Internacional
Cisco confirma exploração ativa de zero-day crítico no Secure Email Gateway
A Cisco confirmou que uma vulnerabilidade crítica no software AsyncOS do Secure Email Gateway está a ser explorada ativamente. A falha, identificada como CVE-2026-76461 e com pontuação CVSS de 9,8, resulta de validação insuficiente no processamento de emails e permite que um atacante remoto sem autenticação execute instruções SQL maliciosas através de uma mensagem de correio eletrónico especialmente preparada, obtendo depois execução de comandos com privilégios root no sistema operativo subjacente. A falha afeta os equipamentos físicos e virtuais do Secure Email Gateway, independentemente da configuração, mas não atinge o Secure Email and Web Manager nem o Secure Web Appliance.
A Cisco afirma ter tido conhecimento da exploração ativa este mês e partilhou indicadores de compromisso, recomendando a análise dos mail_logs em busca de instruções SQL suspeitas do tipo COPY…TO PROGRAM. A empresa contactou diretamente os clientes do Secure Email Cloud onde detetou atividade maliciosa e alertou que, com acesso root, os atacantes podem apagar ou ocultar provas da intrusão. Não existem soluções alternativas além da atualização para as versões corrigidas, e a CISA acrescentou a falha ao catálogo de vulnerabilidades exploradas conhecidas, exigindo que as agências federais dos EUA apliquem as correções até 17 de setembro.
Ciberataque à CenterPoint Energy expõe dados de milhões de clientes nos EUA
A CenterPoint Energy, empresa de eletricidade e gás natural sediada em Houston que serve cerca de sete milhões de clientes no Indiana, Minnesota, Ohio e Texas, confirmou uma violação de dados depois de um atacante ter reivindicado o roubo de 7,49 milhões de registos de clientes. Segundo o atacante, identificado apenas pelo pseudónimo 4d722e4d656f77, os dados (nomes, números de telefone, moradas de serviço e faturação, números de conta, valores de faturação e números de segurança social parciais) foram obtidos ao percorrer sistematicamente milhões de identificadores numa API pública da empresa, que não tinha limitação de pedidos nem proteção de firewall de aplicações web.
Numa comunicação à Securities and Exchange Commission, a CenterPoint Energy confirma que um terceiro não autorizado acedeu a informação pessoal de parte dos clientes através de um sistema externo, sem especificar o número de afetados nem os tipos de dados comprometidos. A empresa garante que os serviços de eletricidade e gás não foram afetados e que não espera impacto material no negócio, mas já enfrenta múltiplas ações coletivas nos tribunais federais que alegam que a violação ocorreu entre 17 de agosto e 1 de setembro.
CISA alerta que grupos de ransomware já exploram falha crítica no VMware vCenter
A CISA, agência norte-americana de cibersegurança, alertou que grupos de ransomware se juntaram aos ataques que exploram uma vulnerabilidade crítica no vCenter Syslog Server da VMware, corrigida pela Broadcom a 29 de julho. A falha, identificada como CVE-2026-59310, é uma vulnerabilidade de directory traversal que permite a um atacante sem autenticação executar código arbitrário. Duas semanas após a correção, a empresa de resposta a incidentes QUIRSO identificou mais de 361 endereços IP em 47 países comprometidos por um threat actor suspeito de ligações a um grupo APT (advanced persistent threat), que explorava a falha para instalar uma ferramenta de SSH reverso destinada a garantir persistência e acesso remoto.
Nos últimos dias, a CISA voltou a atualizar o catálogo de vulnerabilidades exploradas conhecidas para assinalar que a falha está agora também a ser usada por grupos de ransomware, sem detalhar quais. O serviço Shadowserver contabiliza mais de 450 servidores VMware vCenter expostos publicamente na Internet, sem informação sobre quantos já foram corrigidos. Nos últimos cinco anos, a CISA já assinalou 26 vulnerabilidades da VMware como exploradas em ataques reais, nove delas também usadas por operações de ransomware. Servidores vCenter e ESXi comprometidos costumam servir de porta de entrada para o resto da rede de uma organização, o que os torna alvos recorrentes.
Falha crítica no GitLab começa a ser explorada 24 horas depois de corrigida
Atacantes começaram a explorar uma vulnerabilidade crítica no GitLab apenas um dia depois da divulgação pública da correção, segundo a empresa de segurança WatchTowr. Identificada como CVE-2026-85706 e com classificação CVSS de 10 em 10, a falha resulta de um path traversal e permite que um atacante sem autenticação leia ficheiros arbitrários armazenados no servidor GitLab através de um único pedido HTTP. São afetadas as edições Community Edition e Enterprise Edition, desde a versão 18.7 até antes da 19.1.8, da 19.2 até antes da 19.2.6 e da 19.3 até antes da 19.3.2.
A mesma atualização corrige ainda uma segunda falha crítica, CVE-2026-87719, com CVSS de 9,9, relacionada com desserialização insegura no GraphQL que pode expor configurações do Advanced Search e credenciais sensíveis, além de seis vulnerabilidades de gravidade elevada que incluem execução remota de código, acesso a variáveis protegidas de CI/CD, XSS e negação de serviço. A WatchTowr recomenda às organizações que verifiquem os registos em busca de pedidos POST ao endpoint de commits do repositório com o parâmetro file.path, e que atualizem o mais rapidamente possível as instâncias alojadas na própria infraestrutura. É a segunda falha crítica do GitLab observada em exploração pouco depois da divulgação em poucas semanas, depois da CVE-2026-19478.
