (CVE-2026-11645), que está sendo ativamente explorada. A falha permite acesso não autorizado à memória, com um CVSS de 8.8. Além disso, o grupo ShinyHunters explorou uma falha crítica no Oracle PeopleSoft (CVE-2026-35273), que permite que atacantes não autenticados assumam o controle do sistema, afetando principalmente instituições de ensino superior. Outra preocupação é a campanha ‘Atomic Arch’, que comprometeu mais de 1.500 pacotes do Arch Linux, introduzindo um malware que pode roubar credenciais. O FBI também desmantelou um serviço de phishing como serviço (PhaaS) que causou perdas de aproximadamente $1,9 bilhões. Por fim, uma vulnerabilidade crítica no VPN da Check Point (CVE-2026-50751) foi identificada, permitindo que atacantes contornem a autenticação. Essas ameaças destacam a necessidade urgente de atualizações e monitoramento contínuo em ambientes corporativos.

A Anthropic anunciou a desativação abrupta de seus modelos de inteligência artificial mais avançados, Claude Fable 5 e Mythos 5, após uma ordem do governo dos EUA que suspendeu o acesso a esses modelos para cidadãos estrangeiros, citando preocupações de segurança nacional. A empresa acredita que houve um ‘mal-entendido’ e está trabalhando para restaurar o acesso o mais rápido possível. A ordem foi recebida após a descoberta de uma técnica de ‘jailbreak’ que poderia explorar vulnerabilidades conhecidas, embora a Anthropic afirme que essas falhas são simples e que outros modelos disponíveis publicamente também podem identificá-las. O modelo Mythos 5, que possui capacidades de cibersegurança avançadas, permanece acessível a um grupo restrito de defensores cibernéticos. A empresa destacou que implementou medidas rigorosas para evitar o uso indevido de seus modelos, especialmente em tarefas relacionadas à cibersegurança. A situação levanta questões sobre a segurança de modelos de IA e a capacidade de contornar suas proteções, além de implicações para a conformidade com regulamentações como a LGPD no Brasil.

Pesquisadores de cibersegurança identificaram uma nova classe de ataque chamada ‘Agentjacking’, que pode enganar agentes de codificação de inteligência artificial (IA) a executar códigos maliciosos em máquinas de desenvolvedores. O ataque, descrito pela Tenet Security, utiliza um relatório de erro falso criado com a plataforma Sentry, que é amplamente utilizada para rastreamento de erros e monitoramento de desempenho. A vulnerabilidade reside em uma falha arquitetônica crítica que permite a injeção de entradas manipuladas em eventos de erro do Sentry, que são interpretados como passos legítimos de resolução por agentes de codificação como Claude Code e Cursor. Isso pode expor dados sensíveis, como variáveis de ambiente e credenciais do Git, sem depender de métodos tradicionais de ataque, como phishing. A Tenet Security identificou mais de 2.388 organizações expostas com DSNs válidos, testando o ataque em mais de 100 delas com uma taxa de sucesso de 85%. Embora a Sentry tenha reconhecido o problema, optou por não corrigi-lo, alegando que não é defensável tecnicamente. A pesquisa destaca que, à medida que as empresas adotam agentes de codificação de IA, esses agentes se tornam a nova superfície de ataque, colocando em risco a segurança dos desenvolvedores que confiam neles.

Pesquisas recentes revelaram que o OpenClaw, um agente de IA autônomo amplamente utilizado, possui falhas que permitem a execução de códigos maliciosos e a exfiltração de dados sensíveis através de entradas aparentemente inofensivas. A Imperva demonstrou como comandos ocultos podem ser inseridos em contatos compartilhados e vCards, que o agente executa sem que o usuário perceba. A Varonis, por sua vez, explorou a vulnerabilidade de phishing, onde um e-mail comum pode induzir o agente a enviar informações confidenciais, como chaves de acesso da AWS. Embora a Imperva tenha corrigido uma das falhas na versão 2026.4.23 do OpenClaw, a vulnerabilidade de phishing não pode ser resolvida apenas com um patch, exigindo uma reavaliação das permissões do agente. Ambas as pesquisas destacam a confiança excessiva do OpenClaw em suas entradas, o que torna o sistema vulnerável a ataques. As recomendações incluem a implementação de controles rigorosos sobre as ações do agente e a verificação de remetentes antes de enviar dados. O impacto potencial dessas falhas é significativo, especialmente em ambientes que lidam com informações sensíveis, levantando preocupações sobre conformidade com a LGPD.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) anunciou a nova Diretriz Operacional Vinculativa 26-04, que prioriza atualizações de segurança para agências do Poder Executivo Civil Federal (FCEB). O objetivo é reduzir a ameaça de ciberataques ao setor público, exigindo que as agências remedeiem vulnerabilidades de alto risco em prazos acelerados, que podem ser de até três dias. A CISA afirma que a nova diretriz substitui as anteriores BOD 19-02 e BOD 22-01, introduzidas em 2019 e 2021, respectivamente. A priorização das correções é baseada em quatro considerações principais: exposição pública do ativo, presença da vulnerabilidade no catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), possibilidade de exploração automatizada e controle total ou parcial do sistema pelos atacantes. As agências devem atualizar suas políticas de gerenciamento de vulnerabilidades e relatar o status de KEV em um prazo de 60 dias. A nova diretriz também se aplica a sistemas em nuvem e ambientes de terceiros, influenciando a indústria de cibersegurança como um todo.

