Notícias sobre Segurança

PHP2Shell é o nome dado a uma família de vulnerabilidades críticas que afetam o núcleo do PHP, a linguagem de programação que alimenta aproximadamente 75% dos sites na internet. As duas falhas — CVE-2026-109618 (corrupção de memória por falta de espaço) e CVE-2026-109619 (uso de memória liberada) — permitem que atacantes executem código malicioso remotamente sem autenticação, extraiam dados sensíveis como senhas e tokens de autenticação, e contornem proteções de aplicações populares como WordPress, Drupal e Joomla. O problema afeta versões do PHP da 5.4 até as 8.x não atualizadas.

Os ataques exploram falhas no motor de PHP (também chamado Zend Engine), que é responsável por traduzir e executar o código PHP no servidor. Na primeira vulnerabilidade, atacantes sobrecarregam a memória do servidor até o limite configurado, causando uma interrupção abrupta que deixa estruturas internas em estado inconsistente. Na segunda, exploram punteiros que continuam apontando para espaço de memória já liberado em requisições subsequentes, permitindo vazar dados e ganhar controle de execução. Por afetarem o mecanismo fundamental da linguagem e não apenas aplicações individuais, essas falhas representam um risco generalizado para toda a web.

Um grupo de segurança chamado Hacktron documentou como conseguiu comprometer o GNU Savannah, a plataforma que hospeda projetos de software livre como o Bash. Através de uma falha no sistema, conseguiram obter acesso de administrador, se passar pelo mantenedor do Bash e ganhar permissão para enviar código ao repositório oficial.

Os pesquisadores usaram um endereço de e-mail malicioso para executar código no servidor, escalaram privilégios até obter acesso root e até mesmo conseguiram acessar um servidor de backup da Fundação Software Livre (FSF), que mantém o Savannah. A vulnerabilidade foi reportada à FSF em maio de 2026.

Uma extensão fraudulenta do Claude Code foi distribuída pelo marketplace do editor Cursor em 29 de outubro de 2026, em um ataque à cadeia de suprimentos que visava comprometer computadores de desenvolvedores. A versão adulterada (Anthropic.claude-code 2.1.313) permaneceu disponível por aproximadamente 11 horas e poderia ter alcançado até 5 mil usuários. O código malicioso estava incorporado à extensão e era executado automaticamente ao carregá-la, sem exigir que o desenvolvedor interagisse manualmente ou aceitasse uma conexão remota.

O ataque tentava coletar informações do sistema (nome do computador, usuário, variáveis de ambiente, IP público), modificar configurações SSH e estabelecer um acesso remoto persistente através de um túnel SSH reverso. Embora erros de implementação tenham impedido o funcionamento completo do backdoor na maioria dos sistemas Windows e macOS, parte das ações maliciosas ainda poderia ter sido executada, incluindo a instalação de mecanismos de persistência. O incidente expõe um risco importante para quem usa ferramentas de programação com inteligência artificial: os marketplaces de extensões podem se tornar portas de entrada para ataques contra ambientes de desenvolvimento.

Uma vulnerabilidade de escalação de privilégios locais no kernel Linux teve seu código de exploração divulgado publicamente antes mesmo de receber um identificador CVE ou uma correção oficial dos desenvolvedores. A publicação antecipada do exploit coloca em risco usuários que ainda não aplicaram patches de segurança.

Uma vulnerabilidade crítica (CVE-2026-97631, severidade CVSS 9.5) foi descoberta no TianoCore EDK II, implementação de referência UEFI de código aberto desenvolvida pela Intel. O flaw afeta milhões de máquinas globalmente — servidores de data centers, desktops e laptops de fabricantes como AMI, Insyde, Phoenix e a plataforma Project Mu da Microsoft. O problema reside no controlador PXE-Base Code (UefiPxeBcDxe), responsável do arranque por rede. Um desbordamento de buffer de 16 anos de idade permite que um atacante, conhecendo apenas o endereço IP do alvo, envie um pacote ICMP malicioso durante a janela de inicialização PXE para causar negação de serviço ou injetar código malicioso no nível mais privilegiado do processador (Ring 0), antes mesmo do sistema operacional iniciar. Isso permite contornar o Secure Boot e outras defesas, comprometendo a cadeia de confiança do firmware.

O patch técnico já foi integrado ao código-fonte do EDK II após vazamento acidental em GitHub, forçando divulgação prematura em 22 de outubro de 2026 (estava prevista para janeiro de 2027). Enquanto fornecedores e usuários não aplicarem atualizações, especialistas recomendam isolar o tráfico PXE em redes desconectadas, bloquear mensagens ICMP para máquinas em inicialização e desativar PXE onde não seja essencial.

Microsoft abriu a pré-visualização pública do Defender for Endpoint para desktops Linux, trazendo proteção contra malware e monitoramento de ameaças em nível empresarial. A ferramenta, voltada para organizações, oferece recursos de segurança que até então eram restritos a ambientes Windows e macOS.

Uma falha severa de execução remota de código foi descoberta no PHP, linguagem que executa mais de três quartos dos sites e sistemas de gerenciamento de conteúdo da internet, incluindo WordPress. As correções foram oficializadas pela equipe do PHP.net, e ferramentas de inteligência artificial ajudaram a identificar o problema, enquanto provedores de nuvem conseguiram bloquear ataques em tempo real.

