Notícias sobre Segurança

AlmaLinux, Debian, Fedora, Mageia, Red Hat, Slackware, SUSE e Ubuntu lançaram atualizações de segurança nesta quinta-feira. A lista inclui correções para componentes críticos como kernel, Firefox, Thunderbird, .NET (nas versões 8.0, 9.0 e 10.0), além de ferramentas essenciais de infraestrutura como firewalld, nginx, libvirt e diversas bibliotecas do sistema.

As distribuições abordaram vulnerabilidades em dezenas de pacotes. Usuários dessas distribuições devem verificar seus gerenciadores de pacotes para aplicar as atualizações disponíveis — trata-se de uma prática de rotina importante para manter o sistema seguro.

Pesquisadores descobriram um ataque chamado DDRop que explora falhas no mecanismo de verificação de atualização de dados na memória DDR5, afetando tecnologias de Computação Confidencial como Intel TDX (extensões de domínio confiável da Intel) e AMD SEV-SNP. O ataque usa um interposer físico de baixo custo (cerca de US$ 200) posicionado entre processador e memória para descartar gravações, mantendo dados antigos que continuam criptograficamente válidos. Diferentemente de ataques anteriores, o DDRop não quebra a criptografia, mas explora a incapacidade dos sistemas de identificar que informações obsoletas deveriam ter sido substituídas por versões mais recentes.

Embora exija acesso físico ao servidor e conhecimento especializado, a descoberta questiona como tecnologias desenvolvidas especificamente para proteger máquinas virtuais em infraestruturas de nuvem lidam com ameaças no nível do hardware. Os pesquisadores demonstraram que o DDRop conseguiu explorar cenários de leitura de memória privada, alteração de informações de depuração e manipulação de dados usados em atestado remoto — justamente o que essas proteções deveriam impedir.

O grupo de resposta de segurança do Rust e a equipe do Crates.io (repositório oficial de pacotes da linguagem) emitiram um aviso sobre um ataque direcionado contra desenvolvedores importantes da comunidade Rust. O objetivo aparente é comprometer contas e repositórios para injetar código malicioso na cadeia de suprimentos da linguagem.

A equipe recomenda que mantenedores de pacotes populares reforcem a segurança de suas contas (autenticação de dois fatores, revisão de chaves de acesso) e estejam atentos a atividades suspeitas nos repositórios. Não há confirmação de qual desenvolvedores foram alvo nem se alguma conta foi efetivamente comprometida até o momento.

Sean Whitton anunciou que o conserto inicial para uma falha de segurança no Emacs (CVE-2024-53920) estava incompleto. Pesquisador descobriu que visualizar ou editar arquivos não confiáveis em modos diferentes do modo Lisp do Emacs também pode resultar em execução arbitrária de código. O problema afeta todas as versões do Emacs atingidas pela CVE-2024-53920, ou seja, Emacs 24 e posteriores, e possivelmente versões mais antigas.

Uma correção mínima foi enfileirada para lançamento com o Emacs 31.2. Os desenvolvedores do Emacs (projeto de editor de texto de código aberto) não planejam fazer o backport da correção para versões mais antigas por conta própria.

O time do Arch Linux desativou temporariamente a funcionalidade de adoção de pacotes na AUR (Arch User Repository, o repositório comunitário da distribuição) enquanto investiga casos de apropriação maliciosa. A medida foi tomada após detectarem que pacotes estavam sendo sequestrados e modificados com código malicioso em commits posteriores.

Uma atualização aprovada para o Kernel Linux 7.3 desativou temporariamente a descompressão contínua (rolling decompression) do algoritmo LZ4 no EROFS, sistema de arquivos somente leitura muito usado em contêineres, distribuições Linux e Android. Engenheiros da AWS descobriram que certas combinações de dados compactados poderiam ser corrompidas devido a um comportamento imprevisto na implementação do LZ4: a função de cópia de memória (memmove) às vezes realiza cópias inversas em arquiteturas x86, quebrando a lógica da janela de descompressão do kernel. O patch, integrado no ciclo 7.3-rc3, prioriza segurança dos dados.

Com a desativação, o sistema consumirá um pouco mais de memória durante a descompressão, mas elimina o risco de corrupção nas situações raras identificadas. O mantenedor principal do EROFS, Gao Xiang, sinalizou que a funcionalidade permanecerá desativada até que se defina uma estratégia definitiva: ou corrigir o código oficial do LZ4 para garantir cópias sempre para a frente em áreas não sobrepostas, ou manter uma implementação customizada do LZ4 exclusivamente no kernel. O aumento de memória deverá ser mitigado por atualizações recentes que introduziram um pool de buffers reservado.

O The Events Calendar, plugin instalado em mais de 600 mil sites WordPress, recebeu correções para duas falhas de segurança críticas (CVE-2026-78006 e CVE-2026-78159) que permitem execução remota de código sem autenticação. Um invasor pode explorar as brechas simplesmente enviando um comentário malicioso — nem precisa de aprovação do moderador. O ataque funciona quando a vítima clica no link temporário para visualizar seu próprio comentário pendente; nesse momento, o plugin processa indevidamente blocos de conteúdo injetados e o código malicioso é executado. Dessa forma, o criminoso consegue alterar senhas administrativas, implantar malware ou assumir o banco de dados.

