Notícias sobre Segurança

A N-able, fabricante da plataforma N-central (ferramenta de monitoramento e gerenciamento remoto usada por provedores de serviços gerenciados), desativou sua infraestrutura hospedada em nuvem e recomendou que clientes desligassem temporariamente seus servidores após a divulgação pública de mais de 30 falhas de segurança com código de exploração funcional. O repositório Able2Shell, do pesquisador Sean Bales, documentou vulnerabilidades que incluem bypass de autenticação, exposição de credenciais, injeção XXE, execução remota de código e escalonamento de privilégios até nível administrativo.

O impacto é grave porque o N-central é usado por Provedores de Serviços Gerenciados (MSPs) para administrar remotamente computadores, servidores e redes de múltiplos clientes. Uma invasão bem-sucedida à plataforma pode se transformar em porta de entrada para infraestruturas inteiras de diferentes empresas — um cenário conhecido como comprometimento em cadeia. A decisão de interrupção afetou servidores nas Américas, Europa e Ásia-Pacífico, causando indisponibilidade temporária de monitoramento e gerenciamento remoto para os MSPs clientes.

Oito vulnerabilidades de segurança no X.Org Server, o servidor gráfico usado há décadas no Linux e Unix, foram reveladas publicamente hoje com ajuda de ferramentas de IA e aprendizado de máquina. O mesmo conjunto de falhas também afeta o XWayland, componente que permite executar aplicações legadas do X.Org em ambientes Wayland (o sucessor moderno do X.Org).

Uma vulnerabilidade na infraestrutura da Web3Auth, serviço que permite acessar carteiras de criptomoedas por meio de login do Google ou Apple, expôs chaves privadas de milhares de usuários da carteira Keplr entre 6 e 7 de novembro. A falha permitiu que terceiros movimentassem criptomoedas sem autorização, afetando pelo menos 44 mil carteiras com aproximadamente US$ 6 milhões em ativos.

Em resposta inusitada, a Web3Auth iniciou uma operação de resgate preventivo, transferindo fundos vulneráveis para endereços oficiais de recuperação antes que fossem roubados — usando a mesma técnica que os invasores exploravam. Cerca de US$ 5,6 milhões foram protegidos dessa forma, mas a situação gerou confusão entre usuários que viram seus saldos reduzidos sem saber se havia ocorrido roubo ou proteção. As empresas ainda não divulgaram um relatório técnico completo sobre a causa da vulnerabilidade, deixando em aberto quantos fundos foram efetivamente roubados e qual será o processo de devolução aos proprietários.

Os namespaces de usuário são um mecanismo fundamental do kernel Linux para isolar processos em contêineres, permitindo que rodem como root sem ganhar privilégios reais no sistema. No entanto, pesquisadores identificaram situações em que essa isolamento falha, possibilitando que um processo dentro de um namespace eleve seus privilégios para fora dele — exatamente o oposto do que deveria acontecer.

Josef Bacik, desenvolvedor do kernel, apresentou uma série de patches para corrigir esses casos de elevação de privilégios. A descoberta reforça um padrão recorrente na segurança de namespaces de usuário: a dificuldade em mantê-los efetivamente isolados da forma como foi concebido.

Uma vulnerabilidade crítica foi descoberta no OpenSSH que afeta sistemas Linux que usam a biblioteca musl sem PAM (Authentication Pluggable Module), como o Alpine Linux. O desenvolvedor Damien Miller recomendou desativar imediatamente a autenticação por senha ou desabilitar SSH em sistemas afetados. A falha não impacta sistemas não-Linux, distribuições que usam glibc ou aquelas com PAM ativado para autenticação por senha.

O lançamento da versão 10.6p2 do OpenSSH inclui uma mitigação para o problema, que a equipe considera estar além do próprio OpenSSH. O projeto Alpine Linux anunciou que fará o backport da correção para todas as versões desde o Alpine 3.16 (lançado em maio de 2022).

Os switches D-Link DGS-3130, equipamentos usados em redes de pequenas e médias empresas, foram afetados por múltiplas vulnerabilidades zero-day (falhas ainda sem correção disponível) descobertas pelo pesquisador Giresh Kumar Enugu e confirmadas pela fabricante em 6 de novembro de 2026. Os problemas estão no DDP (protocolo proprietário D-Link para descoberta e gerenciamento de dispositivos) e em componentes de segurança do firmware, permitindo que invasores com acesso à rede obtenham credenciais, façam alterações administrativas não autorizadas, modifiquem configurações e causem interrupções de serviço.

Por enquanto, não há atualização corretiva disponível e os identificadores CVE ainda não foram publicados. A D-Link confirmou vulnerabilidades no DGS-3130-30TS (revisão B1) com firmware nas versões 2.00.B014, 2.00.B034, 2.04.000 e 2.04.001, mas ainda investiga o impacto em outros modelos da série. Além do DDP, a empresa identificou problemas adicionais em SSH, proteção de credenciais, criptografia do firmware e chaves criptográficas, indicando que desabilitar apenas o protocolo DDP não resolve completamente as vulnerabilidades. Administradores devem identificar esses equipamentos em suas redes e aguardar orientações de mitigação da fabricante.

