Binance perde US$ 6,3 bi; falha CVSS 10 do GitLab explorada
Roubo recorde de US$ 6,3 bilhões na Binance e cinco falhas críticas confirmadas em exploração ativa.
O resumo de 30 segundos
- Binance sofre o maior roubo de criptomoedas da história: US$ 6,36 bilhões desviados; US$ 3 bilhões congelados, US$ 3,3 sem rastro.
- Extensão do Claude Code foi adulterada no marketplace do Cursor e instalava acesso remoto oculto; até 5 mil atingidos, atualização liberada.
- PHP2Shell evolui para intrusões reais: pesquisador vê ataques ao vivo com indício de ransomware; PHP 8.1 e anteriores seguem sem correção.
- CISA (agência de cibersegurança dos EUA) confirma GitLab CVSS 10 explorado: código remoto sem login, prazo federal em 1º de novembro.
- Falha 9,8 dá controle total de servidores Linux: exploit criado por IA funciona; Ubuntu e Red Hat seguem sem correção.
Binance perde US$ 6,36 bilhões no maior roubo de criptomoedas da história
Hackers desviaram US$ 6,36 bilhões da Binance em 29 de outubro, no maior roubo de criptomoedas já registrado. Segundo a TRM Labs, o grupo norte-coreano TraderTraitor é o autor; cerca de US$ 3 bilhões já foram congelados.
US$ 3,3 bilhões seguem sem paradeiro. A Binance diz que fundos de usuários estão seguros, que o prejuízo é da exchange e que cobrirá as perdas. O Bitcoin caiu cerca de 2%, com mais de US$ 1,5 bilhão em liquidações forçadas.
Para o time técnico
Desvio de cerca de US$ 6,36 bilhões da Binance a partir de 29 de outubro, com movimentação por 10 blockchains, atribuído pela TRM Labs ao TraderTraitor. Emissores como Tether e Circle congelaram parte dos ativos. Vetor inicial não informado nas fontes.
- Afetados
- Binance; recursos da própria exchange, não de clientes
- Exploração
- ativa confirmada
- Correção
- Saques suspensos em várias redes; congelamento de ativos com emissores; perdas cobertas pelo fundo SAFU, segundo a Binance
O que fica: Em ativos de alto valor, o prejuízo final depende da velocidade de detecção e do congelamento.
Fontes: @vxunderground, @WatcherGuru, @mert, @pashov
No radarAcompanhe este incidente ao vivo →Extensão do Claude Code com backdoor atinge até 5 mil usuários do Cursor
Uma versão adulterada da extensão Claude Code foi distribuída pelo marketplace do Cursor IDE e instalava um acesso remoto oculto nas máquinas. A Cursor diz que no máximo 5 mil usuários baixaram a versão 2.1.313, não desenvolvida pela Anthropic.
Quem instalou pode ter acesso remoto ativo na estação de desenvolvimento, expondo código, credenciais e repositórios. A Cursor derrubou o marketplace, neutralizou o malware com os provedores e pede atualização para a versão 2.1.314.
Para o time técnico
A versão 2.1.313 da extensão Claude Code para VS Code, distribuída no marketplace do Cursor, continha loader malicioso que instalava backdoor SSH persistente, adicionava chave SSH do atacante e enviava dados do host, segundo The Hacker News. A Cursor removeu o pacote e reativou o marketplace.
- Afetados
- Extensão Claude Code para VS Code versão 2.1.313, via marketplace do Cursor; até 5.000 usuários
- Exploração
- ativa confirmada
- Correção
- Atualizar para Claude Code para VS Code 2.1.314; localizar o pacote malicioso pelo guia da Cursor e revisar chaves SSH
O que fica: Pacote instalado por desenvolvedor é vetor de invasão; inventário de extensões precisa existir antes do incidente.
