VKSECURITY ciberseguranca
35 artigos
PHP2Shell: duas falhas no coração do PHP forçam atualização de emergência e tiram sites do ar pelo mundo
O projeto PHP publicou nesta quarta-feira correções de emergência para duas falhas de nota 9,2 que permitem a qualquer visitante, sem login, executar código no servidor. Detalhes vazaram antes da hora, ataques já apareceram e governos e empresas tiraram sites do ar até atualizar.
LER ARTIGO
58 mil câmeras de São Paulo a uma senha de distância: o vazamento do Smart Sampa e a falta que faz a segunda etapa de login
Logins e senhas do Smart Sampa, o sistema de videomonitoramento da Prefeitura de São Paulo, ficaram cerca de 11 meses num repositório público na internet. Com eles, a reportagem do UOL entrou na plataforma sem passar por autenticação em duas etapas e viu câmeras de ruas, creches e hospitais. A prefeitura culpa um servidor e nega falha; a segunda etapa de login só veio depois.
LER ARTIGO
Um hacker, um exército de agentes de IA e US$ 5 mil: mais de 100 sites de empresas invadidos, da John Deere à SharkNinja
Reportagem exclusiva da Reuters mostra como um operador de língua chinesa deixou agentes de IA trabalhando sozinhos, por horas, contra mais de 1.200 sites de comércio eletrônico. Mais de 100 empresas tiveram sites invadidos, a cerca de US$ 50 por invasão. Deere, SharkNinja e Cummins estão entre elas.
LER ARTIGO
A ferramenta do help desk virou porta de espionagem: falha inédita no BeyondTrust era explorada desde agosto
A BeyondTrust confirmou em 15 de outubro uma falha de nota 9,3 no Remote Support, a ferramenta que o help desk usa para entrar nos computadores da empresa. Segundo o Google, um grupo de espionagem ligado à China a explorava desde o fim de agosto para instalar porta dos fundos, abrir o cofre de senhas e apagar rastros.
LER ARTIGO
Credencial roubada de um fornecedor de backup abriu centenas de ambientes Microsoft 365: o ataque à ConnectWise e o risco do TI terceirizado
Invasores usaram uma credencial do ConnectWise Cloud Backup, serviço de backup de Microsoft 365 usado por provedores de TI, para entrar nos ambientes dos clientes como se fossem o próprio aplicativo — sem senha e sem MFA. A Microsoft chamou o caso de ataque ativo à cadeia de suprimentos; a ConnectWise desligou o backup.
LER ARTIGO
Suspeito de integrar o Qilin é preso na Alemanha, e a polícia inclui na investigação o ataque que contribuiu para uma morte em Londres
Um russo de 28 anos apontado como integrante central do grupo de ransomware Qilin, preso no Japão em maio e entregue à Alemanha, agora também é investigado pelo ataque de 2024 à Synnovis, laboratório que atendia hospitais de Londres. Um paciente morreu em parte pela demora num exame de sangue, e a polícia britânica avalia abrir o que seria o primeiro caso de homicídio ligado a um ciberataque.
LER ARTIGO
nginx corrige cinco falhas de uma vez — uma delas está no código desde 2005 e pode derrubar ou dominar o servidor
O nginx, software que fica na porta de entrada de muitos sites e sistemas, ganhou em 14 de outubro versões que corrigem cinco vulnerabilidades. A mais antiga existe desde 2005 e, em certas configurações, permite a qualquer pessoa na internet travar o servidor — ou, no pior caso, executar código nele.
LER ARTIGO
Site falso de VPN pedia servidor, usuário e senha — e depois entregava o instalador verdadeiro da WatchGuard
A Huntress descreveu um golpe que não instala vírus nenhum: um site que imitava a página de download do cliente de VPN da WatchGuard, encontrado por um administrador numa busca no Bing, pedia o endereço do servidor, o usuário e a senha antes de liberar o instalador legítimo, com assinatura válida. O antivírus não tinha o que detectar.
LER ARTIGO
Microsoft bate recorde com mais de 1.400 falhas corrigidas em um mês — e uma delas, já explorada, faz o Windows esquecer de avisar
O pacote de outubro da Microsoft corrigiu mais de 1.400 vulnerabilidades, o maior volume da história da empresa. Só uma estava sendo explorada antes da correção: uma falha no Shell do Windows que dribla a marca que acompanha arquivos baixados da internet. A empresa também testou uma nova forma de agrupar as correções para ajudar a priorizar.
