Perito Lucio NewsResumo semanal de cibersegurançaCobertura de 19 a 25 de julho de 2026

EDIÇÃO 010

A falha mais séria da semana não estava em um plugin. Estava no próprio WordPress.

O wp2shell permitia que um visitante anônimo chegasse à execução de código em instalações vulneráveis. Ao redor dele, a semana trouxe Wi-Fi de hotel sequestrado, sessões roubadas depois do MFA, VPNs usadas por ransomware e extensões capazes de enxergar conversas do WhatsApp Web.

EM FOCOWordPress CoreWi-Fi de hotelStealer logsVPN e ransomwareWhatsApp WebMicrosoft 365Agentes de IA

WordPress · Exploração remota · Sites

O wp2shell colocou sites WordPress em risco sem depender de plugin vulnerável, senha roubada ou clique do administrador.

Em 17 de julho, o time de segurança do WordPress publicou atualizações para duas falhas que, encadeadas, permitem execução remota de código sem autenticação. A cadeia ficou conhecida como wp2shell. O ponto que torna o caso diferente é simples: o problema estava no núcleo do WordPress e podia atingir uma instalação padrão exposta à internet.

As versões corrigidas são 6.8.6, 6.9.5 e 7.0.2. Nas linhas 6.9 e 7.0, a combinação das falhas podia levar ao controle administrativo e à execução de código com os privilégios do servidor web. A Wordfence registrou sondagens e tentativas de exploração poucas horas depois da publicação do patch, enquanto detalhes técnicos e provas de conceito começavam a circular.

Atualizar é o primeiro passo, não o último. Quem ficou exposto precisa confirmar a versão, revisar contas administrativas, uploads recentes de plugins, alterações de arquivos e requisições suspeitas ao endpoint de lote da REST API. Um firewall ajuda a reduzir risco, mas não substitui a correção do núcleo.

Comentário Leandro Lucio

Durante anos, muita empresa aprendeu a culpar plugin e tema por qualquer problema no WordPress. Desta vez, essa explicação não serve. Um site aparentemente simples, atualizado só quando alguém lembra e sem monitoramento de integridade pode virar acesso ao servidor sem que a página saia do ar. Eu verificaria a versão hoje e, se a atualização atrasou, trataria o site como potencialmente exposto até revisar usuários, arquivos e logs.

Segurança de sites e aplicaçõesSeu WordPress atualizou sozinho, mas ninguém confirmou a versão ou revisou o ambiente? Vale checar antes de assumir que o problema terminou.Falar com o Perito Lucio →

Leitura editorial

A senha deixou de ser a fronteira mais importante.

O fio desta edição está no que acontece depois da autenticação e ao redor do endpoint. Um site WordPress vulnerável não exige credencial. Um gateway de hotel controla para onde o notebook pergunta. Um cookie de sessão pode sobreviver à troca de senha. Uma extensão legítima recebe permissões para atravessar abas. Uma VPN exposta entrega um caminho privilegiado para a rede. A defesa precisa olhar menos para a aparência do acesso e mais para origem, contexto, integridade, sessão e comportamento.

Viagens corporativas · DNS poisoning24 JUL

O funcionário conectou no Wi-Fi do hotel. Quem escolheu o destino do login foi o atacante.

A ReliaQuest identificou uma campanha ativa desde pelo menos junho de 2026 em gateways de Wi-Fi usados por hotéis, centros de convenções e outros ambientes com portal cativo. Depois de obter controle administrativo do equipamento, o invasor altera respostas DNS e redireciona hóspedes para páginas que imitam o Microsoft 365.

O ataque não precisa tocar no notebook, enviar phishing ou instalar malware. Um único gateway comprometido controla o caminho de todos os dispositivos conectados naquele local. A pesquisa encontrou atividade em cidades dos Estados Unidos e também na Índia e na Arábia Saudita, alcançando organizações de finanças, serviços profissionais, jurídico, saúde, energia e varejo.

A recomendação mais concreta do estudo é usar VPN corporativa sempre ativa em modo full tunnel, incluindo DNS. DNS criptografado em modo estrito também ajuda; configurações que voltam para DNS em texto claro quando há falha deixam uma brecha justamente para o gateway.

Comentário Leandro Lucio

Esse caso muda a política de viagem. Dizer “não use Wi-Fi público” não resolve quando o trabalho exige conexão em hotel e evento. A empresa precisa entregar o controle pronto: VPN sempre ativa, túnel completo e autenticação resistente a phishing. Se a proteção depende de o funcionário perceber que a tela de login está estranha depois de um voo, o processo já nasceu frágil.

