O cenário de ameaças cibernéticas de março de 2026 é marcado por uma convergência preocupante: a persistência de zero-days em software empresarial, a aceleração dos ciclos de patches e a sofisticação de ataques que exploram desde plataformas de código aberto até mecanismos de busca com IA. A edição do SANS NewsBites de 06 de março destaca a análise do Google Threat Intelligence Group (GTIG) sobre os 90 zero-days explorados em 2025, revelando uma mudança estratégica dos atacantes para infraestrutura corporativa e dispositivos de borda, que representaram 48% das vulnerabilidades de dia zero. Paralelamente, anúncios de patches críticos para ferramentas como FreeScout (CVSS 10.0) e Cisco, além de campanhas de phishing complexas, exigem uma postura de segurança ágil e fundamentada em priorização de risco.
Zero-Days em 2025: O Foco Mudou para a Empresa
O relatório do GTIG sobre os 90 zero-days explorados em 2025 aponta uma tendência clara e alarmante: quase metade (48%) visava tecnologia de nível empresarial, um recorde. Este aumento é impulsionado pela exploração intensificada de dispositivos de segurança e rede. Navegadores, outrora alvos primários, representaram menos de 10% da exploração. As falhas foram majoritariamente usadas para execução remota de código (RCE) ou escalonamento de privilégios.
A atribuição mostra que 47% das explorações foram rastreadas: 39% por fornecedores comerciais de vigilância, 28% por atores estatais de espionagem e 21% por cibercriminosos. O relatório destaca técnicas avançadas, como escapes de sandbox de navegador e a exploração de cadeia completa (full-chain) no SonicWall. A lição é direta: empresas em processo de renovação de tecnologia de segurança devem considerar seriamente a mudança de fornecedores com histórico recorrente de zero-days.
Ciclos de Patch Acelerados: Chrome a Cada Duas Semanas
Em um movimento que reflete a adoção de metodologias DevOps para segurança, o Google anunciou que, a partir de setembro de 2026, o Chrome migrará de um ciclo de release de quatro semanas para um de duas semanas em todas as plataformas. O canal Extended Stable permanecerá com ciclos de oito semanas. A justificativa é que releases mais frequentes, porém de escopo reduzido, minimizam a disrupção e simplificam o debug pós-release.
Na prática, isso exige que as equipes de suporte corporativo estejam ajustadas para verificar e implantar atualizações quase que imediatamente, reservando testes de regressão para browsers empresariais. Para usuários finais, a prática de reiniciar o navegador semanalmente (ou diariamente) torna-se ainda mais crítica. Do ponto de vista da segurança, o processo deve ser transparente; para desenvolvedores de aplicações web, um modelo DevSecOps consolidado é essencial para acompanhar o ritmo.
FreeScout: Um Caso de Estudo em Vulnerabilidade Crítica Zero-Click
A plataforma de helpdesk de código aberto FreeScout revelou uma falha de gravidade máxima, CVE-2026-28289 (CVSS 10.0), que permite RCE sem interação do usuário (“zero-click”). A vulnerabilidade, presente na versão 1.8.206 e anteriores, é um bypass de uma correção anterior (CVE-2026-27636). Um atacante não autenticado pode explorá-la anexando um arquivo malicioso com um caractere de espaço de largura zero no nome a um e-mail enviado para uma caixa de entrada gerenciada pelo FreeScout.
O arquivo é escrito em um local previsível no servidor, permitindo sua execução remota. A falha é um clássico problema de time-of-check to time-of-use (TOCTOU), onde a verificação do prefixo do nome do arquivo ocorre antes da sanitização que remove caracteres invisíveis. A mitigação imediata é a atualização para a versão 1.8.207+ e a desabilitação da diretiva `AllowOverrideAll` na configuração do Apache. O Shodan indica mais de 1.100 instâncias vulneráveis expostas na internet, levantando a questão fundamental sobre a necessidade de expor tal aplicação.
