PHP2Shell confirmado em ataque; GMO do Japão sofre invasão

PHP2Shell tem ataque confirmado e primeiro RCE validado documentado

As falhas do PHP2Shell já têm ataque confirmado. A Unit 42, equipe de pesquisa da Palo Alto Networks, diz que a exploração acontece na internet; um pesquisador publicou ainda a primeira invasão completa validada, com a análise executada por um agente de IA.

O PHP roda boa parte da web corporativa. A Unit 42 vê cerca de 22,6 milhões de instâncias expostas, e servidores sem as versões corrigidas são alvo direto. A empresa também retirou o vínculo de um caso de governo europeu com essa falha.

O que fica: Correção de software base pede velocidade: milhões de servidores ficam expostos nos primeiros dias.

Fontes: JPCERT/CC, @DailyDarkWeb, @0x4D31, @zerodayalpha, The Hacker News

PHP publica mitigação para nova falha crítica de execução remota

Uma nova falha crítica do PHP ganhou orientações de mitigação. Batizada de CVE-2026-115560, permite execução remota de código. O projeto PHP afirma que as condições de exploração são limitadas e que a maioria das implantações provavelmente não é afetada.

Fornecedores industriais que embutem PHP, como Siemens, Schneider Electric e ABB, confirmaram produtos afetados. Pesquisadores lembram que exploits mais potentes tendem a surgir com o tempo, e dias extras para corrigir são raros.

Fontes: @ImposeCost, @hakluke

FortiSIEM: Canadá confirma ataques e Fortinet nega exploração conhecida

O governo do Canadá relata ataques em andamento contra o FortiSIEM, ferramenta de monitoramento de segurança da Fortinet. A falha permite que invasores executem comandos sem senha. A Fortinet, por sua vez, ainda lista a falha como sem exploração conhecida.

A Horizon3 publicou um exploit funcional em 20 de outubro e há prova de conceito pública. Um SIEM guarda credenciais de boa parte da rede, e um equipamento assim comprometido amplia muito o alcance de um ataque.

Fontes: @DarkWebInformer, @IntCyberDigest

Sites maliciosos deixam AGENTS.md na pasta Downloads para enganar agentes de IA

Pesquisa documenta ataque real contra agentes de IA de programação. Sites maliciosos gravam um arquivo AGENTS.md, espécie de instrução que agentes de IA leem, na pasta Downloads do usuário. Se o agente roda nessa pasta, pode ler o arquivo e obedecer ao atacante.

A orientação é revisar a pasta Downloads por arquivos AGENTS.md desconhecidos antes de executar agentes. Desenvolvedores que rodam agentes em pastas de download seguem, sem saber, instruções de terceiros dentro da máquina corporativa.

O que fica: Agentes de IA seguem instruções onde quer que as encontrem; limite o diretório de trabalho deles.

Fontes: @WeizmanGal

Correção do Brotli precisou ser refeita; WAF ganha regras emergenciais

A Microsoft refez a correção emergencial do .NET para a falha do Brotli, componente que descomprime dados na web, porque duas correções de 13 de outubro ficaram incompletas. Dados maliciosos comprimidos podem corromper a memória de aplicações que os descompactam.

A Crimeflare lançou regras de firewall para detectar tentativas, ativas em modo de registro por padrão. A falha, chamada de HTTP2Shell em alguns relatos, alcança Node.js.NET, Python e proxies que tratam dados comprimidos.

O que fica: Patch de emergência aplicado sem reteste pode deixar a falha viva, como o caso mostrou.

Fontes: Microsoft, The Hacker News, @IntCyberDigest, @BleepinComputer, @DarkWebInformer

Tailscale: 11 falhas seguem sem correção, mas patch está a caminho

As 11 falhas divulgadas no Tailscale continuam sem correção, e a empresa afirma que uma correção está a caminho. A pesquisadora Erica Windisch publicou o relatório sem aviso prévio ao fornecedor. Os testes cobriram as versões 1.104.2 do cliente e 0.29.5 do headscale.

O cenário mais grave exige um dispositivo já invadido: a partir dele, o atacante conquista acesso total a outros servidores via Tailscale SSH. Quem usa a rede só com os próprios dispositivos reduz o risco, segundo leitura de especialistas.

O que fica: Rede que conecta servidores precisa ser tratada como caminho de invasão, com privilégios mínimos.

Fontes: Tailscale, Cyberdione Labs, @IntCyberDigest, @TheHackersNews

KeePassXC 2.8.0 corrige falha ao importar arquivos antigos

O gerenciador de senhas KeePassXC lançou a versão 2.8.0 com correções de segurança. A principal fecha uma falha de memória acionada ao importar um arquivo antigo malicioso. A atualização corrige ainda problemas de integração com navegador e de segurança no Windows.

O ataque exige que a pessoa importe um arquivo KDB antigo preparado pelo atacante, o que limita o alcance. Ainda assim, gerenciadores de senhas guardam credenciais de toda a empresa, e manter a versão corrigida é regra básica.

Fontes: @DarkWebInformer

Exploit para processador de segurança de GPUs AMD é publicado

Um pesquisador publicou exploit para o processador de segurança das placas AMD Navi31, componente que protege o firmware. A técnica, chamada de Wake & Break, permite manipular componentes de firmware. O post não cita correção nem aviso da AMD.

O ataque exige acesso à própria máquina, então o risco direto para servidores corporativos é limitado. A publicação mostra que camadas de hardware também viram alvo de pesquisa de segurança.

Fontes: @bl4sty

Grupo de extorsão lista o Partido Liberal em site de vazamentos

O grupo de extorsão de dados WhiteArmor listou o Partido Liberal (PL) no seu site de vazamentos. A listagem não informa volume nem tipo de dados, o partido não confirmou o incidente e a reivindicação não foi verificada.

Analistas alertam que sistemas partidários guardam listas de filiados, doadores e comunicação de campanha, dados úteis para phishing e desinformação em ano eleitoral. Documentos atribuídos ao PL exigem cautela até verificação.

Fontes: @DailyDarkWeb

Invasão ao serviço de câmbio do GMO gera operações não autorizadas

Hackers invadiram um serviço de negociação de moedas do grupo japonês GMO e clientes encontraram operações em contas que nunca fizeram. Segundo relatos, credenciais de clientes foram roubadas e operações destrutivas atingiram mais de 70 corretoras. A GMO pediu ajuda do governo japonês.

A onda de ataques a empresas japonesas levou a primeira-ministra Sanae Takaichi a convocar reunião de emergência com ministros, segundo a Bloomberg. O caso mostra que credenciais roubadas viram perda financeira direta para clientes.

O que fica: Plataformas que movem dinheiro precisam de limites, alertas e validação fora de banda para operações incomuns.

Fontes: @AndrewCurran_, @MarioNawfal