Alerta de vulnerabilidades críticas e ataques cibernéticos atuais

A edição de 19 de março de 2026 do @RISK: The Consensus Security Vulnerability Alert destaca um cenário de ameaças em rápida evolução, com uma lista extensa de CVEs críticos e análises técnicas do SANS Internet Storm Center. A newsletter revela uma convergência preocupante: a sofisticação crescente de campanhas de phishing, a exploração de vulnerabilidades em sistemas operacionais legados e uma superfície de ataque em expansão que agora inclui de forma significativa sistemas de automação industrial, ferramentas de IA e plataformas de gerenciamento em nuvem.

ISC Spotlight: Phishing com React e Credenciais via EmailJS

Uma análise do Internet Storm Center detalha uma campanha de phishing que se destaca pela técnica. A página de roubo de credenciais foi construída dinamicamente usando a biblioteca JavaScript React, um desvio da abordagem típica de HTML estático. O mecanismo de exfiltração utilizou o serviço legítimo de e-mail EmailJS para enviar as credenciais capturadas diretamente para os atacantes, dificultando a detecção baseada em domínios maliciosos óbvios. A isca, uma notificação falsa de compartilhamento de arquivos do WeTransfer, continha falhas de lógica (como um remetente usando o próprio endereço da vítima), mas a sofisticação técnica da página subjacente serve como alerta para a evolução das táticas.

SmartApeSG e a Persistência do Remcos RAT

A campanha SmartApeSG continua ativa, agora distribuindo predominantemente o Remcos RAT. O vetor de infecção permanece sendo páginas de “ClickFix” (falsos CAPTCHAs) injetadas em sites legítimos comprometidos. O relatório mostra como os pesquisadores rastreiam essa atividade usando indicadores compartilhados publicamente (como via Mastodon) e pivotam com ferramentas como URLscan para encontrar novos domínios comprometidos, demonstrando um ciclo constante de descoberta e análise de ameaças persistentes.

Obfuscação com Endereços IPv4 Mapeados em IPv6

Um diário técnico foca em uma técnica de ofuscação observada em varreduras na web: o uso de endereços IPv4 mapeados em IPv6 (formato ::ffff:10.5.2.1). Esses endereços, definidos no RFC 4038, são um mecanismo de transição e não são roteados na rede IPv6; são traduzidos para IPv4 antes do envio. Ataques estão usando essa notação possivelmente para contornar listas de bloqueio baseadas em IPv4 ou para dificultar a análise forense inicial. A compatibilidade depende da aplicação alvo (ex: curl e wget suportam, outros podem não).

CVEs Críticos e em Exploração Ativa (KEV)

A lista de CVEs é volumosa e abrange uma gama impressionante de software. Destaques de criticidade e urgência incluem:

• CVE-2026-3909 & CVE-2026-3910 (Google Chrome): Duas vulnerabilidades de alta gravidade (Out of bounds write in Skia e Inappropriate implementation in V8) já listadas no Catálogo de Vulnerabilidades Exploradas (KEV) da CISA desde 13/03/2026. Atualização imediata é mandatória.
• CVE-2026-26030 (Microsoft Semantic Kernel Python SDK – CVSS 9.9): Vulnerabilidade crítica no InMemoryVectorStore permitindo execução de código arbitrário, afetando diretamente aplicações de IA.
• CVE-2025-11158 (Hitachi Vantara Pentaho – CVSS 9.1): Falha que não restringe scripts Groovy em relatórios PRPT, levando a RCE. Afeta versões antigas (9.3.x, 8.3.x), destacando riscos em sistemas legados.
• Ameaças a Infraestrutura Crítica: Múltiplas vulnerabilidades com CVSS >= 9.8 em sistemas OT/ICS, incluindo Siemens SIMATIC S7-1500 (CVE-2025-40943), medidores de energia Janitza/Weidmueller (CVE-2025-41709), e o controlador de construção Honeywell IQ4x (CVE-2026-3611) que expõe interface HMI sem autenticação por padrão.
• Vulnerabilidades em Ferramentas de Desenvolvimento e IaC: Falhas graves em projetos como Simple-Git (CVE-2026-28292, RCE), Argo Workflows (CVE-2026-28229), Parse Server (múltiplos CVEs), e Spinnaker Clouddriver (CVE-2026-25534, bypass de validação de URL).
• Riscos na Cadeia de Suprimentos de Software: Vulnerabilidades em bibliotecas fundamentais como Compress::Raw::Zlib para Perl (CVE-2026-3381, CVSS 9.8) e YAML::Syck (CVE-2026-4177, heap buffer overflow).