Fontes: @cursor_ai, @mattjay, @TheHackersNews
No radarAcompanhe este incidente ao vivo →PHP2Shell: invasões ao vivo apontam para ransomware, diz pesquisador
Um pesquisador observa invasões em tempo real contra organizações reais usando as falhas PHP2Shell do PHP, com avaliação de intenção de implantar ransomware. A CISA (agência de cibersegurança do governo dos EUA) e a Palo Alto Networks já haviam confirmado exploração ativa.
O risco já alcança a operação inteira: empresas relatam cerca de seis explorações, com 25 servidores sob controle total em quatro países e avanço até o Active Directory, a central de login das redes corporativas.
Para o time técnico
CVE-2026-109618 e CVE-2026-109619 são use-after-free no PHP que permitem RCE sem autenticação em configurações que servem requisições web: PHP-FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed. Pesquisador relata intrusões ao vivo com avaliação de ransomware; três servidores em ambiente ligado ao governo dos EUA e movimento lateral até o Active Directory. Cadeia usa também CVE-2026-46300 do kernel Linux, já no KEV.
- CVE
- CVE-2026-109618, CVE-2026-109619, CVE-2026-46300
- Afetados
- PHP 5.4 a 8.5.11 em todos os branches que servem web; 8.1 e anteriores sem correção do projeto
- Exploração
- ativa confirmada
- Correção
- PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, com reinício dos serviços; aplicar também a correção do kernel (CVE-2026-46300) e verificar comprometimento
O que fica: Patch aplicado só conta depois de reiniciar o serviço e confirmar a versão em execução.
No radarAcompanhe este incidente ao vivo →Brotli ganha vetor WordPress com exploit público no xmlrpc.php
A falha do Brotli ganhou vetor novo no WordPress: pesquisador publicou exploit que ataca sites via /xmlrpc.php. A CISA já tinha confirmado exploração ativa da falha, com prazo federal de correção em 10 de novembro.
A falha está embutida em produtos usados em toda parte: Node.js, Bun, pacotes Python.NET, Visual Studio, PowerShell e firewalls Palo Alto. Quem processa dados comprimidos de fontes externas corre risco de execução de código. Processos em execução mantêm o código vulnerável até reiniciar.
Para o time técnico
CVE-2026-111497 é out-of-bounds write no decodificador Brotli do Google (CVSS 9.2), explorável sem autenticação com dados comprimidos maliciosos. Novo vetor via /xmlrpc.php do WordPress com exploit público. Afeta também Envoy e Istio configurados para descomprimir Brotli.
- CVE
- CVE-2026-111497
- Afetados
- Brotli 1.0.3 a 1.2.0; Node.js 22.x/24.x/26.x anteriores às correções; linhas EOL 20.x, 23.x e 25.x sem correção; Bun antes de 1.4.4; .NET, Visual Studio e PowerShell antes das atualizações de 25 de outubro
- Exploração
- ativa confirmada
- Correção
- Node.js 22.23.4, 24.22.1 ou 26.12.1; Bun 1.4.4; Brotli/brotlicffi 1.2.1; atualizações Microsoft de 25 de outubro; reiniciar serviços, reconstruir contêineres e, até a correção da Palo Alto prevista para 30 de outubro, desativar inspeção de Brotli
Fontes: Microsoft, The Hacker News, @BleepinComputer
No radarAcompanhe este incidente ao vivo →CISA confirma exploração ativa de falha CVSS 10 no GitLab
A CISA confirmou exploração ativa da CVE-2026-97229 no GitLab e exige correção de órgãos federais até 1º de novembro. A falha, de gravidade máxima (CVSS 10.0), permite executar código no servidor GitLab sem nenhum login, via expressão maliciosa em configuração de CI/CD.
Um ataque foi tentado contra o GitLab do projeto Alpine Linux, sem prova de sucesso. O caso expõe um ponto cego: o Alpine já tinha atualizado o GitLab, mas o Ruby seguiu sem correção e a falha continuava explorável; o servidor foi reconstruído.
