Internacional
Worm de zero-clique explora chamadas do WeChat para sequestrar contas no iPhone e Android
Investigadores da empresa de segurança Calif construíram um worm capaz de tomar conta de uma conta do WeChat através de uma simples chamada recebida, sem que a vítima precise de atender ou tocar no telemóvel. A única condição é que quem liga já conste da lista de contactos da vítima na aplicação. Numa demonstração, os investigadores mostraram o worm a propagar-se entre três telemóveis de teste, um comportamento típico de worm: cada conta comprometida pode ser usada para atacar os contactos seguintes.
A Calif reportou a falha à Tencent, dona do WeChat, em julho, e a empresa diz ter corrigido o problema entretanto. O caso ilustra o risco de vulnerabilidades zero-click em aplicações de mensagens com milhares de milhões de utilizadores: como não exigem qualquer ação da vítima, são particularmente difíceis de detetar e de bloquear com formação ou avisos de segurança, e a propagação automática através da lista de contactos amplia rapidamente o alcance de um ataque.
SAP corrige vulnerabilidade crítica 'OVERPASS' que permite executar comandos sem autenticação
A SAP publicou as atualizações de segurança de setembro de 2026, corrigindo 20 vulnerabilidades em vários produtos. A mais grave, batizada OVERPASS, atinge o código do kernel SAP e tem classificação máxima de severidade: é uma falha de corrupção de memória que permite a um atacante remoto e sem credenciais executar comandos arbitrários no sistema afetado.
Além de correr código à vontade, um atacante que explore a OVERPASS consegue recuperar segredos armazenados no sistema e alterar dados, o que a torna especialmente perigosa em ambientes SAP que processam informação financeira e operacional crítica de empresas. A recomendação é aplicar as atualizações de setembro com prioridade, dado o nível de acesso que a exploração bem-sucedida proporciona.
Ciberataque com ransomware encripta sistemas informáticos de utility municipal na Baviera
Uma empresa municipal de serviços públicos na Baviera, na Alemanha, foi alvo de um ataque de ransomware que encriptou os sistemas informáticos internos. Segundo a entidade, o fornecimento de água e eletricidade não foi afetado, e as equipas técnicas estão a trabalhar na recuperação dos sistemas atingidos.
Ataques a operadores municipais de infraestrutura crítica têm-se tornado um alvo recorrente de grupos de ransomware na Europa, precisamente porque combinam orçamentos de segurança limitados com serviços essenciais que aumentam a pressão para pagar um resgate. Neste caso, a separação entre os sistemas de gestão interna e os sistemas de controlo operacional parece ter contido o impacto direto na população, mas o incidente continua a ser investigado.
Base de dados ligada ao Vietname expõe 220 milhões de registos de passageiros e tripulantes
Investigadores encontraram uma base de dados exposta associada a um sistema de informação antecipada de passageiros ligado ao Vietname, com mais de 220 milhões de registos de passageiros e tripulação recolhidos entre 2017 e 2026. Os dados incluem nomes, números de passaporte, datas de nascimento, nacionalidades e detalhes de voos, e foram acedidos através de uma infraestrutura cloud que usava credenciais de acesso predefinidas.
Estes sistemas são usados por companhias aéreas e autoridades fronteiriças para verificar antecipadamente a identidade de passageiros antes da viagem, o que torna este tipo de fuga particularmente sensível: além do risco de fraude de identidade, os dados expostos permitem reconstruir o histórico de deslocações de milhões de pessoas ao longo de quase uma década. Não é claro se a base de dados foi acedida por terceiros mal-intencionados antes da descoberta pelos investigadores.
Cadeia de falhas no FreeIPA permite a clientes anónimos criar credenciais de administrador reutilizáveis
A Red Hat identificou uma cadeia de vulnerabilidades no FreeIPA, o sistema que controla quem pode iniciar sessão num domínio Linux, que permite a um cliente que nunca autenticou criar uma identidade Kerberos à sua escolha e ficar automaticamente no grupo de administradores. O FreeIPA mantém todas as identidades numa base de dados 389 Directory Server acedida via LDAP.
Para funcionar, o ataque depende também de uma segunda falha nessa base de dados LDAP, o que torna a cadeia mais complexa de explorar do que uma vulnerabilidade isolada, mas não reduz a gravidade do resultado: um atacante sem qualquer credencial válida consegue gerar, sozinho, uma conta de administrador persistente e reutilizável dentro do domínio. Organizações que usam FreeIPA para gerir identidades devem aplicar as correções da Red Hat com prioridade elevada.
Portugal
ENISA lança a 11 de setembro a plataforma única de reporte do Cyber Resilience Act
A ENISA, a agência europeia de cibersegurança, anunciou que a Single Reporting Platform (SRP) do Cyber Resilience Act entra em funcionamento a 11 de setembro de 2026. É através desta plataforma que os fabricantes de produtos com elementos digitais passam a ter de reportar vulnerabilidades ativamente exploradas e incidentes graves de segurança, cumprindo obrigações já definidas pelo regulamento europeu.
O site português Ciberseguranca.pt disponibilizou um guia em português baseado na ficha técnica oficial da ENISA, pensado para ajudar fabricantes e integradores a perceberem que tipo de eventos têm de reportar e em que prazos. Para empresas portuguesas que desenvolvem ou integram produtos com componentes digitais, a entrada em funcionamento da SRP marca o início prático das obrigações de reporte do Cyber Resilience Act, que até agora existiam sobretudo no papel.
Também em destaque
Hackers devolvem 263 milhões de dólares de furto de 320 milhões à Liquid Network após negociação pública
Quem quer que tenha retirado cerca de 4 mil bitcoin da Liquid Network no dia 6 de setembro devolveu 3.400 bitcoin, cerca de 263 milhões de dólares, no dia seguinte, segundo o registo público da blockchain da Bitcoin. Ficaram por devolver cerca de 598,5 bitcoin, no valor aproximado de 47 milhões de dólares. A Liquid é uma sidechain da Bitcoin que garante o token L-BTC, e a rede continua suspensa, o que impede os detentores de converter o token de volta em bitcoin.
O furto explorou uma falha no Elements, o software que serve de base à Liquid Network. Nas negociações públicas que se seguiram, os operadores da plataforma acabaram por tratar a parte não devolvida como uma recompensa de white hat pela divulgação da vulnerabilidade, um desfecho cada vez mais comum em incidentes de blockchain, em que devolver a maior parte dos fundos reduz o risco legal para o atacante e evita uma perseguição mais longa. A rede mantém-se pausada enquanto a correção da falha e o processo de reconciliação não estiverem concluídos.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.