Falha de UEFI atinge quase todos os servidores do mundo

Falha de UEFI sequestra servidores durante inicialização pela rede

Pesquisadores da Anthropic e do Google divulgaram uma falha no código de inicialização (firmware UEFI) presente na maioria dos servidores. Um único pacote malicioso enviado pela rede sequestra o equipamento na inicialização, antes das verificações de segurança.

Segundo os pesquisadores, quase todos os servidores do mundo são afetados. O sequestro ocorre antes de o sistema operacional carregar, quando as defesas ainda não funcionam. Nenhuma correção foi anunciada; cada fabricante precisará publicar atualização de firmware.

O que fica: Firmware quase nunca entra no escopo de testes de segurança, e falhas ali dão controle total.

Fontes: @IntCyberDigest

Node2Shell: varreduras atingem instalações padrão x86-64 do Node.js

A falha do Brotli avançou: varreduras ativas e primeiras tentativas de exploração atingem instalações x86-64 de fábrica do Node.js; antes o risco confirmado era em arm64. A CISA exige correção até 10 de novembro.

Aplicações que descomprimem dados externos estão expostas: requisições HTTP comprimidas, respostas de servidores externos e arquivos podem corromper a memória e permitir execução de código. O alcance inclui Bun, pacotes Python, Visual Studio, PowerShell e proxies Envoy e Istio.

O que fica: Falha em biblioteca base exige localizar todos os produtos que a embutem, corrigir e verificar um a um.

Fontes: Microsoft, The Hacker News, @ethiack, @HacktronAI, @IntCyberDigest, @BleepinComputer

CISA confirma exploração ativa do PHP2Shell com prazo em 29 de outubro

O PHP2Shell ganhou confirmação oficial: a CISA registrou exploração ativa em 26 de outubro, incluiu as falhas no KEV (lista da CISA de falhas já usadas em ataques) e fixou 29 de outubro como prazo federal. Já há exploit público e invasões relatadas.

A escala é grande: a Imperva registrou 482.342 requisições de ataque e 122.311 sessões nas primeiras 24 horas. O PHP roda em cerca de 70% da web, segundo a TechCrunch. Servidores expostos sem atualização podem ser invadidos sem senha.

Fontes: JPCERT/CC, TechCrunch Security, @hakluke

Google corrige 52 falhas no Chrome; IA da Anthropic escapou da sandbox

O Chrome para desktop ganhou atualização com 52 falhas corrigidas, quatro críticas. Segundo o The Hacker News, a IA Claude, da Anthropic, encontrou dezenas de vulnerabilidades no navegador e montou uma cadeia de exploração funcional que escapou do isolamento do navegador.

Na demonstração, abrir uma página bastou para executar um programa no computador. Uma página maliciosa aberta por um funcionário sem a atualização pode ter o mesmo efeito. As fontes não relatam ataques reais; a correção já está disponível.

Fontes: @TheHackersNews 1, @TheHackersNews 2

Código na Convertr rouba cartão e CPF em lojas de moda brasileiras

Hackers esconderam código malicioso em um arquivo de estatísticas da Convertr, plataforma brasileira que opera lojas online e checkouts de dezenas de marcas de moda. O código copia número do cartão, validade, CVV, nome do titular e CPF desde 24 de outubro.

Quem pagou nesses sites pode ter dados completos do cartão e o CPF copiados, o que permite fraude financeira. A Sansec, empresa holandesa de segurança de e-commerce, descobriu o caso; avisou a Convertr e não teve resposta. O arquivo infectado seguia no ar.

O que fica: Um script de terceiro comprometido atingiu todas as lojas de uma vez; revisar e monitorar esses scripts protege o checkout.

Fontes: @namcios, @BleepinComputer

CISA confirma exploração de falha de leitura de arquivos na Atlassian

A CISA registrou exploração ativa de uma falha crítica em oito produtos Atlassian da linha Data Center, entre eles Confluence, Jira e Bitbucket. Um atacante sem senha consegue ler arquivos internos da aplicação. A watchTowr publicou detalhes técnicos em 27 de outubro.

Arquivos internos podem conter credenciais e segredos que facilitam invasões maiores. O Atlassian classifica a falha como crítica, nota 9.3, e publicou versões corrigidas em 5 de outubro. Instâncias Data Center acessíveis à internet precisam de patch hoje.

Fontes: NVD, Atlassian, @luckyhacker43

Zero-day do PeopleSoft era três falhas encadeadas, mostra ZDI

Uma análise técnica divulgada hoje mostra que o zero-day do Oracle PeopleSoft usado em ataques recentes reúne três falhas encadeadas, corrigidas em um único patch. Um desvio de requisições internas contorna controles de acesso e leva à execução de código sem senha.

PeopleSoft concentra dados de RH e processos internos da empresa. Com execução de código sem autenticação, o atacante assume o servidor e esses dados. Os ataques foram atribuídos ao grupo ShinyHunters pelo The Hacker News; a correção já existe e deve ser aplicada.

Fontes: @thezdi, @TheHackersNews

Apple leva correção de zero-day explorado a iPhones e iPads antigos

A Apple publicou o iOS 18.7.11 e o iPadOS 18.7.11, que levam a correção de uma falha já usada em ataques reais a aparelhos antigos. A falha, no processamento de arquivos gráficos, já tinha correção nos sistemas mais novos desde o fim de setembro.

A Apple descreveu os ataques como extremamente sofisticados e, segundo The Hacker News, disse que podem ter atingido indivíduos específicos. Um arquivo malicioso processado pelo aparelho pode executar código sem autorização. Aparelhos antigos sem a atualização permanecem expostos.

Fontes: @BleepinComputer, SecurityWeek, @TheHackersNews, The Hacker News

Campanha testmetest armou 42 repositórios GitHub legítimos

A JFrog relata que a campanha de pacotes npm testmetest comprometeu 42 repositórios GitHub de 11 donos legítimos, incluindo uma organização. O código malicioso executa quando um desenvolvedor abre o projeto em ferramentas como Claude, Gemini, Cursor e VS Code.

Ao abrir um projeto contaminado, a máquina do desenvolvedor executa código que rouba tokens e publica novos pacotes maliciosos em nome do dono. Arquivos grandes demais para a busca do GitHub dificultavam a detecção em auditorias comuns. Trocar credenciais de GitHub e npm é urgente.

O que fica: Repositório de dono conhecido pode estar comprometido; revisar arquivos e configurações antes de abrir protege o desenvolvedor.

Fontes: @DailyDarkWeb

PolyShell: centenas de lojas Adobe Commerce invadidas em exploração ativa

Ataques batizados de PolyShell invadiram centenas de lojas em Adobe Commerce e Magento, segundo The Hacker News. A CISA adicionou a falha explorada ao KEV em 27 de outubro e fixou 10 de novembro como prazo federal.

A falha permite envio de arquivo perigoso ao servidor, com execução de código e possível controle da conta e da sessão da loja, segundo a CISA. Toda loja em Adobe Commerce ou Magento sem mitigação está em risco, com prazo até 10 de novembro.

O que fica: Upload de arquivo malicioso é ataque clássico; testar essa entrada e corrigir rápido evita loja invadida.

Fontes: CISA KEV, The Hacker News