A Microsoft anunciou uma mudança significativa na política de segurança do Entra ID , sua plataforma de identidade e autenticação, com o objetivo de bloquear a execução de scripts não autorizados durante o processo de login. A partir de outubro de 2026 , o serviço começará a bloquear injeções de código no portal login.microsoftonline.com , impedindo a execução de scripts que não sejam provenientes de domínios oficiais da empresa. A atualização faz parte da Content Security Policy (CSP) , que agora passa a permitir apenas o download de scripts hospedados em CDNs confiáveis da Microsoft e a execução de scripts inline autenticados por fontes oficiais. Segundo a gigante de Redmond , a mudança traz uma camada adicional de segurança e protege usuários contra tentativas de injeção de código durante a autenticação uma prática frequentemente explorada em ataques de cross-site scripting (XSS) , nos quais hackers tentam inserir scripts maliciosos em sites legítimos para roubar informações ou manipular sessões. A atualização valerá exclusivamente para fluxos de login em navegadores dentro do domínio login.microsoftonline.com , sem impacto para o Microsoft Entra External ID . A iniciativa faz parte da Secure Future Initiative (SFI) , programa multianual da empresa que busca elevar o padrão de segurança de produtos e processos após o aumento da sofisticação de ataques globais. Desde seu lançamento em novembro de 2023 reforçado após o relatório crítico do U.S. Cyber Safety Review Board (CSRB) em 2024 a Microsoft afirma ter feito avanços significativos. Entre eles, a criação de mais de 50 novas detecções de ameaças , adoção de MFA resistente a phishing para 99,6% dos usuários , migração massiva de ambientes de autenticação para Azure Confidential Compute  e a desativação de centenas de milhares de tenants e aplicativos antigos do Entra ID. Outras atualizações mencionadas pela empresa incluem a obrigatoriedade universal de MFA, o reforço de segurança em firmware com uso de Rust, eliminação do Active Directory Federation Services (ADFS), avanços na caça a ameaças com monitoramento centralizado de 98% da infraestrutura produtiva e uma maturidade maior no ciclo de vida de ativos e dispositivos. A Microsoft também destacou a publicação de mais de 1.090 CVEs  e o pagamento de US$ 17 milhões em programas de bug bounty , reforçando o compromisso com pesquisas e práticas de segurança. A empresa recomenda que organizações revisem seus fluxos de login antes da mudança, testem eventuais violações de CSP pelo console do navegador e evitem o uso de extensões que injetem código durante a autenticação. A Microsoft reforça que, para seguir o modelo Zero Trust , empresas devem automatizar detecção, resposta e correção de vulnerabilidades, além de manter visibilidade contínua de incidentes em ambientes híbridos e cloud. Via - THN

Uma curiosidade pouco conhecida sobre o Windows ajuda a explicar por que certas mensagens estranhas, instruções antiquadas e descrições pouco claras permanecem no sistema operacional por anos, mesmo após grandes mudanças internas. Segundo o veterano engenheiro da Microsoft Raymond Chen , isso ocorre porque alterar textos no Windows é mais complexo do que parece e envolve uma corrida contra o tempo para não quebrar traduções em dezenas de idiomas . Em publicação no blog The Old New Thing , Chen explicou que a equipe de tradução precisa congelar o conjunto de strings muito antes do período em que a engenharia recebe o tradicional “no code changes”. Isso acontece porque os tradutores têm de revisar milhares de textos e adaptá-los para todas as línguas suportadas pelo sistema. Como consequência, mudanças tardias nas frases podem comprometer o trabalho de meses das equipes linguísticas ao redor do mundo. O grande desafio aparece quando o Windows evolui e funções existentes são modificadas. Mesmo que um recurso mude completamente, a Microsoft não substitui as strings antigas por versões atualizadas. Em vez disso, ela cria novas traduções e deixa as antigas intocadas . O motivo é simples: qualquer alteração em uma string já traduzida faria com que os pacotes de idiomas identificassem a mudança como inconsistente, causando falhas e podendo levar o sistema a retroceder para o idioma base e, em alguns casos, até para o inglês. Com o passar dos anos, esse processo resulta em um acúmulo de textos abandonados dentro do sistema operacional. Chen comenta que essa “camada fossilizada” de strings obsoletas contribui para o inchaço do Windows não apenas as novas funções e recursos, como IA, mas também o histórico de textos que nunca podem ser removidos sem riscos . A limpeza só é possível durante grandes atualizações do sistema, aquelas marcadas pela conhecida tela de login com a frase: “Estamos preparando tudo para você” . Nesses momentos, a Microsoft pode finalmente revisar e eliminar traduções redundantes, reorganizando a base linguística interna. Via - TR

