Notícias sobre Segurança

Uma vulnerabilidade crítica (CVE-2026-113380) foi descoberta na biblioteca RingRTC, componente de chamadas do Signal, que poderia impedir o encerramento adequado de videochamadas e áudio. A falha afetava todas as versões anteriores à 2.72.0 e permitia que um participante saturasse a fila de eventos responsável por gerenciar chamadas, impedindo que a requisição de desligamento fosse processada — resultado: o outro participante pensaria que a chamada tinha acabado, mas microfone e câmera continuariam ativos. O ataque tem baixa complexidade e recebeu pontuação máxima (9.3) na escala de severidade CVSS.

A correção foi lançada no mês passado, mas o aviso público só saiu recentemente. Signal atualizou seu mecanismo de gerenciamento de eventos para detectar requisições de término independentemente da fila e adicionou um tempo limite para evitar travamentos. Usuários devem atualizar o Signal em todas as plataformas (Android, iOS e desktop) para a versão mais recente. Não há relatos confirmados de exploração em larga escala até o momento.

O Tails, distribuição Linux focada em privacidade, recebeu uma atualização de emergência na versão 7.15.1 para corrigir um problema crítico de segurança envolvendo certificados de autoridade comprometidos. A falha permitia que atacantes usassem nós de saída maliciosos da rede Tor para se passar por sites HTTPS legítimos.

Oito certificados intermediários da eMudhra, autoridade certificadora reconhecida globalmente, foram comprometidos porque suas chaves privadas de criptografia de curva elíptica P-384 tinham valores absurdamente fracos: 4, 56, 66, 115, 155, 156, 230 e 237. Em vez de números aleatórios de centenas de dígitos, a empresa usou valores que cabem em um byte, tornando trivial recuperar as chaves. O pesquisador Wayne identificou o problema em outubro de 2026, revelando que um script interno de geração de certificados tinha uma falha — criava um segundo conjunto de chaves fraco e similar ao original, que acabou sendo usado por engano. Os certificados afetados foram criados em abril de 2025 e permaneceram desconhecidos por mais de um ano.

O risco real é a possibilidade de ataques intermediários (man-in-the-middle): invasores com as chaves privadas poderiam forjar certificados válidos para domínios que não controlam. Mozilla, Google e Apple responderam rapidamente com bloqueios emergenciais. O episódio reforça um ponto crítico — algoritmos criptográficos fortes são inúteis se os procedimentos de geração, identificação e validação das chaves tiverem falhas de controle operacional. Para usuários Linux e administradores de servidores, a lição é manter navegadores, bibliotecas TLS e pacotes de certificados sempre atualizados.

A iniciativa Zero Day Initiative da Trend Micro divulgou acidentalmente várias vulnerabilidades não corrigidas do kernel Linux na lista pública de discussão (LKML) em vez de usar o canal privado de segurança. Entre elas estão duas falhas com severidade CVSS 9.0 que permitiriam execução remota de código através do SMB Direct e KSMBD. Greg Kroah-Hartman, vice-chefe de manutenção do kernel, respondeu aos relatórios questionando por que tinham sido enviados para a lista pública.

As vulnerabilidades divulgadas incluem: ZDI-CAN-33549 (underflow de inteiro no SMB Direct), ZDI-CAN-33774 (condição de corrida no KSMBD), ZDI-CAN-33367 (elevação de privilégio local no código de rede), ZDI-CAN-34068 (escrita fora dos limites no driver gráfico VMWGFX), ZDI-CAN-34076 (divulgação de informação no código NVMET) e ZDI-CAN-32005 (estouro de buffer em query TCP). Patches para algumas já estão em desenvolvimento, enquanto outras ainda serão preparadas pelos desenvolvedores.

Versões do PHP anteriores à 8.5.12 e 8.3.36 contêm duas vulnerabilidades críticas (CVE-2026-109618 e CVE-2026-109619) que permitem execução remota de código. Qualquer servidor que execute aplicações PHP expostas na internet com versões antigas está em risco.

