Perito Lucio NewsResumo semanal de cibersegurançaCobertura de 23 a 29 de agosto de 2026

EDIÇÃO 013

A falha ficou pública. O atacante não vai esperar sua janela de mudança.

PaperCut já tinha clientes atacados quando a correção emergencial começou a circular. Mais de 8.300 servidores Gitea continuavam expostos. ServiceNow corrigiu falhas máximas, cPanel fechou um caminho até root e a Microsoft resumiu o problema da semana: o tempo entre descobrir e corrigir está menor.

EM FOCOVulnerabilidadesPatchMicrosoft 365SaúdeWordPressIALGPDInfraestrutura crítica

Vulnerabilidades · Exposição · Resposta

A semana deixou um recado desconfortável: entre saber da falha e conseguir corrigir, já pode haver alguém testando o caminho.

A Microsoft chamou atenção para uma mudança que os times de segurança já sentem no dia a dia. O intervalo entre divulgação e exploração está ficando curto demais para depender apenas do ciclo normal de patch. O PaperCut virou um exemplo concreto: o fornecedor confirmou incidentes, publicou correção emergencial e depois precisou liberar uma segunda atualização com reforços adicionais.

Ao mesmo tempo, a Shadowserver encontrou mais de 8.300 instâncias Gitea ainda expostas a uma falha usada em ataques. Não é argumento para abandonar teste ou gestão de mudança. É argumento para ter um plano para o período em que o patch ainda não chegou à produção. Restringir origem, retirar interface da internet, segmentar, bloquear um caminho no WAF ou no IPS e isolar temporariamente um serviço podem ser a diferença entre ganhar tempo e ganhar um incidente.

Comentário Leandro Lucio

Pra mim, esse é o ponto da semana. Patch continua obrigatório, mas a empresa precisa sobreviver até ele chegar em produção. Se um servidor só fica protegido depois da próxima janela de mudança, faltou uma camada no meio. Eu olharia primeiro para o que está exposto, quem realmente precisa acessar e qual controle temporário pode reduzir o risco agora. O intervalo entre divulgação e correção já não pode ser tratado como tempo neutro.

Raio X de exposiçãoAntes de comprar outra ferramenta, descubra o que já está visível e acessível pela internet.Revisar minha exposição →

PaperCut

Duas falhas foram exploradas como zero day e exigiram uma segunda correção emergencial.

Quem deixou o Application Server acessível pela internet recebeu uma orientação bem direta: restringir o acesso e procurar sinais de comprometimento.

Gitea

Mais de 8.300 servidores ainda estavam expostos a execução remota de código.

A falha exige acesso de escrita a repositório, mas a autorregistro padrão pode facilitar a criação do caminho necessário em instalações vulneráveis.

Microsoft 365

Um serviço de phishing por US$ 320 ao mês vende sessão autenticada, não apenas senha.

O NovaCookies atua como adversary in the middle e tenta capturar a sessão depois do MFA, reduzindo a barreira para ataques contra contas corporativas.

Berlim

Rhysida pressiona o governo local antes das eleições e afirma ter roubado 5,79 TB.

O governo confirmou a tentativa de extorsão e informou que não pretende pagar. Os números detalhados pelo grupo devem ser tratados como alegação do próprio atacante.

Leitura editorial

O problema da semana foi o intervalo.

Entre a falha aparecer e o patch chegar em produção existe uma janela que ficou perigosa. Entre o usuário fazer login e a sessão ser roubada existe outra. Entre uma chave AWS cair num repositório e alguém encontrá-la também. As notícias desta edição parecem diferentes, mas quase todas passam pelo mesmo ponto: quanto tempo a organização leva para perceber exposição, reduzir acesso e reagir antes que outra pessoa use aquilo primeiro.

Saúde · Operação · Continuidade27 AGO

Quando a rede cai numa empresa de tecnologia médica, o problema chega ao pedido, ao estoque e à operação global.

