Pacific News #321: O Rei das Abóboras

Assunto do momento: Black October: o Halloween da cibersegurança na era da IA 

O que aconteceu: “Black October" é o apelido que a comunidade de cibersegurança deu, e a imprensa adotou, para a sequência de divulgações críticas de vulnerabilidades concentrada entre 19 e 22 de outubro de 2026. Não é um incidente único nem um nome oficial, mas um guarda-chuva que reúne várias falhas graves que vieram à tona quase ao mesmo tempo.

O caso central: O rosto da Black October é o PHP2Shell, duas falhas críticas no núcleo do PHP, a linguagem que roda cerca de 70% dos sites do mundo. Os detalhes vazaram um dia antes da divulgação combinada, o que obrigou o time do PHP a liberar a correção às pressas em 21 de outubro. As falhas foram encontradas com ajuda de IA, dentro da iniciativa Patch the Planet, da OpenAI. Governos da Holanda, França e Alemanha tiraram sites do ar por precaução, e FBI, CISA e agências europeias publicaram alertas urgentes.

Não foi um caso isolado: O PHP concentrou os holofotes, mas não veio sozinho. Na mesma janela apareceram uma falha crítica no GitLab, capaz de dar controle total de servidores autogerenciados; o Node2Shell, no decodificador Brotli, que atinge Node.js e outras plataformas; problemas em NGINX e no HTTP/3; e um ataque de cadeia de suprimentos no LiteLLM, biblioteca popular de IA que teve um ladrão de senhas embutido na versão 1.107.0.

O X da questão: Tudo desabou junto. A concentração de anúncios em poucos dias produziu o efeito de choque, ainda que vários desses problemas já existissem havia meses ou anos.

Por que isso importa: A IA se tornou, ao mesmo tempo, a melhor ferramenta de quem defende e de quem ataca. As falhas sempre existiram; o que mudou foi a IA tornar viável achá-las, e explorá-las, numa escala e velocidade que nenhuma equipe humana acompanha.

Sim, mas: Do lado da defesa, a OpenAI afirma que a IA encontrou as brechas antes dos criminosos. Do lado do ataque, já há agentes autônomos fazendo o serviço quase sozinhos: um operador mirou mais de 1.200 sites usando a ferramenta Cairn por cerca de US$ 5 mil em tokens, e a Microsoft rastreou o framework ARTEX automatizando etapas de invasão.

Saiba mais: Para especialistas, tudo “vai piorar antes de melhorar”. Jason Clinton, vice-CISO da Anthropic, classificou a semana como "code red" e disse esperar que a situação fique bem pior antes de melhorar. Chris Krebs, ex-diretor da CISA, reforçou o alerta à CNBC na linha que defende há anos: escanear vulnerabilidades sem parar e aposentar sistemas legados antes que virem porta de entrada. Para quem administra sistemas, o básico resolve a maior parte: atualizar o PHP para as versões corrigidas, revisar logs (inclusive anteriores à divulgação, já que houve exploração antes do patch) e desconfiar de mitigações parciais, que cobrem só alguns caminhos de ataque. O horizonte que a comunidade desenha é de um tsunami de vulnerabilidades, em que a pergunta deixa de ser "se" uma falha antiga vai aparecer e passa a ser "quando", e quem chega primeiro. A Black October não foi o grande ataque: foi o aviso de que o relógio da segurança agora corre no tempo da máquina.

Grupo cibercriminoso está roubando cartões de crédito em compras digitais

O que aconteceu? Um grupo de Magecart brasileiro, ativo desde 2024, plantou um skimmer de cartão no script de analytics da Convertr, plataforma que roda as lojas e o checkout de dezenas de marcas de moda brasileiras. Desde 24 de outubro, todo checkout da Convertr carregava o código malicioso, que capturava número do cartão, validade, CVV, nome e CPF do comprador e enviava tudo para um servidor dos atacantes.

Por que isso importa? Não é um ataque genérico lá fora: é brasileiro, mira o consumidor daqui e rouba justamente o CPF, usado pelos bancos para identificar clientes. Como basta um arquivo infectado no servidor de analytics para contaminar todas as lojas que o carregam, um único ponto comprometido atingiu dezenas de marcas de uma vez. A Sansec, que descobriu o ataque, diz que notificou a Convertr e não teve resposta; dias depois, o código malicioso ainda estava no ar.