LER ARTIGO
Ransomware entra pela VPN sem senha: falha da Palo Alto corrigida em maio ainda é usada por Qilin e Settra
A ReliaQuest confirma que os grupos de ransomware Qilin e Settra estão abrindo sessões de VPN sem credencial em firewalls da Palo Alto Networks por meio da CVE-2026-0257, corrigida em maio. Como o acesso nasce na VPN da própria empresa, ele se parece com trabalho remoto comum — e quem corrigiu depois de maio pode ter uma sessão invasora ainda aberta.
LER ARTIGO
Hackers aquecem os freezers de centenas de supermercados na França a 50 °C: toneladas de comida perdidas e incêndios
Na madrugada de 12 de outubro, invasores assumiram remotamente os sistemas de refrigeração de centenas de supermercados franceses, desligaram o frio, elevaram a temperatura a 50 °C e mudaram o ciclo de degelo para que os alarmes não disparassem. A promotoria de Paris abriu investigação e a agência nacional de cibersegurança foi acionada. É o ataque a 'coisas conectadas' que o varejo temia.
LER ARTIGO
Três falhas inéditas na VPN Ivanti Connect Secure dão controle total do equipamento — mesmo com tudo atualizado
A Volexity flagrou, na primeira semana de outubro, um atacante encadeando três falhas desconhecidas em um equipamento Ivanti Connect Secure totalmente atualizado: entrou sem senha, executou código e virou administrador do sistema. Depois, foi atrás das credenciais do Active Directory. A Ivanti corrigiu duas das três falhas em 13 de outubro; a terceira ainda espera.
LER ARTIGO
GhostAction volta ao GitHub: 'auditoria de segurança' falsa vasculha o histórico inteiro dos repositórios atrás de chaves de nuvem e de IA
Em 8 de outubro, a campanha GhostAction usou contas comprometidas de dois mantenedores conhecidos para empurrar um arquivo chamado security-audit.yml a centenas de repositórios. O que ele faz é o oposto do nome: lê o histórico completo do projeto e envia para um servidor as chaves da AWS, de serviços de IA e de outros sistemas — inclusive as que alguém apagou achando que tinha resolvido.
LER ARTIGO
Japão em alerta: onda de invasões expõe dados de milhões, e bancos são orientados a não aceitar só a carteira de motorista
Lojas de conveniência, corretora, ferrovia, aluguel de carros e uma nuvem usada por 495 empresas e governos locais: em poucas semanas, o Japão acumulou ataques suficientes para o governo emitir um alerta nacional. Com imagens de documentos circulando, o regulador financeiro pediu que bancos aceitem só identidades com chip.
LER ARTIGO
Falha nota 10 no acesso remoto da SonicWall passa a ser explorada dois dias depois da correção
A SonicWall corrigiu em 6 de outubro uma falha de gravidade máxima no SMA1000, o gateway que dá acesso remoto a funcionários e parceiros de muitas empresas. Dois dias depois, armadilhas montadas por pesquisadores já registravam tentativas de exploração — que usam o próprio equipamento para falar com um banco de dados interno protegido por senha padrão.
LER ARTIGO
Chave do VirusTotal à venda por US$ 350: o que um comprador enxergaria dos arquivos que a sua empresa já mandou analisar
Um anúncio em fórum criminoso, flagrado em 7 de outubro, oferece uma chave de API 'Enterprise' do VirusTotal por US$ 350. A venda não foi confirmada e não indica invasão ao serviço do Google — mas lembra um detalhe que muita empresa esquece: o conteúdo dos arquivos enviados ao VirusTotal pode ser acessado por clientes pagantes.
LER ARTIGO
Bancos da Coreia do Sul invadidos com ajuda de IA: CrowdStrike acha o 'diário' do atacante nas sessões do Claude Code
O presidente sul-coreano disse haver sinais de inteligência artificial nos ataques que expuseram dados de clientes de ao menos nove bancos. A CrowdStrike encontrou as ferramentas: um agente de invasão chinês, o DeepSeek e o Claude Code — e os registros das sessões, deixados abertos pelo próprio atacante.