A recomendação é atualizar imediatamente para PHP 8.5.12 ou superior (ou PHP 8.3.36 para quem usa a versão legada 8.3). Se você mantém sites ou serviços em PHP, não adie essa atualização.

Em 20 de outubro de 2026, foi descoberto que vários certificados da autoridade certificadora intermediária eMudhra foram comprometidos. Esses certificados foram removidos e invalidados a partir da versão 3.131.1-1 do pacote ca-certificates-mozilla, que centraliza os certificados raiz de segurança usados por navegadores e aplicações em sistemas Linux.

Sem a atualização, computadores ficam vulneráveis a ataques de interceptação (man-in-the-middle), nos quais um invasor consegue se passar por um site legítimo. A recomendação é fazer o upgrade imediatamente — em distribuições que usam pacotes baseados em Arch ou derivadas, basta rodar a atualização de sistema; em Debian/Ubuntu, certifique-se de ter ca-certificates ≥ 3.131.1-1.

A equipe de segurança da FreeDesktop.org e da Fundação X.Org divulgou um boletim de segurança revelando mais de dez vulnerabilidades graves em bibliotecas centrais do X.Org, o sistema de janelas que há quase quatro décadas sustenta a interface gráfica do Unix e Linux. As falhas afetam pacotes como libX11, libXcursor, libXrender, libXrandr e libXfixes, com raiz em problemas crônicos de gerenciamento de memória em C: estouros de inteiros permitem alocação de blocos de memória menores do necessário, resultando em corrupção de memória e buffer overflows que podem levar à execução de código malicioso ou travamento da aplicação. O risco é maior em ambientes corporativos que usam redirecionamento de janelas via SSH ou em sistemas onde ferramentas gráficas rodam com privilégios de administrador.

As vulnerabilidades expõem a fragilidade estrutural de um projeto herdado dos anos 1980, quando segurança e isolamento de processos não eram prioridade. O X11 sobrevive atualmente com poucos desenvolvedores ativos em tempo integral, enquanto o Wayland — protocolo alternativo que oferece isolamento de segurança por padrão — recebe investimento massivo da indústria. Fedora, Linux Mint e outras grandes distribuições já aceleram a migração para Wayland como padrão. Debian, Ubuntu, Fedora, Arch e openSUSE já disponibilizaram patches emergenciais; usuários de X11 devem atualizar os pacotes gráficos com urgência.

A ferramenta de linha de comando da OVHcloud (plataforma de computação em nuvem) sofreu um ataque à cadeia de suprimentos em 19 de outubro de 2026. Invasores comprometeram a conta de um colaborador e substituíram binários legítimos por versões maliciosas nas releases v0.11.0 até v0.15.0, num intervalo de exposição de aproximadamente 94 minutos. O malware coletava credenciais, chaves de API e outros segredos armazenados no ambiente comprometido. O incidente reforça um risco crítico para administradores Linux e equipes DevOps: ferramentas baixadas de repositórios oficiais podem estar contaminadas se o processo de distribuição for comprometido.

A vulnerabilidade foi possível porque a OVHcloud não tinha ativado o recurso de imutabilidade de releases do GitHub — uma proteção que impede que arquivos publicados sejam alterados silenciosamente após a distribuição. Pesquisadores apontaram possíveis vínculos com o GlassWorm, grupo relacionado a campanhas que exploram ecossistemas de desenvolvimento, embora a atribuição ainda não esteja confirmada. A versão v0.16.0 foi lançada limpa, mas máquinas que executaram binários suspeitos precisam investigar exposição de credenciais.

Um patch pode estar pronto em dias, mas levar meses para chegar de verdade aos servidores — e esse é um dos maiores gargalos na gestão de vulnerabilidades em empresas. O tempo entre o lançamento de uma correção e sua efetiva execução em produção em todas as aplicações expostas é métrica pouco observada, mas crítica: enquanto isso leva 40 a 90 dias em muitas organizações para reconstruir, validar e distribuir, a inteligência artificial está reduzindo o tempo até a exploração para horas.