Identidade · Infostealers25 JUL

O ransomware pode começar semanas antes, dentro do navegador de uma máquina que continua funcionando.

Relatos sobre stealer logs mostram como malware furtivo coleta senhas salvas, cookies de sessão, carteiras, dados de pagamento e informações do sistema. Esse material é organizado, vendido e reutilizado por outros criminosos. A campanha do Phantom Stealer ilustra a etapa inicial: e-mails comerciais falsos levam a JavaScript e PowerShell, que entregam o ladrão de informações.

O perigo não é apenas a senha. Um cookie válido pode permitir acesso a uma sessão já autenticada. Por isso, uma resposta baseada apenas em redefinir credencial pode deixar o atacante dentro.

Comentário Leandro Lucio

Quando aparece evidência de infostealer, eu não trataria como “vírus removido”. A máquina precisa ser isolada, sessões revogadas, credenciais rotacionadas a partir de um dispositivo limpo e os acessos posteriores investigados. Remover o arquivo e devolver o computador para o usuário fecha o sintoma, não o incidente.

Perímetro · Ransomware24 JUL

VPN vulnerável virou a porta de entrada para Qilin e deixou poucas horas para reação.

A Arctic Wolf descreveu intrusões nas quais a CVE-2026-0257, uma falha de bypass de autenticação no GlobalProtect do PAN-OS, foi usada para acesso inicial. Em alguns casos, o avanço terminou em criptografia em escala de domínio pelo ransomware Qilin.

O caso reforça duas frentes que precisam andar juntas: correção agressiva de equipamentos expostos e revisão de autenticação. Além de explorar falhas, grupos de ransomware continuam usando credenciais legítimas em contas sem MFA resistente a phishing.

Leitura práticaEquipamento de borda conhecido por exploração ativa entra no ciclo de 24 a 48 horas. Depois do patch, a equipe ainda precisa procurar sessões, contas e atividades administrativas que começaram antes da correção.

Phishing · Cultura de reporte24 JUL

Em 13,9 milhões de simulações, só uma em cada dez pessoas avisou o time de segurança.

O benchmark analisado pela Help Net Security mostra que o silêncio após o clique é parte importante da exposição. Cerca de 250 mil participantes chegaram a preencher formulários falsos, mas nove em cada dez mensagens simuladas não geraram reporte.

Treinamento medido apenas por taxa de clique perde metade da história. Uma pessoa pode errar e ainda reduzir o impacto se avisar rápido. A organização também precisa garantir que o canal de reporte seja simples e que o SOC consiga separar sinal de ruído.

Comentário Leandro Lucio

Eu prefiro um funcionário que clicou e avisou em trinta segundos a alguém que percebeu algo estranho, ficou com vergonha e fechou a janela. Cultura de segurança não pode transformar erro em humilhação. Se a pessoa tem medo de reportar, o atacante ganha tempo exatamente quando a empresa mais precisa dele.

Navegador · Privacidade23 JUL

Uma extensão para PDF podia atravessar a aba e enxergar o WhatsApp Web aberto.

A vulnerabilidade HermeticReader, identificada como CVE-2026-48294, afetava versões da extensão Adobe Acrobat para Chrome até 26.5.2.2. Ao convencer a vítima a abrir uma página preparada, o atacante podia abusar das permissões da extensão para acessar conteúdo renderizado em outra origem, incluindo lista de conversas, nomes de contatos e texto visível do WhatsApp Web.

A falha foi corrigida. O aprendizado fica: extensão de navegador é software com acesso amplo, não um detalhe decorativo. Empresas precisam inventariar extensões, limitar instalação e atualizar automaticamente.

Para famíliasAtualize a extensão, remova o que não usa e evite manter WhatsApp Web aberto em computador compartilhado. Uma marca conhecida não elimina o risco de uma permissão excessiva.

Caderno principal

Incidentes e pesquisas que mudam a conversa da semana.

Nem tudo merece a mesma profundidade. Aqui estão os temas que pedem decisão, investigação ou mudança de processo.

Vazamento · IA de música

Suno aparece no Have I Been Pwned com 55,3 milhões de contas.

O incidente ocorreu em novembro de 2025 e veio a público em julho de 2026. O conjunto inclui e-mails, nomes, telefones e, em uma parcela menor, registros de compras com endereços e dados parciais de cartão processados pelo Stripe.