Para o time técnico
CVE-2026-97229 é integer overflow no compilador de regex do CI/CD do GitLab, na engine Onigmo do Ruby, permitindo RCE não autenticado via regex em configuração de CI/CD. Adicionada ao KEV em 29 de outubro de 2026, com prazo federal em 1º de novembro. Segundo a CISA, outras aplicações Ruby com a mesma engine podem ser afetadas.
- CVE
- CVE-2026-97229
- Afetados
- GitLab CE/EE auto-hospedado não corrigido; correção liberada em 12 de outubro nas versões 19.4.2, 19.3.5 e 19.2.8
- Exploração
- ativa confirmada
- Correção
- Atualizar GitLab para 19.4.2, 19.3.5 ou 19.2.8 e também o Ruby; revisar logs e configurações de CI/CD
O que fica: Atualizar a aplicação sem atualizar a dependência por baixo deixa a falha explorável.
Fontes: CISA KEV, The Hacker News, @TheHackersNews, @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →XBOW relata falha crítica em aplicação web da comissão eleitoral dos EUA
A empresa de segurança XBOW afirma ter encontrado uma falha crítica de execução remota de código em aplicação web pública da U.S. Election Assistance Commission, comissão federal americana de administração eleitoral. Segundo a XBOW, era uma calculadora de recursos e logística.
A falha não exige login, segundo a XBOW, mas a comissão não confirmou o caso. Não há CVE, correção ou sinais de exploração nas fontes. A aplicação não tem relação com urnas eletrônicas ou registro de eleitores.
Para o time técnico
XBOW reporta RCE não autenticado de severidade crítica em aplicação web pública da EAC, descrita como calculadora de recursos e logística. Sem CVE, patch ou IoCs divulgados. A EAC não confirmou o caso nas fontes.
- Afetados
- Aplicação de recursos e logística da EAC; detalhes técnicos não divulgados
- Exploração
- não informado nas fontes
- Correção
- não informado nas fontes
Kernel Linux: exploit de root remoto criado por IA; Ubuntu e Red Hat sem patch
Uma falha 9,8 no kernel Linux permite executar comandos com poder total em servidores, sem senha e sem ação do usuário. A Anthropic demonstrou um exploit funcional criado por um modelo Claude ainda não lançado, não publicado e sem ataques conhecidos.
Ubuntu e Red Hat seguiam sem correção em 29 de outubro; Debian, Oracle, Amazon Linux e SUSE já corrigiram parte das versões. O ataque exige Multipath TCP ativo, recurso que soma várias conexões de rede; programas Go 1.24 ou mais novos usam por padrão.
Para o time técnico
CVE-2026-98432 é use-after-free por race condition na pilha TCP IPv4 do kernel, explorável antes da autenticação da aplicação, permitindo execução como root em hosts com listener MPTCP. Exploit do modelo da Anthropic executou comandos como root em cerca de 53 minutos de teste e não foi publicado. Red Hat classifica 5,9 por considerar a corrida difícil de vencer.
- CVE
- CVE-2026-98432
- Afetados
- Kernels Linux a partir da versão 4.4 com listener Multipath TCP; Ubuntu e RHEL sem pacote corrigido em 29 de outubro
- Exploração
- não observada
- Correção
- Kernels 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3; paliativo em Go: GODEBUG=multipathtcp=0
Fontes: The Hacker News, @DarkWebInformer, @IntCyberDigest
No radarAcompanhe este incidente ao vivo →Drupal confirma exploração ativa de falha crítica no Commerce Core
O Drupal confirmou que invasores exploram ativamente uma falha considerada altamente crítica no módulo Commerce Core, usado por lojas com carrinho de compras. A falha permite contornar controles de acesso e pode causar perdas financeiras para lojistas.
A dimensão real ainda é incerta: o Drupal não divulgou detalhes nem a escala dos ataques. Lojas que usam o Commerce Core em versões de 0.0.0 a 2.41 ou de 3.0.0 a 3.3.13 devem acompanhar os avisos oficiais e corrigir assim que possível.