O dilema é real nas conversas sobre gestão de vulnerabilidades — a maioria das organizações conhece o patch, mas a infraestrutura, processos de validação e complexidade de ambientes distribuídos criam um hiato perigoso entre saber da falha e realmente estar protegido dela.

Microsoft reconheceu que as atualizações do Windows Server de outubro de 2026 podem desestabilizar o Exchange Server, seu software de gerenciamento de email corporativo. O problema afeta servidores rodando Windows Server 2016, 2019, 2022 e 2025, bem como Exchange Server 2016, 2019 e a nova edição por assinatura. Quando ativado, o bug pode causar travamentos de conexão na interface web do Exchange (OWA) e filas de email enormes. A causa está em um limite padrão insuficiente de memória no Endpoint Mapper durante chamadas de busca de endpoints — sob carga pesada, o limite de 512 chamadas simultâneas não é o bastante.

Microsoft desaconselha desinstalar a atualização problemática e afirma que nem todos os servidores serão igualmente impactados; a gravidade varia conforme a carga do servidor. A empresa oferece apenas um workaround temporário via edição no registro do Windows enquanto investiga a falha, sem comprometimento de lançar uma correção de emergência. Administradores frustratos reportam que reiniciar o servidor é a única solução rápida, embora a modificação de registro tenha ajudado alguns. Vários reclamaram de terem perdido o fim de semana debugando servidores por causa de um problema que Microsoft deveria ter testado antes de lançar a atualização.

Pesquisadores identificaram o PEERSTITCH, um malware sofisticado que ataca firewalls FortiGate (equipamentos Fortinet para segurança de rede) injetando código diretamente na memória de processos legítimos, sem deixar rastros em disco. O implante interfere com serviços de VPN e usa a interface ptrace do Linux para controlar daemons como o iked, responsável pela negociação de conexões IPsec, criando canais de comunicação ocultos entre processos comprometidos.

O ataque começou pelo FortiManager, plataforma de administração central de firewalls. Os invasores exploraram a CVE-2024-47575 (FortiJump), uma vulnerabilidade que permite execução remota de comandos sem autenticação na porta TCP 541, para roubar configurações, credenciais, certificados e chaves privadas de mais de 500 firewalls gerenciados. Embora o roubo de informações tenha atingido centenas de equipamentos, a investigação confirmou a infecção ativa pelo PEERSTITCH em uma campanha que combinou credenciais roubadas, manipulação de processos Linux e técnicas sofisticadas de evasão forense.

Uma falha de segurança identificada como CVE-2026-74580 e denominada Vghost foi descoberta no subsistema vhost do kernel Linux — componente que acelera operações de rede e entrada/saída em ambientes virtualizados. A vulnerabilidade, presente no código há quase uma década, permite que um usuário local com acesso a dispositivos vhost obtenha privilégios de administrador e, em configurações específicas, escape de uma máquina virtual para comprometer o sistema hospedeiro. A falha foi divulgada publicamente em 14 de outubro de 2026 e afeta servidores que usam KVM e QEMU, plataformas de virtualização comuns em data centers e provedores de nuvem. A equipe de segurança da Tencent utilizou um sistema de inteligência artificial chamado Corvus AI para identificar, reproduzir e validar a correção do problema.

O defeito reside no tratamento de cache de metadados das filas virtuais: o kernel mantém referências em memória mesmo após reconfiguração, permitindo acessos indevidos e corrupção de dados. No cenário mais grave, um atacante dentro de uma máquina virtual pode explorar a combinação de recursos vIOMMU e VIRTIO_F_RING_RESET para corromper a memória do processo QEMU no host, desviar o fluxo de execução e comprometer toda a infraestrutura compartilhada. A exploração depende de condições técnicas específicas, mas a atualização do kernel é considerada prioritária para sistemas que executam virtualização.