A Boston Scientific informou à SEC que um ataque cibernético provocou indisponibilidade de rede e afetou sistemas usados pela operação da empresa. O incidente foi identificado em 25 de agosto e interrompeu acesso a aplicações, inclusive funções ligadas ao processamento e envio de pedidos.

A companhia fabrica stents, cateteres, marcapassos e desfibriladores, tem cerca de 59 mil funcionários em 127 países e estima alcançar 48 milhões de pacientes por ano. Até a publicação do alerta, a investigação continuava em andamento e a empresa ainda não havia determinado se o impacto seria material.

O caso merece atenção porque continuidade em saúde não começa só dentro de hospital. Fornecedor de equipamento, logística, suporte e tecnologia também faz parte da cadeia que mantém atendimento funcionando. Quando TI para, a consequência pode aparecer longe do datacenter.

O que mudaPlano de continuidade precisa considerar fornecedores que sustentam produto, entrega e atendimento. Dependência operacional é parte do mapa de risco.

ServiceNow · Plataforma · Cloud28 AGO

Três falhas receberam nota 10.0 numa plataforma que concentra processo, dado e automação.

A ServiceNow corrigiu quatro vulnerabilidades na AI Platform. Três receberam CVSS 10.0 da própria empresa e, em determinadas condições, poderiam permitir execução de código, alteração de dados ou SQL injection sem autenticação.

As instâncias hospedadas pela ServiceNow receberam atualização. Clientes com ambientes próprios precisam confirmar a versão instalada e aplicar as correções correspondentes. Até 28 de agosto, a empresa dizia não ter evidência de exploração dessas quatro falhas.

PrioridadeQuem opera ServiceNow fora do serviço hospedado precisa validar versão agora. Plataforma administrativa concentra contexto demais para depender de suposição.

Brasil · ANPD · Crianças e adolescentes26 AGO

A multa de R$ 153,7 milhões ao TikTok coloca proteção de menores no centro da LGPD brasileira.

A ANPD aplicou sanção à ByteDance por irregularidades no tratamento de dados de crianças e adolescentes no Brasil. A decisão exige exclusão de dados coletados de forma irregular e mudanças na forma como a plataforma lida com idade, privacidade e uso sem cadastro.

O caso é importante porque sai da discussão abstrata sobre “tempo de tela” e entra em obrigação concreta de tratamento de dados. Plataforma que atende menor de idade precisa conseguir demonstrar como identifica idade, limita coleta, configura privacidade e responde quando o uso acontece fora do fluxo esperado.

Para empresas digitaisSe o serviço pode ser usado por menor, idade e privacidade não podem ficar só no texto dos termos. Precisam aparecer no desenho do produto e na evidência de conformidade.

Caderno principal

Agentes de IA · Prompt injection · Resposta

Quando o agente lê uma página, o conteúdo da página também pode tentar dar ordens a ele.

Um pesquisador demonstrou que o Claude Code podia ser induzido, em testes, a executar código malicioso depois de receber uma tarefa simples de resumo de site. A taxa de sucesso relatada ficou entre 60% e 80% no cenário testado com Auto Mode.

O ponto útil para empresa não é discutir se a IA “virou hacker”. É preparar resposta para um agente que usa credenciais reais e ferramentas reais. Em um incidente desse tipo, conter identidade, revogar token, congelar histórico e reconstruir chamadas de ferramenta pode ser mais importante do que procurar primeiro um computador infectado.

Microsoft 365 · Sessão autenticada

Por US$ 320 ao mês, o criminoso já compra infraestrutura pronta para tentar roubar sessão depois do MFA.

O NovaCookies oferece páginas, domínios, hospedagem, redirecionamento e suporte para campanhas adversary in the middle. A meta é capturar a sessão autenticada em tempo real, não apenas a senha.

Para investigação, login bem sucedido não encerra a análise. Token, dispositivo, localização, cookie de sessão e regras criadas depois do acesso precisam entrar no mesmo quadro.

Aeroportos · Dados pessoais

Manchester Airports Group estima 8,7 milhões de clientes afetados por roubo de dados.

