Ivanti corrige zero-days; FBI liga roubo na Binance à Coreia
O patch do Ivanti fecha a cadeia de zero-days explorada e o FBI atribui o roubo bilionário da Binance à Coreia do Norte.
O resumo de 30 segundos
- Ivanti liberou a correção da cadeia de três zero-days no Connect Secure; quem instalou o patch anterior precisa atualizar de novo.
- Ubuntu e Red Hat seguem sem patch para a falha crítica do kernel Linux; exploit de root criado por IA já existe.
- O FBI atribuiu à Coreia do Norte o roubo bilionário na Binance e listou mais de 600 endereços usados na lavagem.
- Plugin do WordPress permite execução remota de código sem login, com prova de conceito pública e sem correção até agora.
- Ucrânia teve o sistema de alerta aéreo invadido, com avisos falsos de radiação; atribuição a hackers russos segue sem confirmação.
Ivanti lança correção da cadeia de zero-days do Connect Secure
O Ivanti liberou a correção completa para a cadeia de três zero-days no Connect Secure, a VPN corporativa de acesso remoto, explorada para invadir aparelhos totalmente corrigidos na época. As versões 25.1.1.3 e 22.8R2.6 fecham todas as falhas usadas nos ataques.
A correção anterior não basta: quem instalou 25.1.1.2 ou 22.8R2.5 precisa atualizar de novo. Segundo a Volexity, invasores roubaram credenciais, exfiltraram dados e adulteraram logs. Órgãos federais dos EUA têm prazos de 2 e 13 de novembro.
Para o time técnico
Três zero-days encadeados no Ivanti Connect Secure dão execução de código root sem autenticação: CVE-2026-104935, CVE-2026-111357 (ausência de autenticação em função crítica, escalação local, CVSS 8.8) e CVE-2026-118527 (identificadores previsíveis que permitem upload de arquivo controlado em local conhecido). As duas últimas entraram no KEV (lista da CISA de falhas já usadas em ataques) após exploração ativa, com prazos federais de 2 e 13 de novembro.
- CVE
- CVE-2026-104935, CVE-2026-111357, CVE-2026-118527
- Afetados
- Ivanti Connect Secure; corrigido nas versões 25.1.1.3 e 22.8R2.6
- Exploração
- ativa confirmada
- Correção
- Atualizar para 25.1.1.3 ou 22.8R2.6; 25.1.1.2 e 22.8R2.5 não cobrem a cadeia completa. Verificar comprometimento: roubo de credenciais, exfiltração de dados e adulteração de logs.
O que fica: Quando a primeira correção não cobre a cadeia inteira, só o reteste confirma que o risco fechou.
Fontes: CISA KEV 1, CISA KEV 2, The Hacker News, SecurityWeek
No radarAcompanhe este incidente ao vivo →Kernel Linux: Ubuntu e Red Hat seguem sem correção para falha 9.8
Uma falha crítica no kernel Linux continua sem correção nas distribuições Ubuntu e Red Hat, usadas em servidores corporativos. Ela permite que um invasor remoto, sem senha, execute comandos com controle total do servidor em máquinas com o recurso de rede Multipath TCP ativo.
Um modelo de IA da Anthropic escreveu exploit funcional que obteve root em testes; não há ataques conhecidos. Programas em Go 1.24 ou posterior ativam o Multipath TCP por padrão, o que amplia o alcance. Debian e outras distribuições já corrigiram.
Para o time técnico
CVE-2026-98432 é use-after-free por condição de corrida na pilha TCP IPv4, avaliada 9.8 pelo time de CVE do kernel. Requer apenas acesso à rede, sem credenciais nem interação do usuário; pode vazar memória do kernel, corromper memória ou causar denial of service. O exploit da Anthropic executou comandos como root contra servidor com listener MPTCP em cerca de 53 minutos e não foi publicado. A Red Hat avalia 5.9, considerando a corrida difícil e DoS como impacto mais provável.
- CVE
- CVE-2026-98432
- Afetados
- Kernel Linux desde a versão 4.4; corrigido em 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3
- Exploração
- não observada
- Correção
- Correção nos kernels estáveis desde 11 de outubro; Debian, Oracle Linux, Amazon Linux e SUSE liberaram para parte dos branches. Ubuntu e RHEL sem pacote em 29 de outubro. Mitigação possível: GODEBUG=multipathtcp=0 em programas Go.