O mercado de óculos equipados com inteligência artificial está prestes a registrar um dos crescimentos mais acelerados do setor de dispositivos vestíveis. Segundo a consultoria Omdia, as remessas globais desses aparelhos devem aumentar 158% em 2025 , alcançando 5,1 milhões de unidades  até o fim do ano — um salto que confirma o avanço da tecnologia para além dos smartphones. A China deve se consolidar como o segundo maior mercado do mundo para esse tipo de dispositivo, atrás apenas dos Estados Unidos. Até 2026, o país deve alcançar 1,2 milhão de unidades enviadas , o equivalente a 12% da participação global, de acordo com a consultoria. Esse cenário abre espaço para uma nova corrida tecnológica envolvendo fabricantes, desenvolvedores e gigantes de IA. A chinesa Rokid , sediada em Hangzhou, é uma das empresas que pretende capitalizar esse movimento. Em parceria com a marca nacional de óculos Bolon, a companhia lançou um novo modelo de óculos inteligentes ultraleves, equipado com modelos de IA de ponta, incluindo Qwen (Alibaba), DeepSeek e Doubao (ByteDance) . O dispositivo oferece um assistente digital ativado por voz, capaz de gravar vídeos, tirar fotos, reproduzir músicas e fornecer rotas de navegação . Zhu Mingming, fundador e CEO da Rokid, afirma que os óculos com IA devem passar por uma transformação radical nos próximos três a cinco anos. Segundo ele, a interação digital deve migrar gradualmente para os óculos, enquanto os smartphones tendem a assumir papéis mais restritos, atuando como hubs de comunicação, armazenamento e processamento — semelhante ao que ocorreu quando o iPhone redefiniu o mercado de celulares. A empresa mira números ambiciosos: vender mais de 1 milhão de unidades em 2026 , atingir entre 2 e 3 milhões em 2027  e ultrapassar 10 milhões de unidades em 2028 . Zhu afirma que “os óculos com IA estão se aproximando do seu momento iPhone”, sugerindo que o setor está prestes a atravessar um divisor de águas tecnológico. Além da produção, a Rokid planeja ampliar significativamente seu ecossistema, com desenvolvedores independentes já trabalhando em acessórios e aplicações adicionais. A demanda crescente reflete-se nas vendas: durante o festival de compras Singles Day, os óculos inteligentes registraram alta explosiva. Dados da Tmall indicam crescimento de 2.500% no faturamento  da categoria, enquanto a JD reportou aumento de 346% no volume de transações , tornando-os o segmento de produtos digitais que mais cresce atualmente. Via - GCD

Hackers russos estão explorando ferramentas populares de design 3D para infectar animadores, desenvolvedores de jogos e estúdios de efeitos visuais com malware especializado em roubo de informações. A descoberta foi detalhada por Pesquisadores da empresa israelense Morphisec, que identificaram e bloquearam diversas campanhas ao longo dos últimos seis meses. Segundo o relatório, os invasores utilizaram arquivos de projetos do Blender , uma das plataformas de design 3D open-source mais usadas no mundo, para distribuir o StealC V2 , um infostealer conhecido por roubar dados de navegadores, carteiras de criptomoedas de desktop e credenciais de aplicativos de mensagens, VPNs e plug-ins web. Os arquivos maliciosos eram publicados em CGTrader , um popular marketplace de modelos 3D, onde profissionais baixavam os conteúdos sem suspeitar de que estavam contaminados. O ataque funcionava da seguinte forma: os hackers incorporavam scripts Python ocultos dentro dos arquivos .blend. Como o Blender permite a execução automática de determinados scripts quando o arquivo é aberto, o malware era ativado imediatamente após o usuário clicar no projeto. A Morphisec destacou que a própria forma como o Blender manipula arquivos de projeto cria essa oportunidade de exploração. O StealC, anunciado em