A maior parte dos atingidos teve apenas o endereço de e mail exposto, segundo a empresa. Outros registros podem incluir telefone, placa do veículo e CEP, dependendo do serviço utilizado.

Não houve impacto na segurança da aviação nem interrupção operacional. O risco mais imediato para o cliente é outra coisa: mensagem de phishing muito mais convincente usando contexto de viagem e serviços do aeroporto.

AWS · Chaves expostas

Mais de 9 mil pares de chaves AWS ativos foram encontrados acessíveis publicamente.

A Truffle Security relatou milhares de credenciais ainda válidas em locais públicos. Chave de nuvem esquecida em código, histórico ou arquivo compartilhado pode virar acesso direto sem precisar explorar vulnerabilidade.

Rotação ajuda depois do achado. Antes disso, segredo precisa ter dono, escopo curto e mecanismo que impeça publicação acidental.

WordPress · Autenticação · Execução de código

TranslatePress, miniOrange, WPMU DEV e GiveWP lembraram que plugin popular também concentra privilégio.

O TranslatePress corrigiu uma falha que, em condições específicas de idioma, podia expor o link de redefinição de senha de administrador. O miniOrange SAML entrou em varreduras por falhas de bypass de autenticação. O WPMU DEV Dashboard corrigiu um problema de SSO capaz de dar acesso administrativo em instalações vulneráveis. O GiveWP publicou correção para uma falha de severidade máxima que permitia execução de comandos sem autenticação.

Não existe uma única ação para todos esses casos. Existe uma rotina: saber o que está instalado, remover o que não é usado, acompanhar versão corrigida e proteger conta administrativa com mais de uma camada.

Energia · Infraestrutura crítica

Uma usina britânica parou após ataque ligado ao Irã, enquanto os EUA apertam regras para componentes do setor elétrico.

O ataque no Reino Unido interrompeu uma usina, sem risco informado para o sistema elétrico mais amplo. Dias depois, o governo dos EUA anunciou restrições a equipamentos estrangeiros considerados de risco para geração e gestão de energia.

As duas histórias têm escalas diferentes, mas apontam para a mesma pergunta: quem controla o equipamento, o firmware e o caminho de atualização dentro de infraestrutura crítica?

Fake CAPTCHA · PowerShell

Uma tela falsa de “verifique que você é humano” está fazendo a própria vítima abrir o túnel para o atacante.

A campanha TerminalFix usa páginas comprometidas com aparência de Cloudflare para induzir a pessoa a copiar e executar um comando PowerShell. O resultado pode transformar a máquina Windows em ponto de pivô por túnel reverso.

Se uma página pede para abrir Executar, Terminal ou PowerShell para “validar” o navegador, o fluxo já saiu do CAPTCHA e entrou no endpoint.

Phishing · Evasão

Cada visita recebe uma página diferente. Assinatura estática começa a perder o alvo.

Uma campanha analisada pelo SANS usa polimorfismo no servidor para gerar páginas de roubo de credenciais diferentes a cada requisição. Hash, HTML fixo e assinatura de JavaScript passam a envelhecer muito rápido.

Detecção precisa olhar intenção, infraestrutura, comportamento de navegador e destino da autenticação, não só o arquivo que chegou primeiro.

Navegador · Extensões · Cripto

Dezenove extensões de Chrome e Edge foram encontradas com código para roubar carteira e drenar cripto.

As extensões foram publicadas ao longo de meses e compartilhavam padrões de código e operação. Extensão de navegador merece o mesmo cuidado de outro software com acesso a sessão e página autenticada.

Em empresa, permitir qualquer extensão porque “é só navegador” deixa um ponto cego justamente onde e mail, ERP e cloud estão abertos o dia inteiro.

Fraude · IA generativa

IA está ajudando golpistas a manter muitas histórias falsas ao mesmo tempo.

Uma operação de engenharia social desativada pela OpenAI usava ChatGPT em golpes que misturavam romance, investimento, jogo e falsa autoridade policial. O ganho aqui é escala e consistência de conversa.