O que fica: Falha em software base usado em milhões de servidores mostra por que o prazo de correção se mede em dias.
Fontes: @astuyve, @TheHackersNews, The Hacker News, @DarkWebInformer, @IntCyberDigest 1, @IntCyberDigest 2
No radarAcompanhe este incidente ao vivo →FBI atribui roubo de US$ 6 bilhões na Binance à Coreia do Norte
O FBI atribuiu oficialmente à Coreia do Norte o roubo de cerca de US$ 6 bilhões em criptomoedas da Binance, o maior da história, cometido pelo grupo TraderTraitor. O bureau divulgou mais de 600 endereços de criptomoeda usados para lavar o dinheiro roubado.
A entrada teria sido um laptop de engenheiro de DevOps comprometido. A Binance reabriu saques e afirma ter reposto cerca de 95% dos ativos. Segundo a TRM Labs, cerca de US$ 2,4 bilhões em ETH e BTC nenhum emissor pode congelar.
Para o time técnico
O FBI liga o saque de cerca de US$ 6,43 bilhões das carteiras quentes da Binance, em cerca de 20 minutos, ao grupo TraderTraitor (Coreia do Norte) e publica mais de 600 endereços de lavagem como IoCs. A TRM Labs estima cerca de US$ 2,4 bilhões em ETH e BTC ainda com os atacantes, fora do alcance de emissores. O número da Binance é de US$ 6,36 bilhões.
- Afetados
- Carteiras quentes da Binance; entrada alegada via laptop de engenheiro de DevOps comprometido
- Exploração
- não informado nas fontes
- Correção
- Sem correção aplicável; cruzar os endereços do FBI com carteiras e transações, usar apenas canais oficiais da Binance e revisar como estações de engenharia acessam sistemas de assinatura de transações.
O que fica: Uma máquina de engenharia comprometida destravou bilhões; acesso privilegiado raramente recebe o mesmo rigor dos sistemas expostos.
Fontes: @vxunderground, @DarkWebInformer, @WatcherGuru, @CryptoMichNL, @mert, @pashov
No radarAcompanhe este incidente ao vivo →Plugin do WordPress permite execução de código sem login
Uma falha grave em plugin do WordPress permite que invasores assumam o servidor do site sem conta nem senha. A falha afeta o Project Manager, da weDevs, em todas as versões até a 4.1.1, e uma prova de conceito já circula publicamente.
Não há correção disponível até o momento, segundo a fonte. Um invasor pode roubar dados armazenados, desfigurar páginas ou usar o servidor para novos ataques. Quem usa o plugin deve desativá-lo ou restringir o acesso até sair atualização.
Para o time técnico
CVE-2026-116512: RCE sem autenticação via parâmetro 'id' no plugin Project Manager (weDevs). O valor sem sanitização é concatenado em string de regra de validação delimitada por pipe, e cada token é invocado como função PHP dinâmica sem allowlist. O WP_REST_Server::dispatch() executa validate_callback antes de permission_callback, então o gate Project_Manage_Capability nunca é atingido no caminho vulnerável.
- CVE
- CVE-2026-116512
- Afetados
- Plugins Project Manager, Task Management e Kanban Board & Time Tracker da weDevs, todas as versões até 4.1.1 (incluindo)
- Exploração
- PoC pública
- Correção
- não informado nas fontes; desativar ou restringir o plugin enquanto não há atualização
O que fica: Plugin esquecido num site exposto pode dar controle total do servidor; ninguém testa o que não sabe que existe.
Fontes: @ptdbugs
No radarAcompanhe este incidente ao vivo →Microsoft recusa relatório de falha no VS Code; Codex segue sem correção
A Microsoft recusou o relatório de falha no VS Code, classificando-a dentro do Workspace Trust, o modelo de confiança de ambientes do editor. É desdobramento da pesquisa EMBRACE, da Forever Security, que achou falhas nos navegadores embutidos de cinco ferramentas de IA.
Em testes, um arquivo HTML aberto no preview do Codex, Claude Desktop ou VS Code leu chaves SSH, arquivos .env e tokens npm fora do projeto. Cursor corrigiu em 1º de outubro; GitHub Copilot, na versão 1.1.29. Sem ataques relatados.
