Internacional
Cisco alerta para zero-day crítico no ISE já explorado em ataques
A Cisco confirmou exploração ativa de uma falha de bypass de autenticação no Identity Services Engine (ISE) e no ISE Passive Identity Connector (ISE-PIC), identificada como CVE-2026-76460 e com pontuação máxima de 10,0 no CVSS. O problema deve-se a um controlo de autenticação insuficiente num endpoint da API: um atacante remoto e não autenticado pode enviar um pedido especialmente preparado e obter acesso não autorizado à interface de gestão web, chegando a execução de comandos com privilégios de root. A Cisco alerta que, com este nível de acesso, os atacantes podem apagar ou ocultar indicadores de compromisso, dificultando a deteção.
Não existem soluções de contorno. A correção está disponível para as versões 3.1 a 3.5 do ISE, e a CISA incluiu a falha no catálogo Known Exploited Vulnerabilities, obrigando as agências federais dos Estados Unidos a aplicar o patch até 19 de setembro. A divulgação surgiu no mesmo dia em que a Cisco publicou 77 novas CVEs, 41 das quais no ISE e 28 no Secure Firewall, várias com pontuação acima de 9,0.
Ciberataques a dois petroleiros levam Guarda Costeira e FBI a abordar navios
Dois petroleiros a caminho dos Estados Unidos foram abordados no mês passado pela Guarda Costeira e pelo FBI depois de ciberataques terem afetado os navios durante a travessia, segundo avança a CBS News. Um deles, o VL Prosperity, um petroleiro de bandeira liberiana que saiu do Egito a 1 de agosto rumo a Galveston, no Texas, terá sido atacado a 7 de agosto ao passar pelo estreito de Gibraltar, segundo a agência iraniana Mehr News. Um tripulante citado pela agência afirma que a intrusão chegou à casa das máquinas, com os atacantes a reduzir o fluxo de refrigerante, a aumentar a velocidade do motor e a interferir na alimentação de combustível, além de acederem aos sistemas de navegação e de carga e cortarem as comunicações do navio durante cerca de 30 horas.
Uma equipa com especialistas em ciber da Guarda Costeira, agentes do FBI Cyber Action Team e um inspetor de navios passou quatro dias a bordo do VL Prosperity; o segundo petroleiro foi abordado a 24 de agosto, segundo o Wall Street Journal. A Guarda Costeira não atribuiu o incidente ao Irão, mas a contra-almirante Amy Grable confirmou terem sido encontradas provas de atividade cibernética maliciosa nos sistemas do navio, descrevendo-o como uma das 40 a 50 abordagens semelhantes realizadas pela agência no último ano. Um antigo responsável da Guarda Costeira alertou para o exagero da cobertura ligada ao Irão, defendendo que o risco real não é um atacante assumir o controlo total de um superpetroleiro, mas degradar sistemas suficientes para tornar a operação insegura.
Grupo chinês FamousSparrow lança novo backdoor contra governos da América Latina
O FamousSparrow, threat actor estatal alinhado com a China, tem instalado um backdoor inédito chamado SparroWocky em ataques a vários países da América Latina desde pelo menos agosto de 2025. Escrito em C++ e modular, o malware revela, segundo os investigadores da ESET Alexandre Côté Cyr e Romain Dumont, forte conhecimento de técnicas anti-análise e do funcionamento interno do Windows. O nome vem do facto de as primeiras versões conterem a primeira estrofe do poema "Jabberwocky", de Lewis Carroll.
O SparroWocky substitui o backdoor SparrowDoor como implante principal do grupo, que partilha alguma sobreposição com os grupos Earth Estries e Salt Typhoon e está ativo desde pelo menos 2019. O malware consegue executar ficheiros arbitrários, atuar como proxy TCP, correr comandos, recolher informação sobre a máquina infetada, exfiltrar ficheiros, tirar screenshots periódicos e apagar-se do sistema. Para comunicar com o servidor de comando e controlo usa Mbed TLS, e recorre a uma variante do SilentMoonwalk para esconder a origem das threads criadas. Desde julho de 2025, o grupo tem visado sobretudo entidades governamentais na Argentina, Equador, Guatemala, Honduras, Panamá, Peru, Porto Rico e Venezuela. A ESET nota que 90% dos alvos registados na telemetria da empresa estão localizados na região.
Ataque à cadeia de fornecimento da Brevo injetou scripts maliciosos em sites de clientes
A Brevo, plataforma de marketing digital e gestão de clientes, confirmou que atacantes roubaram uma chave API da Cloudflare com permissões totais sobre a conta, fixada no código-fonte da aplicação, e usaram-na para criar um Cloudflare Worker malicioso que alterou conteúdo na CDN durante cerca de cinco horas e meia, a 14 de setembro. O ataque afetou páginas em brevo.com, sendinblue.com e sibforms.com, além do script de formulários, do widget Brevo Conversations e dos loaders do SDK que os clientes incorporam nos próprios sites. Como o worker reescrevia as respostas na edge e removia cabeçalhos de segurança como o Content-Security-Policy, os servidores de origem e os ficheiros mantiveram-se inalterados, o que impediu as verificações de integridade de detetar a alteração.