Para quem recebe a abordagem, o sinal continua humano: urgência, intimidade acelerada, pedido de dinheiro e tentativa de tirar a conversa de um canal verificável.

Radar técnico

PaperCut

CVE 2026 82078 e CVE 2026 81578 foram usadas em ataques reais.

O fornecedor liberou uma segunda correção emergencial e recomenda instalar Release 2 mesmo para quem aplicou o primeiro patch. Application Server exposto à internet deve ser restringido imediatamente.

Gitea

CVE 2026 60004 segue explorada com milhares de instâncias acessíveis.

A falha permite execução de comandos com privilégios do serviço. Autorregistro padrão pode ajudar o atacante a criar o repositório necessário para chegar ao endpoint vulnerável.

NetScaler

CVE 2026 8452 entrou no KEV depois de exploração em ambiente real.

A falha já tinha correção. Quem usa ADC ou Gateway precisa confirmar versão, exposição e evidência de comprometimento, não apenas confiar no calendário de patch.

cPanel e WHM

CVE 2026 65643 podia levar um cliente de hospedagem até root.

O problema afetava domínio estacionado e addon domain. Servidores suportados receberam builds corrigidos e instalações com atualização automática diária devem confirmar que o patch realmente entrou.

Roteadores ZBT

Dois implantes de firmware davam execução remota como root sem autenticação.

SPEAKINGSTONE e DARKLANTERN foram associados às CVE 2026 74232 e 74233. Equipamento de borda com função escondida no firmware muda a discussão de patch para cadeia de fornecimento.

NVIDIA TensorRT

CVE 2026 24272 permite execução de código ao processar conteúdo ONNX malicioso.

A exploração exige interação do usuário, como abrir arquivo ou visitar conteúdo preparado. Ambientes que processam modelos recebidos de terceiros precisam tratar entrada como não confiável.

Foxit PDF Reader

CVE 2026 57254 pode chegar a execução de código por documento malicioso.

O cenário exige abrir arquivo ou página preparada. Leitor de PDF continua sendo superfície relevante porque documento chega por e mail, portal e sistema interno todos os dias.

Windows · NTLM

CVE 2026 50508 pode expor resposta NTLM a partir de conteúdo malicioso.

A severidade é menor, mas o tipo de dado interessa em redes onde NTLM ainda participa de autenticação e movimento lateral. Reduzir dependência do protocolo continua sendo trabalho válido.

Linux KVM

Falha no IOAPIC entra no radar de ambientes de virtualização.

A vulnerabilidade de use after free recebeu CVSS 8.2 e envolve elevação local de privilégio. O cenário exige acesso prévio ao sistema, então prioridade depende de exposição e modelo de ameaça.

Oracle

Nem todo ataque precisa de um patch faltando. Às vezes ele abusa do que o produto foi feito para fazer.

Uma análise destacou ataques que exploram comportamento e funcionalidade legítima. Patch continua essencial, mas configuração, privilégio e monitoramento precisam cobrir abuso de recurso permitido.

ClickFix

WordlistLoader entrega Amatera enquanto outra cadeia tenta capturar senha do Windows.

O usuário é induzido a executar comandos sob pretexto de correção ou validação. Bloqueio de script ajuda, mas educação precisa explicar por que site nenhum pede comando no terminal para continuar.

GiveWP

Falha de severidade máxima permite comando no servidor sem autenticação.

Sites que usam o plugin de doações precisam confirmar a versão corrigida e revisar sinais de alteração. Em WordPress, acesso administrativo e execução no servidor mudam o incidente de nível.

Plantão rápido

Hasbro

Empresa confirma exposição de informações pessoais de funcionários.

O ataque já havia causado interrupções. Agora a comunicação de vazamento mostra que recuperação operacional e impacto de dados podem aparecer em tempos diferentes.

Ransomware

Winona County pagou US$ 128,5 mil após o ataque de janeiro.

O pagamento foi feito com apoio da seguradora depois de negociação. O caso lembra que decisão sobre resgate envolve continuidade, jurídico, seguro e risco de nova extorsão.