EUA, Reino Unido e Holanda expõem malware iraniano que espia dissidentes via Telegram
As agências de cibersegurança dos EUA, Reino Unido e Holanda publicaram um alerta conjunto a detalhar um malware para Windows, controlado através da aplicação Telegram, que atribuem ao Ministério dos Serviços de Informação e Segurança do Irão (MOIS). O FBI apelida o malware de HEAVYGRAM e o NCSC britânico chama-lhe CHOSEN BRICK. A campanha remonta ao outono de 2023 e tem como alvo principal dissidentes iranianos, jornalistas críticos do regime, ativistas e membros de grupos cujas posições contrariam o governo, no Reino Unido, nos EUA, na Holanda e noutros países. O ataque começa com engenharia social: os atacantes fazem-se passar por um contacto conhecido ou por suporte técnico de uma aplicação de mensagens, disfarçando o ficheiro malicioso de programas como Pictory, KeePass, o próprio Telegram, RunwayML, Norton Antivirus ou Adobe Flash Player, chegando a simular resultados de exames de ressonância magnética.
Uma vez instalado, o malware pode listar programas em execução, tirar capturas de ecrã, ativar o microfone, copiar dados do Telegram e do WhatsApp guardados no browser, roubar palavras-passe e endereços de email, descarregar mais malware e apagar ficheiros. Pelo menos uma versão consegue também limpar por completo o computador. As agências alertam que a informação recolhida, incluindo capturas de ecrã que revelam contactos, localização e rotina diária das vítimas, tem aparecido em sites de fuga de dados pró-iranianos, aumentando o risco para a segurança física dos visados. O Departamento de Justiça dos EUA apreendeu quatro desses sites em março, alegadamente usados também para apelar ao assassinato de dissidentes.
Portugal
MEO confirma "ataque em massa" após apagão de Internet que afetou milhares em Portugal
Na tarde de 14 de setembro, milhares de clientes das operadoras portuguesas MEO, NOS, Vodafone e Digi reportaram falhas no acesso à Internet fixa e móvel, com a MEO a concentrar a esmagadora maioria das queixas. Segundo dados do Downdetector, os relatos sobre a MEO ultrapassaram os 6.400 pelas 18h20 e os sete mil pelas 18h27, enquanto a NOS registou um pico de 317 queixas, a Vodafone 258 e a Digi 46. Na altura, a causa não estava confirmada por fonte técnica independente, e circularam hipóteses de um ataque informático em grande escala e de problemas no encaminhamento de tráfego internacional via BGP.
Em comunicado enviado à Lusa no dia seguinte, a MEO confirmou ter sido alvo de um ataque em massa que provocou congestionamento e degradação da rede internacional, garantindo que não houve qualquer intrusão nem acesso a dados da operadora ou dos clientes. A empresa afirma ter ativado medidas de mitigação e recuperação que permitiram restabelecer rapidamente a estabilidade do serviço. O episódio cai no âmbito do novo Regime Jurídico da Cibersegurança, que transpõe a NIS2 e obriga operadores de infraestruturas críticas a notificar incidentes significativos ao CERT.PT, além do dever já existente de reportar à ANACOM perturbações que afetem pelo menos mil utilizadores por oito horas ou mais.
Também em destaque
Sandworm reativa botnet Cyclops Blink ao explorar falhas no Cisco FMC
A Sophos e a Cisco identificaram uma nova versão do Cyclops Blink, malware modular do tipo botnet e backdoor já associado pelos governos dos EUA e do Reino Unido ao Sandworm, grupo ligado aos serviços de informações militares da Rússia (GRU). Os atacantes exploram em conjunto duas vulnerabilidades no software Secure Firewall Management Center da Cisco: a CVE-2026-20079, de gravidade máxima, que permite a um atacante remoto sem autenticação executar código e obter acesso root ao sistema operativo, e a CVE-2026-20316, de gravidade mais baixa, que permite iniciar sessão com privilégios reduzidos antes de escalar privilégios através de outras falhas já conhecidas do FMC. A cadeia de ataque começa com a instalação de uma ferramenta de shell reverso baseada em Netcat, usada depois para implementar a nova variante do Cyclops Blink.
A nova versão traz uma atualização significativa: passa a correr em Linux 64-bit x86-64 em vez da arquitetura PowerPC de 32-bit usada nos equipamentos WatchGuard e ASUS visados originalmente, recorre a mecanismos genéricos de persistência em Linux em vez de firmware específico de fabricante, e ganha capacidades de deteção ativa de rede e captura de pacotes, além de recolher hashes de palavras-passe e informação de configuração. A Sophos atribui a campanha com confiança elevada a atores ligados à Rússia e com confiança moderada ao Sandworm, que a empresa acompanha sob o nome Iron Viking. As mesmas duas vulnerabilidades estão também a ser exploradas por outros dois grupos: um usa a CVE-2026-20079 para instalar web shells e roubar credenciais, e outro usa a CVE-2026-20316 para distribuir ransomware Qilin. A Cisco já disponibilizou correções temporárias e recomenda a sua aplicação imediata, citando exploração ativa.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.