Quem reutilizou senha precisa trocá-la em todos os serviços onde ela apareceu. Para empresas, o caso também lembra que plataforma de IA entra no mesmo inventário de fornecedores e dados que qualquer SaaS.

Operação policial · Microsoft 365

Mais de 200 servidores do kit Kratos foram retirados do ar.

Autoridades alemãs e norte-americanas derrubaram a infraestrutura e a Indonésia prendeu o suposto operador. Investigadores estimam cerca de 1.800 clientes e 15 mil campanhas mensais.

O kit roubava cookies de sessão, não apenas senhas. Por isso, a resposta inclui revogar sessões e adotar autenticação resistente a phishing.

Agentes de IA · macOS

Claude Cowork podia escapar da VM e alcançar arquivos do Mac.

A cadeia SharedRoot explorava uma falha no kernel convidado e uma montagem do sistema hospedeiro para permitir leitura ou escrita fora da VM em sessões locais vulneráveis.

Leitura práticaAgente que executa código precisa de sandbox real, mínimo privilégio e separação de credenciais. “Rodar dentro de uma VM” não encerra a análise.

ServiceNow · Exploração ativa

Falha crítica na plataforma de IA permitia execução sem autenticação.

A CVE-2026-6875 foi associada a exploração em campo e a uma fuga de sandbox. Ambientes vulneráveis precisam aplicar os patches do fabricante e revisar sinais de acesso anterior.

SharePoint · Exploração ativa

Nova RCE crítica entrou em exploração depois da publicação de prova de conceito.

A CVE-2026-50522 afeta SharePoint Server on-premises e permite execução remota sem autenticação. Além do patch, a investigação deve considerar segredos e chaves do servidor.

Universidades · Ransomware

Ensino superior volta a crescer na lista de alvos de ransomware.

Análise da Comparitech aponta aumento de incidentes no primeiro semestre de 2026, com destaque para a atividade do grupo The Gentlemen. No mesmo período, a Universidad Nacional de Mar del Plata apareceu em site de extorsão do grupo Nova.

A listagem é uma alegação do criminoso, não confirmação independente. Ainda assim, o padrão setorial é consistente: universidades combinam dados pessoais, pesquisa, acesso aberto e ambientes difíceis de padronizar.

Saúde · Extorsão

Mais de 2 mil ataques semanais e novas alegações envolvendo dados de pacientes.

Levantamento divulgado no Brasil aponta forte pressão sobre organizações de saúde. A Abbott investiga dois incidentes enquanto grupos de extorsão alegam ter obtido dados; um hospital universitário da Indonésia também foi listado pelo grupo Nova.

As alegações ainda precisam de confirmação. Para hospitais, a decisão prática é separar continuidade clínica de continuidade de TI, testar operação degradada e limitar o acesso de terceiros a dados sensíveis.

IA · Desenvolvimento

Malware começa a mirar o próprio ambiente onde agentes e modelos são construídos.

Pesquisas da semana descrevem malware em ferramentas de desenvolvimento com IA, ransomware ENCFORGE mirando pesos de modelos, índices vetoriais e datasets, além de ataques capazes de plantar memórias falsas em agentes.

Leitura práticaRepositório, prompt, memória, plugin e ferramenta externa entram na cadeia de suprimentos. O agente não deve herdar acesso amplo só porque acelera o trabalho.

Vazamento · Trabalho digital

Paidwork teve 23,27 milhões de contas adicionadas ao HIBP.

O conjunto publicado inclui e-mails, perfis, histórico de pagamentos, dados bancários e senhas protegidas com bcrypt. Trabalhadores de plataformas acumulam risco financeiro e de identidade no mesmo cadastro.

Identidades de máquina

Fraude de identidade sintética começa a alcançar contas técnicas e agentes.

O problema não é apenas roubar uma identidade existente. Um atacante pode combinar atributos legítimos e inventados para criar uma identidade de máquina que parece confiável, recebe permissão e não tem um dono humano acompanhando o abuso.

Ransomware · IA

Dois terços das vítimas ouvidas dizem que IA aumentou a eficiência do ataque.

O número vem de uma pesquisa com organizações que sofreram ransomware, não de medição universal do mercado. Serve como sinal de percepção: automação reduz tempo de reconhecimento, personaliza engenharia social e acelera tarefas antes manuais.