Para o time técnico
Pesquisa EMBRACE (Forever Security, publicada em 29/10): Arbitrary Local File Read via arquivo HTML local no preview embutido de Codex, Claude Desktop e VS Code; Prompt Injection levando a RCE no Cursor; Address Bar Spoofing no GitHub Copilot. São demonstrações, sem evidência de ataques. A OpenAI disse ao The Register que está ciente e trabalha na correção do Codex.
- Afetados
- Cursor (corrigido em 1º de outubro), GitHub Copilot (corrigido na 1.1.29), Codex e VS Code (sem correção na data), Claude Desktop (status não informado nas fontes)
- Exploração
- não observada
- Correção
- Atualizar Cursor e GitHub Copilot; tratar páginas e arquivos HTML abertos nesses navegadores embutidos como não confiáveis e manter segredos fora das máquinas de desenvolvimento.
Fontes: @WeizmanGal 1, r/netsec, @DailyDarkWeb, @WeizmanGal 2
No radarAcompanhe este incidente ao vivo →Prova de conceito de HTTP smuggling no Citrix NetScaler
Uma prova de conceito pública surgiu para falha no Citrix NetScaler ADC e NetScaler Gateway, equipamentos que ficam na fronteira da rede tratando tráfego web e acesso remoto. A falha faz o equipamento interpretar requisições HTTP de forma inconsistente entre sistemas.
Esse tipo de falha, o HTTP smuggling (contrabando de requisições), pode desviar pedidos entre cliente e servidor, com risco de acesso indevido a dados e sessões. Há correção disponível; com a PoC em público, quem não atualizou fica mais exposto.
Para o time técnico
CVE-2026-88773: interpretação inconsistente de requisições HTTP (HTTP request smuggling) no Citrix NetScaler ADC e Gateway, com PoC pública divulgada. A falha permite que requisições sejam reclassificadas entre cliente e servidor de trás do equipamento.
- CVE
- CVE-2026-88773
- Afetados
- ADC: antes de 14.1-73.37, antes de 13.1-64.23, antes de 14.1-73.37 FIPS e antes de 13.1-37.279/NDcPP; Gateway: antes de 14.1-73.37 FIPS e antes de 13.1-64.23
- Exploração
- PoC pública
- Correção
- Atualizar o ADC para 14.1-73.37, 13.1-64.23 ou builds posteriores, incluindo FIPS e NDcPP, e o Gateway conforme a lista da Citrix.
Fontes: @ptdbugs
No radarAcompanhe este incidente ao vivo →PoC de falha que dá root no macOS; Apple já corrigiu
Uma prova de conceito foi divulgada para uma falha do macOS que permite a um aplicativo obter privilégios de root, o acesso mais alto do sistema. A Apple já corrigiu o problema com validação aprimorada de caminhos nas versões atuais do sistema operacional.
Com a falha, um aplicativo malicioso instalado num Mac obtém controle total da máquina, com acesso a qualquer dado e configuração. Empresas com Macs desatualizados ficam expostas caso um usuário instale software comprometido. A correção exige atualizar o sistema.
Para o time técnico
CVE-2026-112487: falha de tratamento de caminho (path handling) no macOS permite que um app ganhe privilégios de root. Corrigida com validação aprimorada. PoC divulgada publicamente.
- CVE
- CVE-2026-112487
- Afetados
- macOS (versões específicas afetadas não informadas nas fontes)
- Exploração
- PoC pública
- Correção
- macOS Golden Gate 27.2, macOS Sequoia 15.8.2 e macOS Tahoe 26.7.2
Fontes: @ptdbugs
No radarAcompanhe este incidente ao vivo →Sistema de alerta aéreo da Ucrânia envia avisos falsos de radiação
O sistema nacional de alerta de ataques aéreos da Ucrânia foi invadido e enviou avisos falsos de radiação, ameaça química e combates a celulares em várias regiões. Sirenes e alto-falantes foram acionados nas ruas de Kyiv. A força aérea negou risco de radiação.
Os avisos falsos promoviam um canal de Telegram, usando a infraestrutura de crise como propaganda. Relatos atribuem o ataque a hackers russos, sem confirmação oficial. O aplicativo foi desativado. Um canal de emergência comprometido espalha pânico e reduz a confiança em avisos oficiais.