O verdadeiro risco não está na vulnerabilidade em si — correções saem rapidamente — mas no intervalo entre o anúncio e a aplicação da atualização pelos administradores. Servidores desatualizados ou mal mantidos costumam permanecer expostos por semanas ou meses porque gestores temem quebras de compatibilidade com plugins e temas. Infraestruturas modernas se protegem através de firewalls de aplicação que bloqueiam ataques na borda, patches virtuais transparentes e isolamento de processos, reduzindo drasticamente a janela de risco sem exigir intervenção manual dos usuários.

A empresa de segurança Wiz identificou uma campanha maliciosa chamada Gheist que aproveita tokens de acesso comprometidos no GitHub Actions para extrair credenciais armazenadas em repositórios privados. Os atacantes abusam das permissões dos tokens para criar fluxos de trabalho maliciosos, contornam o mascaramento automático de dados sensíveis convertendo segredos para base32 (uma codificação que o mecanismo de proteção não reconhece) e apagam rapidamente os registros de execução. O ataque pode se estender para infraestrutura corporativa, serviços de nuvem e máquinas de integração contínua, dependendo da configuração do ambiente.

O ponto crítico é que as proteções do GitHub Actions funcionam de forma diferente em repositórios públicos e privados — os controles de segurança que interrompem execuções suspeitas em repositórios públicos não garantem proteção equivalente em ambientes privados ou instalações do GitHub Enterprise Server. Para equipes de desenvolvimento, a recomendação é evitar imprimir variáveis sensíveis em logs, limitar dados disponibilizados a cada tarefa e monitorar comportamentos anormais nos fluxos de trabalho, já que qualquer segredo que apareça em registros de execução deve ser considerado potencialmente comprometido.

Pesquisadores descobriram uma vulnerabilidade crítica (CVE-2026-99999), apelidada PwnEscape, na pilha de rede IPv4 do kernel Linux. A falha permite que uma máquina virtual escape do seu isolamento e acesse a memória do sistema hospedeiro, chegando à execução de código com privilégios de administrador. O problema foi identificado durante um desafio de segurança promovido pela Vercel, usando ferramentas de pesquisa experimental e inteligência artificial, embora o defeito resida nativamente no processamento de rede do kernel Linux, afetando potencialmente outros hipervisores e plataformas de isolamento.

A vulnerabilidade explora um problema de "Tempo de Comprovação a Tempo de Uso" (TOCTOU) relacionado ao cálculo adiado de somas de verificação em pacotes de rede. Um pacote malicioso consegue superar validações iniciais através de metadados manipulados; durante a fragmentação de saída, a soma de verificação pendente sobrescreve dados já validados, fazendo o kernel interpretar incorretamente o tamanho da cabeceira e copiando bytes de memória confidencial do hospedeiro. As correções já estão disponíveis nas atualizações recentes do kernel Linux e recomenda-se que os administradores as apliquem.

Ferramentas modernas conseguem descobrir falhas de segurança muito mais rápido do que equipes conseguem avaliar e corrigir. O desafio central agora é garantir que mantenedores, distribuidores e operadores recebam informações claras e tempo suficiente para defender seus usuários.

Com pesquisas assistidas por inteligência artificial descobrindo vulnerabilidades em escala que sobrecarrega defensores e beneficia atacantes, encontrar falhas é apenas o primeiro passo. A Red Hat descreveu esse cenário crescente começando com o Mythos Preview em abril de 2026. Apesar da automação, especialistas dedicados ainda precisam validar essas descobertas e avaliar cada uma antes de qualquer ação.

Saiu na quinta-feira o LibreSSL 4.4, a nova versão dessa implementação alternativa de criptografia baseada no código do OpenSSL e mantida pelos desenvolvedores do OpenBSD há mais de dez anos. A atualização melhora o desempenho do algoritmo SHA3 e corrige problemas de segurança acumulados desde o lançamento anterior.

Uma falha de segurança identificada como Node2Shell (CVE-2026-111497) afeta aplicações desenvolvidas em Node.js, permitindo que invasores executem código arbitrário em servidores. O problema está no decodificador Brotli — um algoritmo de compressão do Google amplamente usado na web — e ocorre quando ele processa dados malformados. Durante o processamento, o decodificador pode continuar operando em estado interno inválido, causando gravação de dados fora dos limites da memória reservada e, em casos exploráveis, execução de código controlado pelo atacante. Pesquisadores da Imperva confirmaram que a vulnerabilidade é real: conseguiram executar código malicioso em uma instalação oficial do Node.js sem modificações, usando dados Brotli manipulados.

O Node.js lançou correções em 21 de outubro de 2026 para as versões 22, 24 e 26 da plataforma. Desenvolvedores e administradores devem atualizar imediatamente ambientes de produção, especialmente servidores que usam o framework Express ou processam dados comprimidos recebidos de fontes não confiáveis. Até a data da pesquisa, não havia relatos de exploração ativa em ataques reais, mas a existência de uma prova de conceito funcional torna o risco imediato.