Radar técnico

Correções e comportamentos para revisar agora.

Foxit PDF Reader

CVE-2026-57239 permite elevação local a SYSTEM.

Afeta versões anteriores à 2026.2 e exige execução prévia de código. Atualize o leitor PDF e trate a falha como etapa de pós-exploração.

Bitdefender

Shredder Link permite escalada local de privilégio.

A ZDI atribuiu CVSS 7.3 à CVE-2026-6851. O atacante precisa executar código com baixo privilégio antes de explorar.

Ubuntu

Condição de corrida no snap-confine abre caminho para root local.

Instalações padrão afetadas precisam receber as atualizações do Ubuntu e ser revisadas em servidores multiusuário.

Windows · WMI

Falha de autorização permite elevação local.

A CVE-2026-50325 recebeu CVSS 7.0 e exige que o invasor já consiga executar código de baixo privilégio.

7-Zip

Arquivo manipulado podia levar a execução remota de código.

A correção foi publicada na versão 26.02. Atualize o compactador e não confie em arquivo só porque o formato parece comum.

NGINX

Falha crítica pode derrubar servidor e, em certos cenários, executar código.

A CVE-2026-42533 envolve requisições HTTP manipuladas. Confirme a versão corrigida da sua linha e a exposição do serviço.

Google Chrome

Nova atualização corrige três falhas críticas.

Navegador corporativo precisa de atualização forçada e inventário de versões, não de orientação opcional ao usuário.

Chaos ransomware

msaRAT usa Chrome ou Edge headless como canal de comando.

O implante fala com localhost e dirige o navegador, escondendo o tráfego atrás de um processo legítimo e muito comum.

Hikvision

Honeypots detectam varreduras contra a Intelligent Security API.

Câmeras e gravadores expostos precisam de inventário, atualização, senha única e bloqueio de administração pela internet.

Plantão rápido

Deepfake · Golpes

FBI alerta para vídeos falsos de lideranças do IC3.

Os vídeos direcionam vítimas a páginas clonadas de denúncia. O canal oficial precisa ser digitado ou acessado por favorito conhecido.

Gamers · Malware

Mods falsos, Discord e GTA 6 continuam sendo iscas eficientes.

O apelo do conteúdo antecipado empurra usuários para downloads fora de lojas e sites oficiais, onde ladrões de dados entram como instalador.

Desenvolvedores

Instalador falso do GitHub Copilot CLI aparece em relato comunitário.

O caso ainda precisa de confirmação técnica mais ampla, mas o padrão é conhecido: ferramenta nova e desejada vira nome perfeito para pacote malicioso.

OSINT · Ética

Falsa seleção de fornecedor pedia dossiê sobre pessoa e família.

Relato no Reddit descreve recrutadores opacos, cliente oculto, ausência de consentimento e entrega completa antes de preço. É um padrão para recusar, documentar e reportar.

Fechamento editorial

O controle que falta costuma estar entre duas ferramentas que, isoladamente, parecem seguras.

O WordPress atualiza, mas ninguém confirma o resultado. O usuário tem MFA, mas a sessão continua válida. O notebook tem EDR, mas o gateway do hotel escolhe o DNS. O navegador é atualizado, mas carrega uma extensão com permissão demais. O agente roda em uma VM, mas enxerga o disco do host. A semana não foi sobre uma tecnologia fracassar sozinha. Foi sobre confiança atravessando fronteiras sem verificação suficiente.

Minha conclusão é prática: revise as conexões. Quem pode atualizar o site? Quais sessões sobrevivem à troca de senha? Por onde passa o DNS fora do escritório? Quais extensões estão instaladas? O que um agente de IA consegue ler, executar e enviar? Essas perguntas encontram problemas que uma lista de produtos de segurança não encontra.

Revisar meu cenário Orientações para a família

Transparência editorial

Fontes consultadas nesta edição

Os textos foram escritos em palavras próprias. Alegações vindas de sites de extorsão ou comunidades foram identificadas como alegações e não tratadas como confirmação independente.

Análise por

Leandro Lucio

Especialista em Cyber Security e Digital Forensics, atua com gestão de vulnerabilidades, investigação digital, resposta a incidentes, pentest autorizado e proteção de ambientes online. O Perito Lucio News transforma acontecimentos técnicos em decisões práticas para empresas, profissionais e famílias.

Cyber SecurityDigital ForensicsResposta a IncidentesSegurança Web

Conheça minha trajetória técnica →