LER ARTIGO
Jira e Confluence: falha de nota 9,3 deixa ler arquivos do servidor sem senha — e os ataques começaram duas horas depois de os detalhes virem a público
A Atlassian publicou em 5 de outubro um alerta crítico para oito produtos instalados no próprio servidor do cliente, entre eles Jira, Confluence e Bitbucket: sem login, um invasor consegue ler arquivos da pasta da aplicação. Um dia depois, pesquisadores mostraram como transformar isso em conta de administrador — e, em duas horas, já havia tentativas de exploração.
LER ARTIGO
Tocantins tira do ar o sistema que paga as contas do estado após tentativas de invasão — uma delas chegou a lançar um pagamento, que o banco barrou
A Secretaria da Fazenda do Tocantins suspendeu o Siafe-TO, sistema por onde passam os pagamentos do estado e de órgãos como TJ, TCE, MP e Assembleia, depois de detectar tentativas de ataque em 2 de outubro. Uma delas gerou uma operação financeira que o banco não autorizou. O governo fala em prejuízo zero e prevê a volta do sistema até quinta-feira.
LER ARTIGO
Falha no Exchange deixa um funcionário ler a caixa de e-mail dos colegas — e a correção para 2016 e 2019 só chega a quem pagou suporte estendido
A Microsoft publicou em 2 de outubro uma atualização extra para o Exchange Server: uma falha de nota 8,8 permite que qualquer usuário com login leia mensagens e anexos de outras caixas da mesma organização. O Exchange Online já foi corrigido; servidores próprios precisam atualizar — e as versões 2016 e 2019 só recebem o pacote no programa pago de suporte estendido.
LER ARTIGO
Suspeito do ShinyHunters é detido na Jordânia e estaria ajudando o FBI a localizar o resto do grupo
Segundo a Reuters, um membro do ShinyHunters conhecido como Rey foi detido na Jordânia em 29 de setembro e está cooperando com o FBI — o mesmo grupo que diz ter roubado dados de todos os funcionários da agência e que, semanas atrás, voltou a invadir sistemas de RH e folha pelo Oracle PeopleSoft.
LER ARTIGO
Ransomware Warlock ataca empresa de água e operadora de telecom em países de língua portuguesa e espanhola
A Symantec relata que o grupo por trás do ransomware Warlock atacou, nos últimos dois meses, uma empresa de água, uma operadora de telecomunicações, um órgão de governo regional e uma universidade em países de língua portuguesa e espanhola. A porta de entrada continua sendo o SharePoint desatualizado; a segurança é desligada por um driver assinado — em uma rede, 40 máquinas em duas horas.
LER ARTIGO
Servidores de e-mail Zimbra: invasores levam as chaves-mestras e continuam entrando mesmo depois da correção
A Microsoft rastreou ataques a servidores Zimbra expostos à internet por uma falha disparada com um simples e-mail. Em vez de senhas de caixas postais, os invasores levam as chaves centrais do servidor — que permitem gerar sessões de qualquer usuário sem senha. Quem só aplicou o patch pode continuar invadido.
LER ARTIGO
O vírus mora na pasta que o antivírus não olha: invasores usam as exclusões do Microsoft Defender para se esconder
Em vez de desligar o antivírus — o que dispara alarme —, invasores cadastram uma pasta ou uma extensão na lista de exclusões do Microsoft Defender e guardam o malware ali. Uma política do próprio Windows ainda esconde a exclusão até do administrador. A Huntress documentou a técnica em uso real.
LER ARTIGO
Polícia derruba o ransomware KillSec, recolhe 110 terabytes de dados roubados e descobre que o líder tem 16 anos
A Operação KillSwitch, liderada pela polícia de Hamburgo com Europol e Eurojust, tirou do ar o site de vazamentos do KillSec, assumiu cinco servidores e prendeu três suspeitos. O grupo é ligado a cerca de mil ataques desde 2024. O suposto administrador é um adolescente de 16 anos.
LER ARTIGO
Cisco confirma invasões pelo gerenciador de SD-WAN: uma letra codificada no endereço dá acesso de administrador sem senha
A Cisco publicou em 30 de setembro um aviso de nota 9,8 para o Catalyst SD-WAN Manager, o painel que controla a rede de filiais de muitas empresas: basta escrever uma letra do endereço de login em código para a verificação de senha deixar de valer. A exploração já estava em curso antes do aviso. Não há solução de contorno.