“Enterprises facing security technology refresh should not be afraid to move away from vendors constantly acknowledging new zero day vulnerabilities being discovered.” – John Pescatore, SANS NewsBites.
Ataques de Phishing e Suporte Técnico: A Batalha Começa no Telefone
Duas campanhas ilustram a evolução das ameaças de engenharia social. A primeira visa usuários do LastPass, com e-mails de phishing que simulam correspondência de suporte sobre atividade não autorizada, incluindo uma cadeia de e-mails falsa para dar credibilidade. A página de login falsa captura a senha mestra. O LastPass reforça que nunca solicita a senha mestra.
A segunda, documentada pela Huntress, inicia com um bombardeio de spam seguido por uma ligação telefônica de um ator se passando por suporte de TI. Após ganhar acesso remoto, o ator conduz a vítima por um processo falso de configuração de “anti-spam”, que na realidade rouba credenciais e implanta o agente de C2 Havoc via DLL sideloading, aproveitando bypasses conhecidos de EDR. A defesa aqui transcende a detecção de malware: é essencial treinamento de conscientização, autenticação fora da banda para validação de suporte remoto, whitelisting de aplicações e políticas de firewall baseadas em host para limitar movimento lateral.
Atualizações Críticas e Ações de Aplicação da Lei
A Cisco lançou atualizações para mais de 50 vulnerabilidades em seus produtos Catalyst SD-WAN Manager, Secure Firewall ASA, Secure FMC e Secure FTD Software. Duas delas (CVE-2026-20122 e CVE-2026-20128) já estão sob exploração ativa. As notas técnicas incluem CVEs críticos de bypass de autenticação e RCE no Cisco Secure Firewall Management Center. A priorização de implantação deve considerar janelas de indisponibilidade, mas a aplicação do patch é não negociável.
No front da aplicação da lei, operações internacionais desmantelaram dois grandes facilitadores do crime cibernético: o fórum LeakBase (142.000 usuários), usado para troca de bancos de dados vazados, e a plataforma Phishing-as-a-Service Tycoon2FA, responsável por mais de 60% das tentativas de phishing bloqueadas pela Microsoft em 2025. A Tycoon2FA especializava-se em burlar a autenticação multifator (MFA) interceptando cookies de sessão e códigos 2FA.
Lições Técnicas e Prioridades para Defensores
Os eventos da semana consolidam lições críticas para equipes de segurança:
- Priorize o Patch em Dispositivos de Rede e Empresariais: Os dados do GTIG confirmam que firewalls, VPNs e software de gestão são alvos primários. Inventário preciso e ciclos de patch ágeis para esses ativos são fundamentais.
- Acelere os Processos de Atualização: O novo ciclo do Chrome é um sinal do mercado. As equipes devem se adaptar a ciclos de patch mais curtos, automatizando onde possível e mantendo testes de regressão eficientes.
- Valide a Postura de Software de Código Aberto (FOSS): Vulnerabilidades como a do FreeScout mostram que ferramentas FOSS populares exigem monitoramento de segurança e implantação rápida de patches. Reavalie a exposição na internet desses sistemas.
- Reforce a Defesa Contra Engenharia Social: Ataques via telefone e e-mails sofisticados exigem treinamento contínuo e processos claros de verificação out-of-band para qualquer solicitação de suporte remoto.
- Monitore Sessions de Cloud e Revogue o Desconhecido: Após o takedown da Tycoon2FA, é prudente revisar sessões ativas em contas Microsoft 365/Google e revogar quaisquer sessões não reconhecidas.
A convergência de ameaças persistentes, ciclos de vida de software acelerados e táticas de evasão sofisticadas desenha um cenário onde a postura de segurança deve ser proativa, baseada em risco e integrada a todos os níveis da organização, do usuário final à infraestrutura de borda.
Análise baseada no SANS NewsBites Vol. 28 Num. 17 (06/03/2026). Pesquisa e adaptação: N00TROP1C — NULLTROPIC, 2026.
Deixe um comentário