Para o time técnico
CVE-2026-118539 é caso de missing authorization no Drupal Commerce Core, com bypass de controle de acesso confirmado em exploração ativa pelo próprio Drupal. CVSS não atribuído; detalhes técnicos e escala dos ataques não divulgados.
- CVE
- CVE-2026-118539
- Afetados
- Drupal Commerce Core 0.0.0 a 2.41 e 3.0.0 a 3.3.13
- Exploração
- ativa confirmada
- Correção
- não informado nas fontes
Fontes: @TheHackersNews, The Hacker News
No radarAcompanhe este incidente ao vivo →Navegadores embutidos de assistentes de IA têm falhas; Codex e VS Code sem correção
O pesquisador Gal Weizman encontrou falhas nos navegadores embutidos de Cursor, GitHub Copilot, Codex, VS Code e Claude Desktop, divulgadas sob o nome EMBRACE. Uma página hostil aberta nesses navegadores pode executar código no computador, ler arquivos locais ou falsificar o endereço exibido.
Codex e VS Code estavam sem correção na publicação, com usuários expostos, segundo o blog. Código-fonte, credenciais e documentos locais, dentro e fora da pasta do projeto, ficam ao alcance de uma página maliciosa, com os privilégios do usuário.
Para o time técnico
EMBRACE agrupa falhas nos navegadores embutidos de cinco assistentes desktop: prompt injection levando a RCE no host (Cursor), address bar spoofing (GitHub Copilot) e leitura arbitrária de arquivos locais (Codex, Claude Desktop, VS Code). Codex e VS Code sem patch na data da publicação.
- Afetados
- Navegadores embutidos de Cursor, GitHub Copilot, Codex, VS Code e Claude Desktop; versões não informadas nas fontes
- Exploração
- não informado nas fontes
- Correção
- Atualizar os assistentes conforme os fabricantes liberem; não abrir páginas ou arquivos não confiáveis no navegador embutido e revisar aprovações de comando
O que fica: Ferramenta nova no desktop do desenvolvedor é superfície de ataque que quase ninguém testa.
Fontes: @WeizmanGal, r/netsec
No radarAcompanhe este incidente ao vivo →VMware ESX: falha de log explorada tem correção e prazo em 11 de novembro
A correção da falha de log do VMware ESX está no VMSA-2026-0006, com prazo federal em 11 de novembro. A CISA adicionou a CVE-2026-41709 ao KEV (lista da CISA de falhas já usadas em ataques).
A falha age depois da invasão: segundo o CrowdStrike, o grupo ligado à China Warp Panda a usou como zero-day. Quem já tem conta de administrador executa operações sem registro em log, removendo a trilha de auditoria e atrasando a detecção.
Para o time técnico
CVE-2026-41709 é insufficient logging no VMware ESX: ator com privilégio admin executa operações sem log. CrowdStrike atribui o uso como zero-day ao ator de nexo chinês Warp Panda, contra o setor jurídico dos EUA. KEV em 28 de outubro, prazo federal 11 de novembro, uso em ransomware listado como desconhecido.
- CVE
- CVE-2026-41709
- Afetados
- VMware ESX; versões afetadas não informadas nas fontes
- Exploração
- ativa confirmada
- Correção
- VMSA-2026-0006: builds ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 ou ESXi80U3j-25429389 ou mais novas; revisar detentores de admin e comparar atividade do host com logs do vCenter e de rede
Fontes: CISA KEV, The Hacker News, SecurityWeek, @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →Pra fechar
O dia repetiu um padrão claro: falhas críticas com correção disponível sendo exploradas agora no GitLab, no Drupal e no Brotli, e avaliação de ransomware no PHP. No caso do Alpine, o patch do GitLab não bastou porque o Ruby seguia sem correção. Achar cedo, corrigir tudo e conferir depois é o que evita o incidente.
Se o patch foi aplicado, como sabemos que a falha sumiu de verdade?
A maioria das falhas de hoje já tem correção; o risco está no que ninguém verificou depois.
Solicitar conversa