fóruns clandestinos da dark web no início de 2023 por cerca de US$ 200 por mês , é amplamente utilizado por grupos hackers. Seu código é configurado para evitar infectar máquinas configuradas nos idiomas russo, ucraniano, bielorrusso ou cazaque , padrão frequentemente associado a campanhas com origem em hackers russos. As vítimas mais comuns estão na América do Norte, Europa Ocidental e partes da Ásia. Embora arquivos do Blender já tenham sido usados em ataques anteriores, esta é a primeira vez que a técnica foi associada ao StealC ou a padrões conhecidos de hackers russos. A Morphisec não atribuiu a campanha a um grupo específico, mas afirmou que ela se assemelha a operações anteriores nas quais invasores se passaram pela Electronic Frontier Foundation  para disseminar o StealC V2 em comunidades gamers, utilizando infraestrutura relacionada ao Pyramid C2 . Via - RFN

Pesquisadores revelaram uma falha estrutural no Microsoft Teams que permite a invasores contornar as proteções do Microsoft Defender for Office 365  por meio do recurso de acesso de convidados . A vulnerabilidade cria um ponto cego entre diferentes locatários (tenants) e pode deixar usuários expostos quando entram como convidados em ambientes externos. Segundo Rhys Downing , pesquisador da Ontinue, quando um usuário atua como convidado em outro tenant, ele passa a depender exclusivamente  das proteções do ambiente que o recebeu e não mais da sua organização original. Esse comportamento, embora facilite a colaboração entre empresas, amplia o risco de exposição caso o tenant anfitrião não seja devidamente seguro ou seja controlado por um hacker. A preocupação se intensifica com a chegada de um novo recurso que permitirá que usuários do Teams conversem com qualquer pessoa via e-mail , mesmo quem não utiliza a plataforma. A funcionalidade já está sendo ativada gradualmente e deve estar disponível mundialmente até janeiro de 2026 . O convidado recebe um e-mail oficial da Microsoft convidando-o para a conversa e esse detalhe é um dos principais pontos de risco. Isso ocorre porque, quando um hacker envia o convite a partir de seu próprio tenant malicioso, o e-mail é entregue pela infraestrutura legítima da Microsoft , passando ileso por verificações como SPF, DKIM e DMARC . Assim, soluções de segurança de e-mail dificilmente identificarão o conteúdo como suspeito. Caso a vítima aceite o convite, ela ingressa no tenant do invasor sem qualquer proteção de Safe Links ou Safe Attachments, abrindo caminho para phishing e distribuição de arquivos maliciosos . Os pesquisadores apontam que o invasor pode facilmente criar “zonas sem proteção” ao habilitar um tenant Microsoft 365 de baixo custo como Teams Essentials ou Business Basic   que não incluem as proteções do Defender . A partir daí, o hacker realiza reconhecimento do alvo, inicia o contato pelo Teams e depende apenas de a vítima aceitar o convite. Outro agravante é que as organizações podem bloquear o envio  de convites externos, mas não podem impedir seus funcionários de receberem  convites vindos de outros tenants. Isso significa que o risco continua existindo mesmo com algumas políticas de restrição habilitadas. Downing afirma que o ataque acontece totalmente fora do alcance da empresa-alvo: “A organização da vítima permanece completamente alheia. Seus controles de segurança não são acionados porque todo o ataque ocorre fora do seu perímetro”. Para mitigar o risco, especialistas recomendam restringir as configurações de colaboração B2B apenas a domínios confiáveis, aplicar políticas de acesso entre tenants, bloquear comunicações externas quando não forem necessárias e treinar usuários para reconhecer convites inesperados do Teams. Via - THN