A firma de segurança Sansec, que detetou o incidente em primeiro lugar, estima que cerca de 100 mil sites possam ter sido afetados. Os visitantes desses sites viram uma falsa página de verificação da Cloudflare seguida de instruções ClickFix a pedir a execução de um comando no Windows. Em sites WordPress com o widget da Brevo, o script verificava se o visitante tinha sessão de administrador iniciada e tentava instalar um plugin malicioso disfarçado de "Web Media Optimizer", que se esconde da lista de plugins, se copia para a pasta de plugins obrigatórios para garantir persistência e contacta periodicamente um servidor de comando e controlo. O plugin inclui ainda uma chave de autenticação fixa que permite aos atacantes criar uma sessão de administrador válida sem conhecer a password. A Brevo revogou a chave comprometida e removeu o worker, garantindo que a app.brevo.com, a API, a infraestrutura de envio de emails e os dados das contas de clientes não foram afetados. Este é o segundo incidente de segurança da empresa em setembro: a 10 de setembro, a Brevo tinha revelado um ataque via SSO que levou a ataques de phishing contra 347 mil endereços de email, comprometendo pelo menos 2.500 contas, incluindo clientes da fabricante de carteiras cripto Trezor.
Falha no Gyazo expõe 23,6 milhões de contas e quase 500 milhões de metadados de imagens
A Helpfeel, empresa japonesa dona do serviço de partilha de imagens Gyazo, confirmou uma falha de segurança que expôs cerca de 23,62 milhões de registos de utilizadores, incluindo nomes, emails, hashes de password, IDs de sessão e tokens de integração com X e Google. O atacante explorou uma vulnerabilidade no servidor de upload de imagens do Gyazo, cuja natureza a empresa não detalhou, para executar comandos arbitrários e aceder à base de dados. A Helpfeel diz não ter encontrado indícios de exposição de dados de pagamento e pediu a todos os utilizadores para mudarem a password, tanto no Gyazo como em qualquer outro serviço onde usem a mesma.
A empresa expôs ainda cerca de 490 milhões de registos de metadados de imagens, na maioria referentes a capturas registadas até janeiro de 2019, incluindo o ID que compõe o link direto da imagem, o endereço IP usado no upload, dados de localização EXIF quando presentes, texto extraído por OCR e a passphrase cifrada de imagens privadas protegidas por password. Como um link do Gyazo depende apenas do ID ser difícil de adivinhar, a exposição destes identificadores pode permitir o acesso a imagens que deveriam continuar privadas, e a Helpfeel admite não poder excluir que o atacante tenha visto algumas capturas privadas. A empresa detetou a intrusão a 11 de setembro e bloqueou o acesso horas depois, mas só confirmou a exposição de dados a 14 de setembro e publicou o aviso público a 16, depois de descrever as interrupções do serviço apenas como "manutenção" nos avisos anteriores aos utilizadores.
Portugal
CNCS alerta para falhas críticas de gravidade máxima na Cisco e no GitLab
O Centro Nacional de Cibersegurança (CNCS) emitiu dois alertas de vulnerabilidade, um para o Cisco Secure Firewall Management Center (FMC) e outro para o GitLab Community Edition e Enterprise Edition, depois de os fabricantes terem lançado correções para falhas críticas. Na Cisco, a vulnerabilidade CVE-2026-20079 tem pontuação máxima de 10,0 no CVSS e reside na interface web do Secure FMC: resulta de um processo criado de forma inadequada durante o arranque do sistema e permite que um atacante remoto e não autenticado contorne a autenticação e execute comandos com privilégios de root através de pedidos HTTP especialmente preparados.
No GitLab, a falha mais grave, CVE-2026-85706, também com CVSS de 10,0, é uma vulnerabilidade de path traversal na API de commits que permite a um atacante não autenticado ler ficheiros arbitrários do servidor; já foi incluída pela CISA no catálogo de vulnerabilidades exploradas ativamente (KEV). O GitLab corrigiu ainda a CVE-2026-87719 (CVSS 9,9), uma falha de desserialização insegura que pode permitir a um utilizador autenticado com acesso ao Duo Chat obter credenciais sensíveis através de um argumento GraphQL manipulado. As versões 19.3.2, 19.2.6 e 19.1.8 resolvem os problemas, e o GitLab recomenda a atualização imediata de todas as instalações self-managed afetadas.
Também em destaque
EUA desmantelam NightmareStresser, um dos maiores serviços de DDoS por aluguer
O Departamento de Justiça dos Estados Unidos anunciou a apreensão judicial dos domínios do NightmareStresser, um dos serviços de DDoS por aluguer mais antigos em atividade, usado para lançar centenas de milhares de ataques reais ou tentados contra vítimas em todo o mundo desde 2022. A operação foi conduzida pelo FBI em Anchorage, no Alasca, com apoio da Royal Canadian Mounted Police, e os visitantes dos domínios apreendidos passaram a ver um aviso judicial em vez do serviço. Estes chamados serviços "booter" ou "stresser" permitem a qualquer pessoa, sem conhecimentos técnicos, pagar por um ataque de negação de serviço contra um alvo à escolha, geralmente com pagamento em criptomoeda.
A ação insere-se na Operation PowerOFF, campanha internacional contínua contra infraestrutura de DDoS por aluguer: em abril, uma ação coordenada em 21 países derrubou 53 domínios, deteve quatro operadores e enviou avisos a mais de 75 mil utilizadores identificados destes serviços, e em dezembro de 2024 uma operação anterior já tinha eliminado 27 sites do género. Nos últimos oito anos, procuradores e investigadores do Alasca e de Los Angeles acusaram doze pessoas ligadas a serviços de DDoS por aluguer e apreenderam mais de 100 domínios. O Departamento de Justiça sublinha que estes serviços continuam a reaparecer sob novas formas, e que a investigação atual visa todos os "booters" conhecidos, combinando ações legais com uma campanha de sensibilização pública.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.