LER ARTIGO
Convite para mesa-redonda fechada era isca: grupo ligado ao serviço secreto russo mirou mais de 100 organizações
A Microsoft detalhou como o Star Blizzard, grupo atribuído ao FSB russo, ampliou suas campanhas em 2026: convites falsos para eventos reservados, avisos fiscais e comprovantes de pagamento enviados de sites legítimos invadidos. Basta uma interação da vítima para instalar um programa espião no Windows.
LER ARTIGO
Tribunal de Justiça de Mato Grosso fica uma semana fora do ar após invasão; logins e senhas foram acessados
O TJMT identificou um incidente de segurança em 20 de setembro, tirou o PJe e os demais sistemas do ar, suspendeu atendimento e prazos e acionou as polícias Federal e Civil. O tribunal confirmou que credenciais de rede — logins e senhas cifradas — foram acessadas. Os prazos processuais voltam a correr nesta quinta-feira.
LER ARTIGO
Citrix confirma duas falhas exploradas no NetScaler antes da correção; CISA manda verificar invasão e atualizar
A Citrix publicou em 27 de setembro um boletim com oito falhas no NetScaler ADC e Gateway — o equipamento que muitas empresas usam como porta de entrada de VPN e acesso remoto. Duas delas, de nota 9.5, já estavam sendo exploradas antes de existir correção. A CISA orienta: verifique se já foi invadido antes de aplicar a atualização.
LER ARTIGO
Botnet instala um agente de IA dentro dos servidores invadidos e recebe ordens pelo Telegram
Pesquisadores da ThreatDown descrevem o CARBONATO, uma rede de máquinas invadidas que instala um agente de inteligência artificial em cada servidor comprometido. O agente recebe tarefas pelo Telegram, procura chaves de API de serviços de IA antes de qualquer outra coisa e varre a rede a cada cinco minutos em busca de novas vítimas.
LER ARTIGO
App de TV pirata para Android transmite a tela do celular e rouba o PIN do banco
Pesquisadores da Group-IB descrevem o RemControl, um trojan bancário para Android distribuído em páginas falsas da Play Store como um aplicativo de TV por internet. Instalado, ele transmite a tela em tempo real, cobre o app do banco com uma tela falsa e captura até o padrão de desbloqueio. As telas falsas foram feitas com ajuda de IA.
LER ARTIGO
Sistema de RH e folha na mira: ataques ao Oracle PeopleSoft driblam o firewall trocando uma letra
O Google e a Mandiant descrevem uma nova onda de invasões ao Oracle PeopleSoft — o sistema que guarda cadastro de funcionários, folha e registros acadêmicos em grandes organizações. A falha foi corrigida em junho; o grupo voltou a explorá-la codificando uma única letra do endereço para passar pelo firewall de aplicação.
LER ARTIGO
Chave fixa no código: falha no SolarWinds Access Rights Manager permite execução remota sem senha
O SolarWinds corrigiu uma falha de nota 8.8 no Access Rights Manager, o software que controla quem tem acesso a quê dentro da rede. A causa é das mais antigas do manual: uma chave fixa escrita no próprio código. A correção está na versão 2026.2.1.
LER ARTIGO
Instalador falso de gerenciador de senhas trazia driver assinado pela Microsoft que desligava 145 antivírus
Páginas falsas hospedadas no GitHub imitavam o download oficial de um aplicativo de autenticação. O pacote instalava um ladrão de senhas e, junto, um driver de núcleo assinado pela Microsoft capaz de encerrar 145 produtos de segurança. A mesma estrutura se passava por pelo menos 40 empresas conhecidas.
LER ARTIGO
Teste técnico falso em processo seletivo infectou 30 mil computadores em mais de 100 países
Japão, Estados Unidos, Austrália e Alemanha publicaram um alerta conjunto sobre um grupo que se passa por recrutador, pede que o candidato rode um 'teste técnico' e instala malware na máquina dele. Foram 30 mil dispositivos infectados e o equivalente a US$ 10,7 milhões desviados — e o risco não para no candidato.
LER ARTIGO