A fabricante japonesa Asahi, uma das maiores empresas de bebidas do mundo e líder no mercado de cerveja do Japão, confirmou nesta quinta-feira que um ataque de ransomware sofrido no final de setembro pode ter exposto dados pessoais de aproximadamente 1,5 milhão de clientes . A companhia também informou que milhares de funcionários, familiares e contatos externos tiveram seus dados comprometidos. Segundo a empresa , as informações acessadas pelos hackers incluem nomes, gênero, endereços e números de telefone , mas não envolvem dados financeiros como informações de cartão de crédito. Até o momento, a Asahi afirma não ter encontrado evidências de que esses dados tenham sido publicados na internet, e reforça que o incidente se restringiu a sistemas gerenciados no Japão. O ataque provocou uma onda de consequências operacionais: interrompeu linhas de produção, atrasou lançamentos de produtos e afetou o processamento de pedidos e a distribuição em todo o país. Essas interrupções resultaram em escassez temporária de cervejas e refrigerantes, incluindo o popular Asahi Super Dry , responsável por grande parte dos 40% de participação de mercado da empresa. A investigação interna revelou que os invasores conseguiram penetrar na rede do data center da empresa por meio de um equipamento localizado em uma de suas instalações domésticas. A partir daí, implantaram ransomware que criptografou diversos servidores ativos, computadores pessoais e até notebooks corporativos emprestados a colaboradores. A Asahi afirma ter dedicado cerca de dois meses ao controle do incidente e ao processo de recuperação. As remessas estão sendo gradualmente normalizadas e a empresa espera restabelecer suas operações logísticas até fevereiro, embora alguns produtos possam continuar enfrentando atrasos. O impacto também levou ao adiamento de 50 dias  na divulgação dos resultados financeiros anuais devido à paralisação dos sistemas contábeis. O presidente da empresa, Atsushi Katsugi , declarou que a prioridade é restabelecer totalmente os sistemas e fortalecer as defesas internas: “Faremos o máximo para restaurar tudo o mais rápido possível”. A empresa confirmou ainda que não pagou resgate  aos hackers. Embora a Asahi não tenha nomeado os responsáveis, o grupo hacker Qilin , de língua russa e ativo desde 2022, reivindicou o ataque em outubro. O coletivo opera no modelo ransomware-as-a-service e já atacou hospitais, órgãos públicos e empresas privadas. O caso ocorre em meio a uma onda de ataques digitais no Japão. Em meses recentes, companhias como Askul, Kintetsu World Express, NTT Docomo e o conglomerado Kadokawa foram alvo de incidentes semelhantes, muitos atribuídos a grupos hackers especializados em extorsão e vazamento de dados. Via - RFN

Pelo menos três conselhos municipais de Londres enfrentam sérias interrupções após um ataque cibernético que levou autoridades locais a desligarem redes internas, suspenderem linhas telefônicas e acionarem planos emergenciais. As administrações dos bairros de Kensington e Chelsea  e Westminster , que compartilham sistemas de TI por meio de um acordo conjunto, afirmaram que suas equipes estão concentradas em “proteger sistemas e dados, restaurar serviços e manter as operações essenciais para a população”. O conselho de Hammersmith & Fulham  também foi afetado, conforme comunicado publicado em seu site oficial. Esses órgãos são responsáveis por serviços públicos fundamentais, como habitação, assistência social, coleta de lixo e atendimento comunitário atividades que podem sofrer impacto direto dependendo da duração da paralisação. Até o momento, os conselhos não detalharam a natureza do ataque nem atribuíram o incidente a algum grupo hacker. As autoridades informaram que a investigação ainda está em andamento, incluindo a apuração sobre possível roubo de dados. Segundo o site de Kensington, a causa do ataque já foi identificada, mas o conselho afirmou que não divulgará mais informações por enquanto , devido ao trabalho conjunto com forças de segurança do Reino Unido. Via - TC

Uma nova campanha de hacking está explorando clones falsos de sites adultos e pop-ups fraudulentos de atualização do Windows para enganar vítimas e instalar múltiplos stealers em seus computadores. A operação, apelidada de JackFix , foi identificada por Pesquisadores da Acronis, que observaram o uso combinado de malvertising e engenharia social para induzir o usuário a executar comandos perigosos sob o pretexto de uma “atualização crítica” do sistema. Segundo o relatório, os usuários são redirecionados para páginas que imitam plataformas como Pornhub e xHamster. Ao interagir com qualquer elemento, surge uma tela falsa de atualização do Windows que toma o monitor inteiro, instruindo a vítima a abrir o comando Executar , colar um código malicioso e pressionar Enter . A pressão psicológica criada pelo ambiente adulto aumenta a chance de que o usuário cumpra as instruções rapidamente, sem questionar sua legitimidade. A fraude se baseia no padrão