Plugins WordPress sob Ataque

A newsletter destaca várias vulnerabilidades críticas em plugins do WordPress, um vetor de ataque perene:

• CVE-2026-0953 (Tutor LMS Pro – CVSS 9.8): Bypass de autenticação via addon de Social Login, permitindo que um atacante não autenticado faça login como qualquer usuário (incluindo admin) com um token OAuth válido. Afeta +100k instalações.
• CVE-2026-2631 (Datalogics Ecommerce Delivery – CVSS 9.8): Endpoint REST não autenticado permite modificar tokens de autenticação e elevar privilégios para administrador.
• CVE-2026-3891 (Pix for WooCommerce – CVSS 9.8): Upload de arquivo arbitrário não autenticado, levando a potencial RCE.

Vulnerabilidades “Zombies” e a Importância do Patch Management

A lista inclui CVEs para vulnerabilidades descobertas em sistemas legados com anos de antiguidade, mas ainda em uso, como:

• CVE-2018-25159 (Epross AVCON6 – OGNL injection, CVSS 9.8)
• CVE-2019-25468 (NetGain EM Plus – RCE, CVSS 9.8)
• CVE-2016-20024/20026/20030 (ZKTeco ZKTime.Net/ZKBioSecurity – permissões inseguras, credenciais hard-coded, enumeração de usuários, todos CVSS 9.8)

Isso reforça a necessidade crítica de inventário de ativos preciso e processos de patch que alcancem sistemas legados, muitas vezes esquecidos mas ainda conectados à rede.

“A sofisticação do phishing evolui para frameworks JavaScript modernos, enquanto vulnerabilidades com CVSS 9.8+ proliferam em sistemas de automação industrial, ferramentas de desenvolvimento e plugins de WordPress. A defesa eficaz requer priorização baseada em exploração ativa (KEV) e um inventário implacável de ativos legados.”

Conclusão e Ações Imediatas

O volume e a gravidade das vulnerabilidades apresentadas nesta edição do @RISK são um lembrete contundente. As ações prioritárias para equipes de segurança devem incluir:

• Patch Imediato: Foco absoluto em CVEs listados no KEV da CISA, especialmente CVE-2026-3909 e CVE-2026-3910 do Chrome.
• Inventário e Hardening de OT/IoT: Identificar e segmentar dispositivos de infraestrutura crítica (Honeywell, Siemens, medidores de energia) e aplicar patches ou controles compensatórios.
• Revisão de Plugins WordPress: Verificar imediatamente a presença dos plugins vulneráveis (Tutor LMS Pro, Datalogics, Pix for WooCommerce) e atualizá-los ou removê-los.
• Conscientização contra Phishing: Treinar usuários sobre iscas de compartilhamento de arquivos e a possibilidade de páginas de login sofisticadas.
• Gestão de Dependências: Auditar e atualizar bibliotecas críticas como Simple-Git, Parse Server, e componentes YAML/compressão em aplicações internas.

A paisagem de ameaças não está apenas crescendo; está se diversificando em vetores críticos. A capacidade de correlacionar vulnerabilidades de alta gravidade em software empresarial, operacional e de desenvolvimento será o diferencial para uma postura defensiva proativa em 2026.

Análise baseada no @RISK: The Consensus Security Vulnerability Alert, Vol. 26, Num. 11 (19/03/2026) do SANS Institute. Pesquisa e adaptação: N00TROP1C — NULLTROPIC, 2026.