Notícias sobre Segurança

Um grupo de pesquisadores revelou vulnerabilidades sérias nos mecanismos de monitorização de sistemas de arquivos em Linux, Windows, Android e macOS. Por meio de interfaces como inotify (no Linux), FileObserver (no Android) e ReadDirectoryChangesW (no Windows), um atacante sem privilégios especiais pode rastrear atividades de outros usuários — tudo o que precisa é de acesso de leitura a diretórios-pai ou explorar comportamentos não documentados do sistema.

No Linux, explorando o inotify é possível reconstruir entradas de teclado ao monitorar o arquivo /dev/input, usando análise de tempo entre eventos. A mesma técnica compromete sessões SSH. Há também um ataque de suplantação visual que monitora acessos ao Polkit para imitar janelas de autenticação nativa. No Android, a API FileObserver consegue contornar as proteções de isolamento FUSE, permitindo que um atacante reconstrua um histórico detalhado de interações privadas — como trocas de mensagens — ao monitorar pastas de mídia de aplicativos como WhatsApp. No Windows, a interface ReadDirectoryChangesW permite monitorar o diretório raiz do disco, ignorando permissões e limites entre contas de usuário, possibilitando rastrear em tempo real sites visitados em navegadores como Firefox. Microsoft classificou esse comportamento como uma função não documentada, não uma vulnerabilidade crítica — postura que rendeu à empresa uma nominação aos Pwnies 2026, prêmio que reconhece as piores respostas de provedores de tecnologia. Mittigações foram aplicadas no kernel do Linux em janeiro de 2026.

A Fortinet confirmou uma vulnerabilidade crítica (CVE-2026-104286, CVSS 9.8) no FortiMail, solução de proteção de e-mail, que está sendo explorada por atacantes na prática. A falha permite que um invasor não autenticado grave arquivos arbitrários no sistema operacional do appliance por meio de requisições HTTP/HTTPS manipuladas. Afeta as versões 7.2.0 a 7.2.9, 7.4.0 a 7.4.8, 7.6.0 a 7.6.6 e 8.0.0 a 8.0.1. A vulnerabilidade já foi incluída no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA, órgão americano de segurança cibernética.

Administradores devem atualizar imediatamente. Enquanto isso, a Fortinet recomenda retirar a interface de gerenciamento da Internet pública e restringi-la a redes confiáveis, além de desativar o recurso IBE (Identity-Based Encryption) quando aplicável. Para detectar comprometimento, investigate alterações em arquivos do sistema em caminhos como /data/lib/liblog.so, /bin/smit e /data/bin/webconsole, além de contas de arquivamento remoto suspeitas (como "archive234") e eventos de login anormais nos logs.

A Polícia Metropolitana de Londres pausou o uso do software Oxygen Forensics enquanto investiga acusações do Departamento de Justiça dos EUA. De acordo com os promotores americanos, a empresa teria sido secretamente controlada por cinco cidadãos russos por meio de uma empresa sediada em Chipre, enquanto apresentava-se como uma companhia americana independente. O software era usado por equipes de perícia digital para extrair e analisar dados de telefones e dispositivos apreendidos em investigações — representava menos de 0,2% das mais de 23 mil ações realizadas pela polícia no último ano.

Os EUA também alegam que o desenvolvimento real do software ocorria em Moscou, na empresa MKO Systems, cujos donos eram os mesmos cinco russos. O mesmo software foi vendido na Rússia com nomes diferentes para agências como o FSB (Serviço Federal de Segurança). A recomendação para pausar o uso já foi estendida a outras polícias britânicas, e autoridades na Romênia começaram a encerrar o uso do produto, enquanto a Letônia o suspendeu. Um dos acusados, Oleg Davydov, foi preso em Londres e teve pedido de liberdade condicional negado.

Pesquisadores divulgaram hoje o BTR (Branch Target Reuse), um novo ataque baseado em Spectre V2 que afeta compiladores JIT — aqueles que traduzem código em tempo de execução, usados em navegadores e máquinas virtuais. Após período de embargo, a vulnerabilidade agora é pública.

O BTR explora mecanismos de previsão de execução presentes em processadores modernos para acessar dados sensíveis. Como envolve compiladores JIT usados em navegadores web e outros ambientes, a descoberta é relevante para qualquer um que execute código de terceiros na máquina.

Duas falhas zero-day (CVE-2026-88771 e CVE-2026-88772) no Citrix NetScaler, componentes que gerenciam acesso remoto, VPN e balanceamento de carga nas bordas das redes corporativas, estão sendo exploradas ativamente. Ambas têm classificação crítica (CVSS 9,5) e permitem execução remota de código. A primeira não requer configurações especiais para ser explorada; a segunda depende do DTLS, que vem habilitado por padrão em servidores VPN. A Citrix divulgou as correções no boletim CTX697096, e a recomendação é atualizar imediatamente todos os dispositivos afetados.

Antes da publicação oficial, informações sobre a exploração já circulavam entre administradores e equipes de segurança; o NCSC-NL (Centro Nacional de Segurança Cibernética dos Países Baixos) teria feito alertas preventivos, e pesquisadores da watchTowr confirmaram evidências de exploração em investigações forenses. Para ambientes que ainda não podem ser atualizados, reduzir a exposição à internet e restringir o acesso por IP são medidas paliativas, mas não substituem a correção.

