Notícias sobre Segurança

O Microsoft Defender, solução antivírus e antimalware da Microsoft, agora está disponível em visualização pública para computadores desktop com Linux. A empresa já oferecia a ferramenta para servidores Linux desde 2020, mas agora expande o alcance para as máquinas de trabalho dos desenvolvedores. Segundo a Microsoft, com mais profissionais usando Linux no desktop, essas máquinas se tornaram alvo atrativo para atacantes — especialmente porque costumam ter privilégios elevados e acesso direto aos processos de construção e distribuição de software das organizações.

O Defender para Linux desktop usa o mesmo agente da versão para servidores, permitindo que administradores gerenciem todos os equipos a partir de um único portal, independentemente se estão em data center, nuvem ou mesa de trabalho. A solução oferece detecção e resposta em tempo real, gerenciamento de vulnerabilidades e resposta a ameaças. Funciona em distribuições como RHEL, CentOS, Ubuntu, Debian, Fedora e outras. Assim como a versão servidor, não é gratuita: requer licença do Microsoft Defender for Endpoint Plan 2 ou assinatura Microsoft 365 E5/E7. As organizações interessadas podem entrar no programa de visualização pública pelas rotas de distribuição usuais.

Os projetos Nix e Lix (um fork do Nix focado na comunidade) revelaram conjuntamente falhas de segurança que permitem escalonamento de privilégios para root em sistemas que executam seus daemons. Segundo o aviso conjunto, "todos os sistemas que compilam derivações não confiáveis são afetados".

Os dois projetos já lançaram versões corrigidas. CVE IDs ainda não foram solicitados para as vulnerabilidades. Detalhes técnicos completos estão disponíveis no anúncio oficial dos projetos.

O Debian 13 (codinome Trixie) recebeu uma atualização de segurança massiva no kernel Linux 6.12 LTS, corrigindo 1313 vulnerabilidades. Trata-se de um dos maiores lançamentos de segurança do kernel já registrados.

Daniel Stenberg, mantenedor do curl (ferramenta de linha de comando e biblioteca para transferência de dados pela rede), publicou um aviso sobre 22 vulnerabilidades de segurança corrigidas em 14 de outubro de 2026. Uma delas, a CVE-2026-92392, foi classificada como crítica (CVSS 8.1) por permitir execução remota de código — mas apenas no Ubuntu 26.04 LTS. As demais têm severidade baixa ou média. O Ubuntu já lançou atualizações para a versão 26.04; as demais versões suportadas receberão correções em breve. Todas as distribuições Linux que usam curl são potencialmente afetadas.

Para se proteger, execute sudo apt update && sudo apt upgrade. Se o unattended-upgrades estiver ativo (padrão desde Ubuntu 16.04), as correções serão aplicadas automaticamente em até 24 horas. Usuários do Ubuntu 20.04 LTS ou anterior precisam de uma assinatura Ubuntu Pro (gratuita para até 5 máquinas) para receber as atualizações via Expanded Security Maintenance.

Pesquisadores da Lightwell descobriram uma falha de segurança até então desconhecida (zero-day) no Jakarta XML Binding, implementação da Eclipse que processa XML em aplicações Java corporativas. A biblioteca é tão antiga e confiável que costuma passar despercebida em infraestruturas empresariais, embutida em camadas profundas de middleware e servidores de aplicação — exatamente o tipo de código que as equipes de segurança frequentemente assumem estar a salvo por não ter causado problemas em anos de produção.

A descoberta destaca um risco real em ambientes corporativos: ferramentas avançadas de segurança com inteligência artificial conseguem identificar falhas em lógica estrutural de análise de dados nesses componentes antigos que passam despercebidos, independentemente de quanto tempo estejam rodando sem interrupção.

Pesquisadores identificaram a operação FakeGit, que usa mais de 17.610 repositórios maliciosos no GitHub para distribuir códigos perigosos e comprometer máquinas de desenvolvedores. A campanha explora engenharia social, contas aparentemente legítimas e instruções de instalação falsas — frequentemente disfarçadas de ferramentas de IA e serviços MCP — para enganar até mesmo profissionais experientes. Uma vez executados, os arquivos podem instalar o SmartLoader (um carregador de malware) e o StealC (roubo de credenciais e dados), colocando em risco não só o computador da vítima, mas toda a cadeia de suprimentos de software se a máquina tiver acesso a repositórios, pipelines de entrega ou serviços em nuvem.