ClickFix , uma técnica que tem crescido rapidamente e que, de acordo com a Microsoft , hoje representa 47% dos vetores de acesso inicial  usados por hackers. Diferente dos tradicionais captchas falsos, o JackFix exibe uma página criada apenas com HTML e JavaScript, imitando fielmente a estética de uma atualização genuína do Windows, incluindo fundo azul e texto branco reminiscentes da famosa “tela azul da morte”. Para dificultar a fuga, a campanha tenta bloquear teclas como Esc , F11 , F5  e F12 , embora falhas no código permitam que algumas dessas teclas ainda funcionem. Quando o usuário executa o comando malicioso, o ataque inicia com um payload MSHTA , que utiliza o legítimo mshta.exe  para chamar um script JavaScript. Esse script, por sua vez, aciona um comando PowerShell que se conecta a um servidor remoto para baixar outro script altamente ofuscado. Essa cadeia de ataque utiliza técnicas de ofuscação, verificações anti-análise, redirecionamentos simulados e até exclusões automáticas no Microsoft Defender para garantir que o malware não seja detectado. O PowerShell tenta elevar privilégios, repetindo solicitações de permissão até que o usuário aceite momento em que múltiplos payloads são baixados. A Acronis identificou que o script pode distribuir até oito malwares diferentes ao mesmo tempo , entre eles: Rhadamanthys Stealer Vidar Stealer 2.0 RedLine Stealer Amadey Diversos RATs e loaders adicionais Essa estratégia de “spray and pray” aumenta consideravelmente a chance de infecção. Basta que um dos payloads seja executado com sucesso para que senhas, carteiras de criptomoedas e dados pessoais sejam comprometidos. Uma investigação paralela da Huntress encontrou uma campanha similar, também baseada em ClickFix, que usava esteganografia para esconder o estágio final do ataque em uma imagem PNG. Ambas as operações compartilham domínios e infraestrutura, sugerindo que podem estar conectadas ao mesmo grupo hacker possivelmente de língua russa, devido a comentários de código encontrados nas páginas falsas. O sucesso do ClickFix se explica pela simplicidade brutal da técnica: o usuário, enganado, executa o malware com suas próprias mãos , driblando controles de segurança. Especialistas recomendam treinar equipes para reconhecer esse tipo de fraude e, se possível, desabilitar a caixa Executar  via Políticas de Grupo ou Registro. Via - THN

Diversos gigantes do setor bancário e credores hipotecários dos Estados Unidos estão correndo para avaliar a extensão do roubo de dados envolvendo seus clientes, após um ataque cibernético contra uma empresa de tecnologia financeira sediada em Nova York no início do mês. A vítima é a SitusAMC, fornecedora de soluções tecnológicas para mais de mil instituições de financiamento comercial e imobiliário. Em comunicado divulgado no fim de semana, a companhia confirmou ter identificado um vazamento de dados em 12 de novembro. Segundo a empresa, hackers roubaram informações corporativas relacionadas aos bancos que mantêm relações de negócio com a SitusAMC , incluindo registros contábeis  e acordos legais . A empresa afirmou que o escopo e a natureza do incidente “ainda estão sob investigação”. Apesar disso, declarou que o ataque foi “contido” e que seus sistemas estão funcionando normalmente. A ausência de malware de criptografia indica que os invasores estavam focados exclusivamente em exfiltrar dados, e não em destruir ou bloquear sistemas — um indício típico de ataques silenciosos, orientados a espionagem financeira. Reportagens da Bloomberg e da CNN , citando fontes anônimas, afirmam que a empresa enviou notificações de violação de dados a grandes nomes do mercado, incluindo JPMorgan Chase, Citigroup e Morgan Stanley. O portfólio de clientes também inclui fundos de pensão e governos estaduais. Embora pouco conhecida pelo público, a SitusAMC desempenha um papel crítico na infraestrutura regulatória e operacional do setor financeiro, processando bilhões de documentos ligados a empréstimos todos os anos o que a torna responsável por grande quantidade de informações bancárias sensíveis e não públicas. Ainda não está claro quantos dados foram roubados ou quantos consumidores podem ter sido afetados. A porta-voz do Citi, Patricia Tuma, recusou-se a comentar o caso ou confirmar se o banco recebeu algum tipo de comunicação de extorsão por parte dos hackers. JPMorgan Chase, Morgan Stanley e o CEO da SitusAMC, Michael Franco, também não responderam aos pedidos de comentário. O FBI confirmou que está acompanhando o incidente. Em declaração enviada ao TechCrunch, o diretor Kash Patel informou que a agência trabalha em conjunto com as organizações afetadas para avaliar o impacto, e reforçou que não há, até o momento, qualquer prejuízo operacional aos serviços bancários. “Continuamos comprometidos em identificar os responsáveis e proteger a segurança da nossa infraestrutura crítica”, afirmou. Via - TC