Para o time técnico
Comprometimento do sistema ucraniano de alerta de ataques aéreos disparou notificações falsas (radiação, ameaça química, combates) em várias regiões, acionou sirenes e alto-falantes em Kyiv e promoveu um canal de Telegram. Vetor inicial e autoria não confirmados; relatos apontam hackers russos. O aplicativo foi desativado após o ataque.
- Afetados
- Sistema nacional de alerta aéreo da Ucrânia (aplicativo e alto-falantes)
- Exploração
- não informado nas fontes
- Correção
- Aplicativo desativado; revisar credenciais e acessos antes de reativar e orientar a população a ignorar links recebidos em alertas, seguindo apenas canais oficiais.
O que fica: Autenticação e verificação de integridade precisam estar em cada disparo de um sistema crítico, do início ao fim.
Fontes: @WarMonitor3, @reshetz, @TreyYingst 1, @FaytuksNetwork, @RWApodcast, @TreyYingst 2
No radarAcompanhe este incidente ao vivo →Ator alega invasão a hospital chileno e vende dados de pacientes
Um criminoso alega ter invadido o Hospital San Juan de Dios, em San Fernando (Chile), e oferta o acesso em fórum do underground: acesso root ao servidor, credenciais do portal administrativo e um dump de 96 GB em 39 bancos, segundo o DailyDarkWeb.
O material incluiria 207 mil arquivos de pacientes, com nomes, RUT (documento de identidade chileno) e datas de nascimento. O hospital não confirmou. Se verdadeiro, expõe pacientes a roubo de identidade, fraude médica e extorsão; o acesso administrativo ativo poderia parar sistemas.
Para o time técnico
Alegação não verificada de threat actor em fórum underground: venda de acesso root, credenciais do portal administrativo e dump de 96 GB em 39 bancos do Hospital San Juan de Dios (San Fernando, Chile). Incluiria cerca de 207 mil arquivos (47 GB) de pacientes com nomes, RUT, datas de nascimento, registros clínicos e diagnósticos, além de 374 e-mails de funcionários.
- Afetados
- Hospital San Juan de Dios, San Fernando (Chile); alegação não confirmada pela instituição
- Exploração
- não informado nas fontes
- Correção
- Sem correção aplicável; acompanhar a confirmação oficial do hospital e, se confirmada, investigar, notificar os afetados e monitorar o uso indevido dos dados.
Fontes: @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →Ator alega vazamento de 6,58 milhões de logs da Nodeflux
Um ator publicou em fórum subterrâneo um download gratuito que alega conter 6,58 milhões de registros internos da Nodeflux, empresa de visão computacional e reconhecimento facial de Jacarta. O conjunto incluiria chaves de acesso, e-mails, IDs de conta e dados de usuários.
A empresa não confirmou o incidente. Chaves de acesso eventualmente válidas podem abrir sistemas da Nodeflux e implantações de clientes a novas invasões, na análise do DailyDarkWeb. Toda chave exposta deve ser tratada como comprometida e trocada.
Para o time técnico
Post em fórum underground oferece download gratuito (1,7 GB em JSON Lines não comprimido, 136 MB comprimido) com cerca de 6,58 milhões de registros de eventos internos da Nodeflux: access keys e secret keys, e-mails, IDs de conta, detalhes de login, endereços IP, métodos de pagamento e timestamps. Data de violação citada: 21 de outubro de 2026. Alegação não verificada.
- Afetados
- Nodeflux, empresa de reconhecimento facial de Jacarta (Indonésia); alegação não confirmada
- Exploração
- não informado nas fontes
- Correção
- Sem correção aplicável; rotacionar toda chave exposta e revisar logs de acesso a sistemas da Nodeflux e a implantações que usem suas credenciais.
Fontes: @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →Pra fechar
As falhas do dia cobriram todas as camadas: kernel do servidor, VPN de perímetro, plugin de site e ferramenta do desenvolvedor. Em vários casos a correção já existe e o que decide o resultado é o tempo entre o patch e a instalação. E a primeira correção nem sempre fecha tudo, como mostrou o Ivanti.
Quantas dessas camadas sua empresa testou nos últimos 30 dias?
A maioria dessas falhas só aparece quando alguém procura por elas.
Solicitar conversa