O Roundcube, webmail popular em servidores Linux e hospedagem, tem uma vulnerabilidade de injeção SQL (CVE-2026-48842) sendo explorada ativamente. A falha está no plugin virtuser_query e permite que atacantes enviem requisições maliciosas sem precisar fazer login — apenas acessando o servidor pela internet. O problema foi corrigido em maio nas versões 1.6.16 e 1.7.1, mas o Centro Canadense de Segurança Cibernética confirmou em setembro que a vulnerabilidade está sendo explorada em ataques reais.

A preocupação é grande porque mais de 523 mil instâncias do Roundcube estão acessíveis na internet, e muitas podem ainda estar sem atualização. Uma exploração bem-sucedida permite ao atacante executar comandos SQL no banco de dados do webmail, potencialmente expondo informações de usuários, identidades, endereços de e-mail e outras configurações. Administradores de servidores, provedores de hospedagem e equipes de DevOps devem atualizar suas instalações com urgência — especialmente porque a falha já tem quatro meses de exploração confirmada desde a disponibilização da correção.

A Canonical, empresa por trás do Ubuntu, anunciou que vai disponibilizar atualizações de segurança do kernel Linux com mais frequência. A decisão responde ao aumento no número de vulnerabilidades descobertas na plataforma.

Uma vulnerabilidade no kernel Linux (CVE-2026-80521) que permite a um processo sem privilégios dentro de um container escapar e ganhar acesso root na máquina hospedeira agora tem código de exploração público disponível. A firma de segurança DepthFirst publicou sua pesquisa e exploit em 22 de setembro de 2026, demonstrando o ataque contra Ubuntu 26.04 LTS. Embora o kernel Linux tenha recebido uma correção upstream em 6 de agosto, o Ubuntu 26.04 LTS ainda era listado como vulnerável em 23 de setembro, assim como o Ubuntu 24.04 LTS.

O problema está no subsistema de sockets AF_UNIX (sockets de domínio Unix, usados para comunicação entre processos locais) do kernel, especificamente em seu mecanismo de coleta de lixo. A vulnerabilidade envolve uma condição de corrida que gera uso-após-liberação de memória, e é particularmente crítica porque pode ser acionada através de operações ordinárias dentro de containers padrão — impactando ambientes como Docker e Kubernetes que executam cargas de trabalho potencialmente não confiáveis. Não há evidência confirmada de exploração ativa em ataques reais, mas a disponibilidade pública de código funcional torna a lacuna de patches mais urgente.

A Canonical, empresa por trás do Ubuntu, mudou o ciclo de atualizações do kernel para duas semanas sobrepostas. O resultado prático é que haverá um novo lançamento de kernel toda semana, acelerando a entrega de correções de segurança (CVEs) para os usuários.

Portmaster é um firewall gratuito e de código aberto que monitora todas as conexões de rede do computador e permite estabelecer regras específicas por aplicação. Desenvolvido na Áustria, funciona tanto no Windows quanto no Linux e se integra à pilha de rede do kernel usando nfqueue (em Linux) e WFP (em Windows). A ferramenta oferece configuração padrão que melhora privacidade automaticamente, mas também permite controle detalhado de cada conexão.

Entre seus destaques estão: bloqueio de pacotes em nível de rede, DNS seguro com suporte a DoT/DoH, histórico de conexões local, monitoramento de largura de banda por aplicação e filtros de privacidade para bloquear rastreadores e anúncios. Os ajustes funcionam principalmente por aplicação, e a ferramenta detecta proprietários de conexões usando eBPF e /proc no Linux. A interface usa Electron atualmente, com planos de migração futura. Também existe uma versão paga chamada Portmaster Pro com um serviço VPN privado adicional.

A agência de cibersegurança americana CISA incluiu três vulnerabilidades do kernel Linux no catálogo de falhas sob ataque real. As três afetam componentes críticos: a CVE-2025-39964 (subsistema criptográfico AF_ALG), a CVE-2026-53266 (filtragem de rede ebtables) e a CVE-2025-39682 (processamento TLS no kernel). Todas permitem escalonamento de privilégios e corrupção de memória, representando risco especial para servidores com contêineres e ambientes isolados por namespaces.

O caso da CVE-2025-39964 é particularmente preocupante: a falha permaneceu no código do kernel por cerca de 14 anos, desde o Linux 2.6.38 lançado em 2011, antes de ser descoberta durante pesquisas de segurança. A CISA recomenda remediação até 21 de setembro de 2026. Embora o prazo formal se aplique a agências federais americanas, administradores de qualquer ambiente Linux devem priorizar as atualizações diante de evidências de exploração em curso.

A empresa de segurança CrowdStrike identificou o PhantomRaven, um malware distribuído por pacotes maliciosos no npm (repositório de bibliotecas JavaScript) que foi desenvolvido com ajuda de inteligência artificial. Segundo a investigação, o responsável usava informações roubadas de ambientes de desenvolvimento para encontrar vulnerabilidades e reivindicar recompensas em programas legítimos de bug bounty. O malware se espalhou através de mais de 86 mil downloads em 126 pacotes diferentes.

O ataque explora várias técnicas sofisticadas: usa typosquatting (nomes parecidos com projetos populares), dependências dinâmicas remotas que não aparecem na interface do npm, e scripts de instalação que executam código malicioso. O PhantomRaven coleta dados sensíveis como tokens de autenticação, credenciais, configurações do Git, variáveis de ambiente de sistemas de integração contínua (GitHub Actions, GitLab CI, Jenkins e CircleCI). Uma novidade preocupante: ferramentas de IA de geração de código podem sugerir nomes de pacotes inexistentes que criminosos registram antecipadamente, criando armadilhas para desenvolvedores. O npm 12 passou a restringir a execução automática desses scripts, exigindo autorização explícita, o que limita — mas não elimina — o risco.