A OpenAI anunciou que seu modelo GPT-6 Cyber, em conjunto com um sistema automatizado, identificou 1.724 falhas de segurança no kernel Linux durante testes e conseguiu explorar 948 delas para obter acesso de administrador em sistemas Linux. Segundo a OpenAI, pelo menos 10 das técnicas de exploração descobertas eram previamente desconhecidas. O custo dos testes em créditos de API foi de aproximadamente 1,2 milhão de dólares.

Antes de reportar as vulnerabilidades aos mantenedores do Linux, pesquisadores humanos revisaram todos os achados. O mesmo modelo também descobriu 81 falhas de alta severidade, até então desconhecidas, no navegador Firefox da Mozilla.

Uma vulnerabilidade descoberta no OpenSSH, apelidada de "*sshole", afeta sistemas Linux que usam a biblioteca musl (como Alpine, OpenWrt, Buildroot e Yocto) e pode permitir que atacantes façam login em contas configuradas para bloquear acesso por senha. A falha existe desde 2016 e foi causada por um efeito colateral de um patch de segurança anterior: ao tentar prevenir enumeração de usuários, o OpenSSH passou a fazer hash de senhas mesmo para contas sem hash válido (marcadas com asterisco no arquivo /etc/shadow). O problema é que a função crypt() da biblioteca musl também retorna asterisco quando falha — incluindo quando a senha enviada excede 256 bytes — fazendo o sistema aceitar a autenticação ao comparar dois asteriscos.

A vulnerabilidade afeta apenas contas com senha desabilitada e não compromete contas com hash válido. Segundo o pesquisador de segurança Ozgun Kultekin, que divulgou os detalhes, administradores podem se proteger imediatamente desabilitando autenticação por senha no OpenSSH (configuração PasswordAuthentication no) ou verificar logs de SSH para detectar acessos suspeitos em contas que não deveriam aceitar senhas.

O APT, gerenciador de pacotes do Debian e Ubuntu, recebeu a versão 3.3.6 com uma correção de segurança importante na verificação de downloads. A atualização também traz melhorias de performance e correção de bugs no sistema.

A quantidade de vulnerabilidades reportadas no kernel Linux cresceu tanto que empresas como a Amazon enfrentam desafios reais para manter seus sistemas seguros. Na Conferência Linux Plumbers 2026, engenheiros da Amazon apresentaram como tentam acompanhar o ritmo acelerado de divulgações de CVEs (vulnerabilidades catalogadas) enquanto mantêm a infraestrutura da AWS funcionando e protegida.

O conselho tradicional da comunidade do kernel é manter versões atualizadas — e essa estratégia funciona, ainda que parcialmente. O desafio agora está em como os usuários do kernel (especialmente grandes operadores de infraestrutura) conseguem acompanhar esse volume crescente de problemas de segurança.

Uma falha de segurança no núcleo do WordPress (CVE-2026-119977) está sendo explorada em ataques reais, conforme confirmado pela agência de segurança dos EUA (CISA). A vulnerabilidade permite que invasores executem código arbitrário nos servidores sem precisar de login, aproveitando uma brecha durante o processo de atualização do sistema — quando arquivos temporários ficam acessíveis pela internet por um curto período. A Wordfence registrou mais de 18.500 tentativas de exploração nas primeiras 21 horas após o anúncio público.

O problema, classificado como TOCTOU (uma condição de corrida que explora o intervalo entre a verificação e o uso de um recurso), tem gravidade alta (8,1 no CVSS 3.1). Embora a exploração exija timing preciso, a falta de autenticação prévia amplia o risco — qualquer site WordPress exposto na internet pode ser alvo. Administradores precisam urgentemente verificar suas versões instaladas, aplicar a atualização de segurança correspondente e revisar os logs do servidor em busca de tentativas de ataque. Não basta atualizar plugins ou senhas: o problema está no WordPress Core.

Pesquisadores descobriram uma campanha maliciosa na Hugging Face, plataforma onde desenvolvedores compartilham modelos de inteligência artificial. Os atacantes publicaram modelos falsos que, ao serem carregados com a opção trust_remote_code=True (recurso legítimo da biblioteca Transformers que permite executar código Python customizado), instalam mineradores de criptomoedas e backdoors em servidores Linux. A investigação identificou 31 repositórios maliciosos distribuídos por sete contas, acumulando mais de 32 mil downloads. Os ataques visam ambientes de inferência auto-hospedados como Xinference e GPUStack, usados em desenvolvimento, pesquisa e infraestrutura corporativa.

O perigo não está nos pesos do modelo de IA, mas no código Python que o acompanha. Os atacantes aproveitam a confiança dos usuários ao baixarem modelos sem verificar a procedência, disfarçando repositórios maliciosos como checkpoints legítimos da família Qwen2. Depois de executado, o malware camufla o minerador com nomes que imitam processos legítimos do sistema e implementa mecanismos para reiniciar caso seja encerrado. A remoção de alguns repositórios não parou a operação: novas contas e publicações surgiram em dias, mostrando que bloquear arquivos individuais é insuficiente para conter a ameaça.