A StellarWP, desenvolvedora do plugin, lançou as correções em setembro de 2026. Administradores devem atualizar imediatamente para a versão 6.17.4.1 ou superior. O firewall Wordfence (serviço de segurança para WordPress) já oferece proteção desde 22 de agosto para seus usuários pagos; a camada gratuita receberá os mesmos filtros em 21 de setembro.

O Forgejo, plataforma de hospedagem de repositórios Git de código aberto, lançou as versões 16.0.4 e 15.0.8 para corrigir vulnerabilidades de segurança. A mais crítica permite execução remota de código: ao criar um repositório a partir de um modelo, o Forgejo expande variáveis em arquivos de configuração, e um repositório modelo malicioso poderia explorar esse processo para criar uma pasta .git antes da inicialização do novo repositório, permitindo ao atacante ler dados arbitrários do servidor ou executar comandos. A correção remove qualquer pasta .git existente após a expansão de variáveis e antes de inicializar o repositório.

O projeto recomenda atualizar para as versões corrigidas o quanto antes.

O Google lançou o Chrome 153 para corrigir uma vulnerabilidade zero-day no motor V8 (CVE-2026-87491) que já está sendo explorada em ataques reais. A falha permite execução de código arbitrário dentro do sandbox do navegador através de uma página HTML maliciosa. A atualização também corrige outras 229 vulnerabilidades de segurança, incluindo cinco classificadas como críticas em componentes WebGL e Cast. Essa é a sétima vulnerabilidade zero-day do Chrome explorada ativamente em 2026, reforçando a necessidade de atualização imediata para todos os usuários.

A falha foi descoberta em 6 de agosto por pesquisadora da Seoul National University e o Google está mantendo detalhes técnicos restritos enquanto a maioria dos usuários recebe a correção. Para desktop (Linux, Windows e macOS), acesse o menu de três pontos, vá em Ajuda > Sobre o Google Chrome e reinicie quando a atualização for baixada. Usuários do Linux que instalaram o navegador por repositórios devem verificar se o gerenciador de pacotes está atualizado. Empresas devem confirmar a distribuição da versão 153.0.8010.36 (Linux e Windows) ou 153.0.8010.37 (macOS).

Pesquisadores da Check Point descobriram uma vulnerabilidade no ChatGPT que combinava injeção de prompt (instruções maliciosas escondidas em conversas) com acesso a aplicativos conectados. Um atacante podia inserir comandos ocultos em uma conversa compartilhada ou em um GPT personalizado; quando a vítima interagia normalmente com aquela conversa, o ChatGPT processava uma segunda tarefa em paralelo, usando permissões que o usuário já havia concedido ao Gmail. O ataque não exigia roubo de senha nem acesso ao computador — aproveitava a confiança já estabelecida entre a conta do usuário e os serviços conectados.

A falha explorava dois problemas simultaneamente: as configurações padrão de permissão permitiam que o ChatGPT lesse dados do Gmail automaticamente sem pedir confirmação a cada ação, e a arquitetura do sistema permitia executar uma instrução visível para o usuário enquanto processava outra, invisível, nos bastidores. Isso tornava ataques contra sistemas de IA agentiva particularmente difíceis de detectar, já que não geravam cliques suspeitos nem solicitações óbvias que pudessem ser monitoradas. A pesquisa foi publicada em 8 de setembro de 2026.

Um novo relato detalha como um invasor se passou por desenvolvedor durante anos para inserir um backdoor (porta traseira) no XZ Utils, biblioteca de compressão amplamente usada em sistemas Linux. A trama foi descoberta quando um pequeno aumento de latência de meio segundo em um servidor SSH levantou suspeitas, levando pesquisadores a investigarem e expostos o código malicioso.

O caso ilustra uma vulnerabilidade na cadeia de suprimentos de software livre: como um atacante paciente pode ganhar confiança gradualmente na comunidade de código aberto antes de tentar comprometer um projeto crítico. O incidente reforça a importância de auditoria de código e monitoramento de dependências em infraestruturas de produção.

Quando um computador entra em modo de suspensão, sua memória continua alimentada e acessível — um risco de segurança conhecido que permite ataques de acesso direto à memória ou mesmo leitura de dados após desligamento. Em junho de 2026, foi descoberto que versões do kernel Linux posteriores à 6.9 (lançada em maio de 2024) não estavam apagando as chaves de criptografia de disco quando o laptop entrava em modo de suspensão, mesmo quando configurado para isso. A falha foi identificada rapidamente e uma correção foi integrada ao código, mas ainda não resolve o problema de forma completa.

Para usuários preocupados em proteger suas chaves de criptografia de longo prazo — como a usada em criptografia de disco completo — essa é uma questão relevante. A correção já está em andamento, mas quem depende dessa proteção deve acompanhar os próximos lançamentos do kernel.