Internacional
Falha crítica no GitLab é explorada 24 horas depois de ser divulgada
A GitLab corrigiu a 10 de setembro uma vulnerabilidade de gravidade máxima (CVSS 10,0), catalogada como CVE-2026-85706, na API de commits dos repositórios. Um único pedido HTTP, sem necessidade de autenticação, permite a um atacante ler ficheiros arbitrários no servidor, incluindo chaves SSH, credenciais de bases de dados, tokens de deploy e variáveis usadas em pipelines de CI/CD.
Menos de 24 horas depois da divulgação, investigadores da watchTowr já detetavam tentativas de exploração ativa na Internet. A CISA acrescentou entretanto a falha ao catálogo de vulnerabilidades exploradas (KEV), e quem gere instâncias GitLab autoalojadas deve aplicar a atualização com prioridade máxima, dado o intervalo praticamente nulo entre divulgação e exploração.
Atacantes encadeiam falhas no JFrog Artifactory para ganhar controlo total e instalar backdoors
A empresa de segurança Wiz documentou ataques, entre 15 de agosto e 8 de setembro, que combinam duas vulnerabilidades no JFrog Artifactory, o repositório de onde muitas pipelines de build vão buscar pacotes, para conseguir privilégios de administrador em servidores autoalojados desatualizados. Uma das falhas entrega um token interno de utilizador anónimo a quem não fez login; a outra troca esse token por um com privilégios totais, porque o Artifactory verifica a assinatura do token mas não o que ele autoriza. Em alguns casos, o processo todo demorou menos de cinco minutos.
Com controlo de administrador, os atacantes criaram contas próprias, instalaram plugins maliciosos para executar código no servidor e, em vários casos, deixaram um backdoor escrito em Rust com canal de comando e controlo. Uma terceira falha relacionada, com CVSS 9,8, foi explorada em separado e gerou cerca de 406 mil tentativas de exploração num único dia, segundo a Fastly; a CISA obrigou as agências federais dos EUA a corrigi-la até 5 de setembro.
Grupo ligado à China explora falha no teclado chinês da Tencent para instalar backdoor
Investigadores da Gen Digital identificaram o grupo UNC3569 a explorar uma vulnerabilidade (CVE-2026-51990) no Sogou Input Method, aplicação da Tencent usada por centenas de milhões de pessoas para escrever em chinês no Windows. Basta a vítima clicar numa hiperligação especialmente criada para acionar uma cadeia de três falhas: um argumento de linha de comandos mal validado, uma navegação para URLs não restringida e um motor Chromium desatualizado e sem sandbox embutido na aplicação, o que permite executar código no dispositivo sem mais interação da vítima.
A técnica instala o backdoor GrayRabbit, já associado ao UNC3569 desde 2024, numa versão mais recente que suporta shells interativos, transferência de ficheiros e carregamento de plugins diretamente na memória. A Tencent corrigiu a validação do URL em abril, mas os investigadores avisam que o motor Chromium subjacente continua desatualizado e sem proteções de sandbox, deixando margem para novas variantes do mesmo ataque.
Microsoft revela duas campanhas de phishing que usam passkeys e faturas falsas para roubar contas e dinheiro
A Microsoft descreveu duas campanhas distintas de engenharia social. Na primeira, entre 3 e 5 de agosto, atacantes enviaram mais de um milhão de emails a fazer-se passar por administradores de empresas, com faturas falsas de uma subscrição fictícia, a tentar convencer departamentos financeiros a autorizar transferências bancárias, com indícios de terem usado inteligência artificial generativa para escrever os textos. Na segunda campanha, ativa desde maio, os atacantes ligam ou enviam mensagens ao telemóvel pessoal da vítima fazendo-se passar pelo apoio técnico da empresa, a pedir que atualize a configuração da passkey, do MFA ou do SSO.
A vítima é depois encaminhada para um site falso que imita o ecrã de autenticação da Microsoft, através do qual os atacantes conseguem capturar credenciais ou completar fluxos de autenticação em nome dela e assumir o controlo da conta na cloud. Uma vez lá dentro, recolhem emails e ficheiros do SharePoint e OneDrive em grande volume, um padrão que a Microsoft associa a infraestrutura de proxy e recolha automatizada.
Ataque à Brevo leva a nova campanha de phishing contra 347 mil utilizadores da Trezor
A Trezor confirmou que atacantes que comprometeram a Brevo, a plataforma de email marketing que a empresa usa para newsletters, enviaram emails de phishing a cerca de 347 mil endereços que tinham subscrito a newsletter da fabricante de carteiras de hardware para criptomoedas. As mensagens, enviadas a partir do endereço oficial de suporte da Trezor, alegavam falsamente uma vulnerabilidade no microcontrolador das carteiras e tentavam levar as vítimas a introduzir a frase de recuperação da carteira numa aplicação maliciosa.
A Trezor diz ter derrubado o domínio usado no ataque cerca de 20 minutos depois de detetado, limitando a cerca de 2.500 o número de utilizadores que chegaram a clicar na hiperligação antes de esta ser desativada. O incidente soma-se a duas outras violações de dados de terceiros sofridas pela empresa nos últimos meses, uma no seu portal de suporte e outra num fornecedor de logística, o que aponta para um padrão de ataques à cadeia de fornecedores da Trezor.
Portugal
CNCS emite dois alertas para falhas críticas em sistemas SAP e Check Point
O Centro Nacional de Cibersegurança emitiu dois alertas separados sobre vulnerabilidades que permitem execução remota de código sem qualquer autenticação. No SAP, a mais grave, CVE-2026-44756, com CVSS 10,0 e apelidada OVERPASS pelos investigadores da Onapsis que a descobriram, resulta de corrupção de memória no processamento do SAP Extended Passport e afeta várias versões do SAP Kernel e do Web Dispatcher; uma segunda falha, CVE-2026-58240 (CVSS 9,8), deve-se à falta de verificação de autenticação no SAP NetWeaver Message Server.
O segundo alerta diz respeito aos equipamentos Check Point Quantum Security Gateway e Security Management, afetados por duas falhas com CVSS 9,8, uma na validação de certificados durante a negociação de ligações VPN, outra num buffer overflow no processamento de certificados. A SAP e a Check Point disponibilizaram correções para todas as vulnerabilidades e o CNCS recomenda que as organizações identifiquem as versões instaladas e apliquem as atualizações com prioridade, já que nenhuma das falhas exige credenciais para ser explorada.
Também em destaque
Advogado ucraniano que passou a programar malware para o Conti é condenado a quatro anos de prisão
Um tribunal federal dos Estados Unidos condenou Oleksii Lytvynenko, ucraniano de 44 anos que tinha uma carreira de advogado antes de passar a desenvolver malware, a quatro anos de prisão por conspiração para cometer fraude eletrónica. Lytvynenko integrou o grupo por trás do ransomware Conti, responsável por infetar mais de mil organizações em todo o mundo entre 2020 e 2022.
O caso junta-se a uma série de condenações e desmantelamentos que têm atingido antigos membros do Conti nos últimos anos, depois de fugas internas de conversas do grupo terem ajudado investigadores e agências de aplicação da lei a identificar participantes. A sentença mostra que a colaboração internacional continua a produzir resultados judiciais anos depois de operações de ransomware terem encerrado.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.