A Agência de Segurança de Infraestrutura e Cibersegurança dos Estados Unidos ( CISA ) emitiu, nesta segunda-feira, um alerta urgente sobre uma série de campanhas internacionais de spyware que estão sendo utilizadas por hackers para sequestrar contas de aplicativos de mensagens altamente populares, como Signal e WhatsApp. Segundo a agência, os invasores estão explorando tanto ferramentas de espionagem comercial quanto trojans de acesso remoto (RATs) para comprometer dispositivos móveis de vítimas cuidadosamente selecionadas. De acordo com o comunicado, esses hackers utilizam técnicas de engenharia social extremamente sofisticadas para forçar a instalação de spyware, abrindo caminho para acesso não autorizado às contas das vítimas e permitindo a implantação de cargas maliciosas adicionais capazes de comprometer por completo o dispositivo-alvo. CISA destacou que diversas campanhas identificadas desde o início do ano demonstram uma escalada preocupante no uso de ferramentas avançadas para invadir plataformas de comunicação supostamente seguras. Entre os casos citados estão ataques conduzidos por grupos hackers alinhados à Rússia, que exploram a funcionalidade de “dispositivos vinculados” do Signal para assumir o controle de contas de usuários. Também foram observadas campanhas de spyware para Android — apelidadas de ProSpy e ToSpy — que se passam por aplicativos legítimos, como Signal e ToTok, para atingir usuários nos Emirados Árabes Unidos e estabelecer acesso persistente aos aparelhos. Outra operação identificada envolve o spyware ClayRat, que tem como alvo usuários na Rússia utilizando canais no Telegram e páginas falsas que imitam apps populares, entre eles WhatsApp, Google Photos, TikTok e YouTube, induzindo a instalação de versões adulteradas para roubo de dados sensíveis. Em paralelo, uma campanha altamente direcionada explorou vulnerabilidades recém-descobertas no iOS e no WhatsApp (CVE-2025-43300 e CVE-2025-55177) para atingir cerca de 200 usuários da plataforma. Além disso, a exploração de uma falha da Samsung (CVE-2025-21042) viabilizou a distribuição do spyware LANDFALL, direcionado a dispositivos Galaxy em países do Oriente Médio. Segundo a CISA , os hackers estão explorando uma variedade de vetores, incluindo QR Codes de vinculação de dispositivos, exploits "zero-click" e versões adulteradas de aplicativos de mensagens. Os alvos dessas campanhas são, majoritariamente, indivíduos de alto valor: autoridades atuais e ex-integrantes de governos, militares, figuras políticas, além de membros de organizações da sociedade civil nos Estados Unidos, no Oriente Médio e na Europa. Para mitigar esse cenário, a CISA recomenda que usuários altamente visados adotem práticas rigorosas de segurança digital, como uso exclusivo de aplicativos com criptografia de ponta a ponta (E2EE), adoção de autenticação resistente a phishing via FIDO, abandono do SMS como método de MFA, utilização de gerenciadores de senhas e atualização frequente de software. A agência também orienta medidas específicas para iOS e Android, como ativação do Lockdown Mode em iPhones e a verificação constante das permissões de aplicativos em ambos os sistemas operacionais. Via - THN