Noruega

Campanha de DDoS afetou serviços do governo.

Disponibilidade continua sendo objetivo de ataque mesmo quando não existe invasão ou roubo de dados. Serviço público precisa de capacidade de absorção e alternativa operacional.

Marinha dos EUA

Militares e famílias foram orientados a reduzir exposição em redes sociais.

Rotina, endereço, ausência de casa e vínculo profissional podem ser reunidos por adversários sem quebrar nenhuma senha.

Defesa com IA

Mais de 100 empresas pedem esforço global para usar IA na defesa cibernética.

OpenAI, Anthropic, Google, Microsoft, AWS e outras organizações dizem que existe uma janela curta para fortalecer defesa antes que ataques com IA ganhem mais escala.

Meta · Adolescentes

Instagram e Facebook ampliam limites de proteção para contas de adolescentes.

O movimento acompanha pressão regulatória crescente sobre idade, privacidade, mensagens e exposição de menores em plataformas sociais.

Discord · Brasil

Ação do governo pede R$ 500 milhões e cobra medidas de proteção a menores.

O caso ainda passa pelo Judiciário. A leitura importante é regulatória: segurança de criança está saindo do discurso e entrando em exigência técnica e jurídica.

Uber · Família

Pais ganham acompanhamento mais próximo de corridas feitas por filhos adolescentes.

Recurso de segurança pode ajudar, mas vale combinar tecnologia com regra simples: destino, motorista e mudança de rota precisam ser conversados antes.

Cloud · Brasil

Alibaba anuncia dois data centers no país.

Mais capacidade local aumenta opções de arquitetura e IA, mas residência de dado não resolve sozinha identidade, configuração, criptografia ou responsabilidade compartilhada.

Minecraft · Malware

Sites falsos continuam usando SEO para levar jogadores ao Weedhack.

Página bem posicionada no Google não vira fonte oficial por causa do ranking. Download de mod e cliente alternativo continua sendo porta fácil para infostealer.

Akira · Alegação

Grupo afirma ter roubado 340 GB da WINTER Ingenieure.

A publicação cita documentos corporativos e dados de funcionários. Como a fonte é o próprio site de extorsão, volume e conteúdo devem ser tratados como alegação até confirmação independente.

Universidade · Alegação

Grupo Shadowbyt3$ afirma ter obtido documentos de candidatos da Nottingham Trent University.

O material divulgado pelo grupo inclui alegações sobre passaportes, endereços e histórico acadêmico. A nota entra com cautela porque a fonte primária é o próprio atacante.

Fechamento editorial

Segurança não termina no patch. Começa em saber o que fazer enquanto ele ainda não chegou.

Essa semana teve falha explorada antes da correção, servidor que continuou exposto depois do alerta, sessão Microsoft 365 vendida como serviço, chave AWS esquecida em lugar público, plugin WordPress com privilégio alto e empresa de saúde tentando manter a operação enquanto investiga um ataque. Não falta tecnologia. Falta reduzir o tempo entre descobrir e agir.

Minha leitura é simples: inventário bom, acesso curto, exposição conhecida e controle compensatório não são burocracia. São o que compra tempo quando o patch ainda está em teste, quando a investigação ainda não fechou ou quando a ameaça já está se movendo. O atacante ganhou velocidade. A defesa precisa ganhar decisão.

Revisar minha exposição Ler outras análises

Transparência editorial

De onde vieram as informações desta edição.

Notícias repetidas foram consolidadas por assunto. Alegações publicadas por grupos de ransomware foram mantidas como alegações e não tratadas como fato confirmado.

Análise por

Leandro Lucio

Especialista em Cyber Security e Digital Forensics, atua com gestão de vulnerabilidades, investigação digital, resposta a incidentes, pentest autorizado e proteção de ambientes online. Este resumo transforma notícias em pontos práticos de decisão para empresas, profissionais e famílias.

Cyber SecurityDigital ForensicsThreat IntelligenceProteção Digital

Conheça minha trajetória técnica →