O desafio está em que remover esses repositórios não elimina a infraestrutura da campanha. Os criminosos usam forks, discussões, issues, arquivos compactados e múltiplos espelhos para manter cópias do malware acessíveis mesmo quando repositórios principais são deletados. Isso torna ferramentas tradicionais de bloqueio — como listas de URLs e filtros DNS — insuficientes. Para desenvolvedores, a lição é clara: a presença de um projeto no GitHub não garante segurança, e desconfiar de instruções de instalação suspeitas, verificar origem de arquivos e monitorar comportamentos anormais durante execução são práticas essenciais.

Let's Encrypt, a organização sem fins lucrativos que fornece certificados TLS gratuitos para milhões de sites, anunciou que passará a emitir certificados com validade de 64 dias a partir de 10 de fevereiro de 2027. O último certificado de 90 dias deve expirar em 11 de maio de 2027, e a organização não revogará certificados válidos durante essa transição.

Trata-se da segunda etapa de um plano anunciado em 2025 para reduzir gradualmente a validade dos certificados conforme exigências do CA/Browser Forum Baseline Requirements. Em 2028, Let's Encrypt fará o ajuste final, migrando para certificados de 45 dias de validade.

A Canonical, empresa por trás do Ubuntu (uma das distribuições Linux mais populares), reportou um ataque de negação de serviço distribuída (DDoS) contra seus sites, causando interrupções no acesso. A empresa informou que suas equipes estão trabalhando para restaurar os serviços.

A fundação X.Org lançou correções para 11 vulnerabilidades encontradas no servidor X (responsável pela exibição gráfica em sistemas Linux tradicionais) e no Xwayland, uma camada de compatibilidade que permite rodar aplicativos X11 em ambientes Wayland. As falhas permitem negação de serviço, vazamento de informações da memória ou execução de código arbitrário, mas exigem que um cliente X já esteja autenticado no sistema para serem exploradas. As versões corrigidas são xorg-server 21.1.25 e xwayland 24.1.14, que já estão disponíveis.

A maioria das vulnerabilidades envolve erros no gerenciamento de memória em componentes críticos como as extensões XKB, GLX, XInput e RandR — problemas como leitura de memória após liberação, transbordo de buffers e dupla liberação de ponteiros. Uma vulnerabilidade exclusiva do Xwayland (CVE-2026-93522) afeta a aceleração gráfica em operações que envolvem diferentes profundidades de cor. Os patches foram desenvolvidos em parceria com pesquisadores da TrendMicro Zero Day Initiative e devem chegar aos usuários através dos gerenciadores de pacotes das distribuições Linux nos próximos dias.

A Truffle Security, empresa de segurança, descobriu 543.699 credenciais ainda válidas espalhadas por mais de 224 milhões de repositórios públicos do GitHub. Algumas dessas credenciais estão expostas há mais de 16 anos sem serem revogadas, o que deixa sistemas e serviços vulneráveis a acessos não autorizados.

O achado reforça um problema conhecido entre desenvolvedores: a dificuldade em evitar que senhas, tokens de autenticação e chaves de API sejam acidentalmente commitadas em repositórios públicos — e a ainda maior dificuldade em revogá-las depois que vazam.

O OpenSSH 10.6 foi lançado com suporte ao algoritmo de assinatura híbrido ssh-mldsa44-ed25519, que combina criptografia tradicional com segurança pós-quântica. A versão também desabilita o compressor LZ77 para mitigar vazamentos de informação por canal lateral, adiciona opção -p para comandos mkdir do sftp e descontinua a opção -R do scp (que permite cópias entre dois servidores remotos) devido a riscos de segurança.

O time do OpenSSH informou que tem recebido muitos relatórios de bugs assistidos por inteligência artificial, e pretende fazer lançamentos mais frequentes daqui em diante para disponibilizar correções aos usuários mais rapidamente, em vez de acumular mudanças até a próxima versão planejada.

IBM e Red Hat anunciaram que sua iniciativa Lightwell, baseada em inteligência artificial, identificou e ajudou a corrigir mais de 400 vulnerabilidades até então desconhecidas em bibliotecas Java amplamente usadas. O anúncio marca o lançamento oficial do Lightwell Clearinghouse, um serviço empresarial que permite aos clientes submeter dependências de software de código aberto para análise e correção prioritárias.

Segundo a empresa, a descoberta reflete um risco crescente nos negócios: conforme agentes autônomos de IA se tornam capazes de combinar múltiplas fraquezas de software em ataques mais graves, as organizações precisam fazer mais do que apenas identificar vulnerabilidades — precisam de uma forma prática de desenvolver, testar e implantar correções no software que suporta aplicações críticas.