A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) emitiu um alerta urgente após incluir uma falha crítica do Oracle Identity Manager  em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A decisão foi tomada após a confirmação de que hackers já estão explorando ativamente a vulnerabilidade, identificada como CVE-2025-61757 , que recebeu pontuação 9.8 no CVSS  devido ao seu potencial devastador. A falha ocorre devido à ausência de autenticação em uma função crítica , permitindo que um invasor execute código remotamente sem qualquer credencial prévia. Os Pesquisadores da Searchlight Cyber, Adam Kues e Shubham Shah , responsáveis pela descoberta, explicam que o bug possibilita que hackers acessem endpoints de API capazes de manipular fluxos de autenticação, elevar privilégios e se mover lateralmente pelos sistemas centrais de uma organização. A vulnerabilidade decorre de um bypass de um filtro de segurança , que pode ser enganado simplesmente adicionando “?WSDL”  ou “;.wadl”  a uma URI protegida. Esse comportamento é resultado de uma política de allow-list mal implementada, baseada em expressões regulares falhas. Segundo os Pesquisadores, basta essa manipulação para que endpoints críticos sejam tratados como públicos, abrindo porta para a exploração. Uma vez que o bypass é obtido, o invasor pode enviar um HTTP POST especialmente criado  para o: endpoint/iam/governance/applicationmanagement/api/v1/applications/groovyscriptstatuse alcançar execução remota de código . Embora esse endpoint deva apenas validar sintaxe de scripts Groovy, os pesquisadores descobriram uma forma de inserir uma anotação Groovy que executa código no momento da compilação — mesmo que o código compilado não seja executado pelo sistema. Indícios de exploração ativa surgiram após o pesquisador Johannes B. Ullrich , do SANS Technology Institute, identificar tentativas repetidas de acessar o endpoint vulnerável entre 30 de agosto e 9 de setembro de 2025  a partir de múltiplos IPs, todos utilizando o mesmo user-agent, sugerindo a operação de um único hacker coordenando os ataques . As requisições, todas enviadas via POST, tinham payloads de 556 bytes — volume consistente com tentativas de exploração. O comportamento registrado indica que o bug pode ter sido explorado como zero-day , meses antes de a Oracle lançar o patch em sua atualização trimestral. A CISA determinou que todas as agências do governo federal norte-americano apliquem a correção até 12 de dezembro de 2025 , dada a gravidade e o potencial de comprometimento total da infraestrutura de identidade. Via - THN

Uma vulnerabilidade recentemente corrigida no Windows Server Update Services (WSUS)  está sendo explorada por hackers para distribuir ShadowPad , um dos backdoors mais avançados e discretos associados a grupos hackers apoiados pelo Estado chinês. A falha, identificada como CVE-2025-59287 , permite execução remota de código com privilégios de sistema e tem sido alvo de exploração intensa desde a divulgação pública de um código de prova de conceito. Segundo um relatório do AhnLab Security Intelligence Center ( ASEC ) , os invasores têm direcionado servidores Windows com o WSUS habilitado, explorando a falha como porta de entrada. Após comprometer o ambiente, os hackers utilizam PowerCat , uma ferramenta open-source baseada em PowerShell, para obter um shell de comando (CMD). Em seguida, recorrem a utilitários legítimos do Windows, como certutil  e curl , para baixar e instalar o ShadowPad a partir de um servidor remoto. O ShadowPad, sucessor do PlugX e ativo desde 2015, é um backdoor modular conhecido por sua sofisticação em operações de espionagem internacional. Em análises anteriores, Pesquisadores destacaram o malware como uma “obra-prima” da espionagem digital chinesa, dado seu design modular, capacidade de carregar plug-ins em memória e técnicas avançadas para evitar detecção. Os ataques identificados utilizam DLL side-loading , abusando do binário legítimo ETDCtrlHelper.exe  para carregar uma DLL maliciosa ( ETDApix.dll ). Essa DLL atua como um loader residente em memória, permitindo que o ShadowPad execute módulos adicionais que expandem suas funções, incluindo persistência, anti-detecção e comunicação sigilosa com servidores de comando e controle. Além da instalação do backdoor, os hackers têm usado a vulnerabilidade para realizar reconhecimento inicial nos sistemas comprometidos e, em alguns casos, até mesmo instalar ferramentas legítimas como o Velociraptor , frequentemente empregadas para coleta de informações e movimentação lateral em ambientes corporativos. Embora o ShadowPad seja amplamente associado a grupos hackers ligados ao governo chinês, o ataque específico documentado pela AhnLab ainda não foi atribuído a nenhum grupo conhecido. A empresa alerta que a vulnerabilidade é crítica, pois oferece aos invasores controle total da máquina afetada — fator agravado pela rápida adoção da falha após o lançamento do código PoC. Via - THN