A botnet JDY, anteriormente associada a atores de ameaça chineses como o Volt Typhoon, ampliou significativamente seu escopo de ataque e esforços de reconhecimento. Pesquisadores da Black Lotus Labs, da Lumen, monitoraram a atividade da JDY, que atualmente foca fortemente nos Estados Unidos, onde muitos de seus dispositivos comprometidos estão localizados, especialmente em redes militares e associadas. Desde janeiro de 2024, o número de bots ativos cresceu de aproximadamente 650 para mais de 1.500 dispositivos SOHO e IoT comprometidos. A JDY não é uma botnet de DDoS, mas sim uma rede distribuída de escaneamento e reconhecimento, ajudando seus operadores a localizar alvos vulneráveis a falhas recém-divulgadas. A análise indica que a botnet se concentra em identificar infraestruturas vulneráveis logo após a divulgação pública de falhas, com um foco particular em setores críticos, como o militar. A CISA já havia alertado sobre os riscos que os operadores do Volt Typhoon representam para roteadores SOHO desprotegidos, enfatizando a necessidade de eliminar vulnerabilidades nas interfaces de gerenciamento web desses dispositivos. A JDY utiliza serviços ocultos do Tor para controle e comando, realizando uma variedade de escaneamentos e coleta de dados sobre vulnerabilidades. À medida que a atividade da JDY aumenta, é crucial que as organizações mantenham seus dispositivos atualizados e monitorem atividades de escaneamento incomuns.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu três novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) após relatos de exploração ativa. As vulnerabilidades são: CVE-2026-20245, com um escore CVSS de 7.8, que afeta o Cisco Catalyst SD-WAN Manager, permitindo que um atacante local autenticado execute comandos arbitrários; CVE-2026-11645, com um escore CVSS de 8.8, que impacta o Google Chrome V8, possibilitando que um atacante remoto execute código arbitrário através de uma página HTML maliciosa; e CVE-2026-7473, com um escore CVSS de 6.9, que afeta o sistema operacional extensível da Arista (EOS), permitindo a exploração de tráfego de túnel não configurado. A Arista reconheceu que a vulnerabilidade CVE-2026-7473 está sendo explorada ativamente, mas não planeja lançar um patch, citando riscos de quebra de configurações existentes. Em vez disso, a empresa sugere a aplicação de listas de controle de acesso (ACLs) para mitigar o problema. As agências do governo federal dos EUA foram instruídas a implementar correções ou mitigação até 23 de junho de 2026.

Fortinet, Ivanti e SAP divulgaram atualizações de segurança para corrigir vulnerabilidades críticas que podem permitir execução de código arbitrário e divulgação de informações. A Fortinet abordou uma falha de injeção de comando em seu FortiSandbox, classificada como CVE-2026-25089, com um CVSS de 9.1. Essa vulnerabilidade permite que atacantes não autenticados executem comandos não autorizados através de requisições HTTP manipuladas. Os produtos afetados incluem versões específicas do FortiSandbox e FortiSandbox Cloud.

Na última terça-feira, a Microsoft lançou correções para três vulnerabilidades zero-day que permitiam a atacantes obter privilégios de SYSTEM em sistemas Windows totalmente atualizados. As falhas, conhecidas como ‘GreenPlasma’ (CVE-2026-45586) e ‘MiniPlasma’ (CVE-2020-17103), foram identificadas no Collaborative Translation Framework (CTFMON) e no Cloud Files Mini Filter Driver. Ambas permitem que atacantes locais adquiram um shell com permissões elevadas. A terceira vulnerabilidade, chamada ‘YellowKey’ (CVE-2026-45585), atua como uma porta dos fundos no Windows Recovery Environment (WinRE), permitindo que atacantes com acesso físico contornem a proteção do BitLocker em sistemas Windows 11 e Windows Server 2022/2025 não corrigidos. A Microsoft também divulgou medidas de mitigação para a vulnerabilidade YellowKey, enquanto criticou a divulgação pública do conceito de prova, que violou as melhores práticas de coordenação de vulnerabilidades. Este incidente destaca a importância de uma resposta rápida a vulnerabilidades críticas, especialmente em um cenário onde as falhas são exploradas ativamente por atacantes. As correções foram disponibilizadas como parte das atualizações de Patch Tuesday de junho de 2026.