O alerta de consenso de vulnerabilidade de segurança SANS @RISK de 9 de abril de 2026 revela um panorama crítico de ameaças emergentes, com destaque para vulnerabilidades de cadeia de suprimentos, exploração ativa de CVEs e riscos crescentes em ferramentas de desenvolvimento modernas. A edição Volume 26, Número 14 documenta 48 vulnerabilidades críticas, incluindo 6 adicionadas ao Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA, evidenciando uma escalada na exploração de falhas em tempo real.
Cadeia de Suprimentos Sob Ataque: Caso TeamPCP e Comprometimento da Comissão Europeia
O destaque do Internet Storm Center revela o sexto update da campanha TeamPCP, confirmando o comprometimento da plataforma de hospedagem web Europa da Comissão Europeia no AWS através da vulnerabilidade de cadeia de suprimentos do scanner Trivy (CVE-2026-33634). Os detalhes técnicos são alarmantes:
- Acesso inicial: Chaves da API AWS roubadas via scanner Trivy comprometido em 19 de março
- Tempo de detecção: 5 dias entre intrusão inicial (19/03) e alertas do SOC (24/03)
- Volume de dados exfiltrados: 340 GB descomprimidos (91,7 GB compactados)
- Exposição de e-mails: Aproximadamente 52.000 arquivos relacionados a comunicações de saída (2,22 GB)
- Escopo: 71 clientes afetados: 42 departamentos internos da Comissão Europeia mais 29 outras entidades da UE
O envolvimento do grupo ShinyHunters na publicação dos dados roubados levanta questões sobre a cadeia de distribuição de credenciais, já que o grupo é operacionalmente distinto das parcerias conhecidas do TeamPCP com LAPSUS$ e Vect.
Vulnerabilidades de Ferramentas de Desenvolvimento Modernas
O alerta documenta explorações ativas contra ferramentas de desenvolvimento frontend, com destaque para:
- CVE-2025-30208 (Vite): Bypass de restrições de acesso a arquivos usando o sufixo ‘??raw?’ para baixar arquivos arbitrários do servidor
- CVE-2026-34060 (Ruby LSP): Execução arbitrária de código Ruby ao abrir projetos com arquivos .vscode/settings.json maliciosos
- CVE-2026-34041 (Nektos Act): Processamento incondicional de comandos GitHub Actions depreciados, permitindo injeção de ambiente
Os ataques observados contra instalações expostas do Vite utilizam a porta padrão 5173, mas os atacantes também estão varrendo portas padrão de servidores web, tentando recuperar arquivos de configuração conhecidos para extrair segredos.
CVEs Críticos com Exploração Ativa (KEV)
Seis vulnerabilidades foram adicionadas ao catálogo KEV da CISA, indicando exploração ativa no ambiente selvagem:
- CVE-2026-35616 (Fortinet FortiClient EMS 7.4.5-7.4.6): Execução de código não autorizada via requisições manipuladas por atacantes não autenticados (CVSS 9.8)
- CVE-2026-33634 (Aqua Security Trivy): Comprometimento da cadeia de suprimentos em 19 de março de 2026
- CVE-2026-5281 (Google Chrome): Use-after-free em Dawn (exploração ativa desde 1º de abril)
Vulnerabilidades em Plataformas de IA e Aprendizado de Máquina
O alerta documenta vulnerabilidades críticas em ferramentas de IA emergentes:
- CVE-2026-34159 (llama.cpp): Falta de validação de limites em deserialize_tensor() permite leitura/escrita de memória do processo via mensagens GRAPH_COMPUTE manipuladas (CVSS 9.8)
- CVE-2026-34162 (FastGPT): Endpoint de teste HTTP não autenticado exposto, permitindo acesso completo como proxy HTTP (CVSS 10.0)
- CVE-2026-35022 (Anthropic Claude Code CLI/SDK): Injeção de comandos OS em execução de helper de autenticação devido à falta de validação de entrada (CVSS 9.8)
Vulnerabilidades em Sistemas de Gerenciamento de Conteúdo e Frameworks Web
O alerta lista múltiplas vulnerabilidades críticas em CMS e frameworks:
- CVE-2026-29014 (MetInfo CMS 7.9/8.0/8.1): Injeção de código PHP não autenticada permitindo controle total do servidor (CVSS 9.8)
- CVE-2026-22679 (Weaver E-cology 10.0): Execução remota de código não autenticada através de funcionalidade de debug exposta
- CVE-2026-26026 (GLPI anterior a 11.0.6): Administradores podem realizar injeções de template levando a execução remota de código
Vulnerabilidades em Infraestrutura de Rede e Dispositivos IoT
Dispositivos de rede e IoT continuam apresentando vulnerabilidades críticas:
- CVE-2026-31027 (TOTOlink A3600R v5.9c.4959): Buffer overflow via interface setAppEasyWizardConfig permitindo execução de código arbitrário
- CVE-2024-14034 (Hirschmann HiEOS anterior a 01.1.00): Bypass de autenticação no módulo de gerenciamento HTTP(S)
- CVE-2017-20234 (GarrettCom Magnum 6K/10K): Bypass de autenticação via string hardcoded no mecanismo de autenticação
Vulnerabilidades em Plugins WordPress
Três vulnerabilidades críticas em plugins WordPress foram documentadas:
- CVE-2026-3300 (Everest Forms Pro): Injeção de código PHP via função process_filter() do Calculation Addon (CVSS 9.8)
- CVE-2025-15484 (Order Notification for WooCommerce anterior a 3.6.3): Acesso de leitura/escrita completo a recursos da loja por usuários não autenticados
- CVE-2026-0740 (Ninja Forms – File Uploads anterior a 3.3.26): Upload arbitrário de arquivos permitindo execução remota de código
Vulnerabilidades em Serviços Azure da Microsoft
O alerta inclui seis vulnerabilidades críticas em serviços Azure:
- CVE-2026-32213 (Azure AI Foundry): Elevação de privilégio com pontuação CVSS 10.0
- CVE-2026-33105 (Azure Kubernetes Service): Elevação de privilégio também com CVSS 10.0
- CVE-2026-33107 (Azure Databricks): Terceira vulnerabilidade com pontuação máxima CVSS 10.0
O alerta SANS @RISK demonstra a convergência de múltiplos vetores de ataque: cadeias de suprimentos comprometidas, ferramentas de desenvolvimento expostas, plataformas de IA vulneráveis e infraestrutura crítica com falhas de autenticação. A velocidade de exploração (com 6 CVEs já no catálogo KEV) e a sofisticação dos ataques (como o caso TeamPCP atingindo instituições governamentais) exigem priorização baseada em risco real e não apenas em pontuações CVSS.
Análise baseada no SANS @RISK: The Consensus Security Vulnerability Alert, Vol. 26, Num. 14 (9 de abril de 2026). Pesquisa e adaptação: N00TROP1C — NULLTROPIC, 2026.
Deixe um comentário