O que fazer? Quem comprou em loja brasileira desde 24 de outubro e viu “checkout.convertr” no endereço da página de pagamento deve pedir ao banco o bloqueio e a troca do cartão e ficar atento a fraudes com o CPF. O ponto de entrada suspeito é uma falha crítica do Plausible (CVE-2026-8467) que a Convertr nunca corrigiu, corrigida pelo fornecedor em maio. (Sansec)

Japão: empresas passam a indenizar clientes após onda de ciberataques

O que aconteceu? O conglomerado japonês GMO Internet teve seu serviço de câmbio invadido por cibercriminosos que exigiram 50 milhões de dólares em criptomoedas para não vazar as informações roubadas. A empresa recusou a chantagem, acionou a polícia e prometeu cobrir todos os prejuízos dos clientes, pagar cerca de 32 dólares (5 mil ienes) a cada usuário afetado e oferecer seis meses de serviço gratuito. O próprio presidente da GMO admitiu que a equipe interna de segurança já havia alertado sobre as brechas, mas a correção foi lenta e superficial, o que fez as ações da companhia despencarem quase 16% em apenas um dia. O episódio não é isolado: a Park24, dona do serviço de carros compartilhados Times Car, também indenizará clientes em cerca de 20 dólares (3 mil ienes) após um vazamento recente, prevê perdas de 5,5 bilhões de ienes e deixará de guardar fotos de documentos após o cadastro.

Por que isso importa? Indenizar diretamente os clientes virou parte fixa da conta de um ataque cibernético, somando-se às multas do governo e aos custos para reconstruir os sistemas. Além disso, os gastos corporativos com defesa devem disparar, já que a maioria das empresas já possui proteções básicas e dar o próximo passo rumo a defesas mais robustas custa caro. 

Cenário geral: O Japão já registrou 723 incidentes cibernéticos até meados de outubro, superando os números fechados de 2024 e 2025 inteiros. Embora parte desse salto decorra de novas exigências de transparência que expõem mais os casos, o uso de Inteligência Artificial por criminosos acelerou a escala dos ataques, automatizando desde a busca por falhas em sistemas até a criação de golpes sob medida. Com falhas críticas derrubando páginas corporativas e governamentais recentemente, o governo prepara um pacote emergencial de segurança e formará um grupo dedicado a simular ataques via IA, enquanto executivos do setor pressionam pela aplicação imediata da nova lei de defesa ativa, que autoriza o Estado a neutralizar servidores hostis no exterior.

Papo Rápido

@Ataques

A CISA confirmou que as duas falhas críticas do PHP conhecidas como PHP2Shell (CVE-2026-109618 e CVE-2026-109619) já estão sendo exploradas em ataques reais e as incluiu no seu catálogo de vulnerabilidades ativamente exploradas, dando prazo até quinta-feira para as agências federais corrigirem. A exploração em campo foi confirmada no fim de semana, com honeypots registrando execução remota de código contra um servidor Apache mod_php. Como o PHP roda em cerca de 70% dos sites, com milhões de instâncias expostas, a recomendação é aplicar os patches sem demora. (BleepingComputer) 

Pesquisadores obsertvaram um novo ataque que abusa da confiança que agentes de código depositam em arquivos markdown. A tática é um prompt injection indireto: o atacante planta um arquivo .md malicioso na pasta de downloads da vítima e, quando o agente o lê como se fossem instruções confiáveis, acaba sendo levado a alterar sua configuração, baixar malware e roubar tokens de sessão. O ataque foi reproduzido no Codex e no Claude Code e só exige que o agente tenha acesso à pasta de downloads e possa interagir com conteúdo da web. (DarkReading) 

@Patches

Uma falha crítica (CVE-2026-111497) no decodificador Brotli do Google, biblioteca de compressão usada por boa parte da web, disparou uma onda de correções. Apelidada de Node2Shell, é uma escrita fora dos limites de memória que pode travar o processo, vazar dados ou abrir caminho para execução remota de código. Node.js, Microsoft, Python e vários outros projetos já lançaram patches, e a recomendação é atualizar sem demora. Ainda não há exploração confirmada em campo. (SecurityWeek) 

@Mundo

O grupo norte-coreano Lazarus está por trás de uma campanha de espionagem, batizada de Operation FlashHole, que atingiu ao menos três organizações sul-coreanas nos setores de construção, software e fabricação de equipamentos de comunicação. Segundo a Kaspersky, os ataques começam com e-mails de spear-phishing que levam a sites falsos de currículo e abusam do INISAFE CrossWeb EX, software de segurança financeira obrigatório para acessar bancos e serviços públicos no país, para instalar malware. O detalhe que mais chama atenção é que o malware adota criptografia pós-quântica (ML-KEM-1024) para esconder a comunicação com os servidores dos atacantes. (TheHackerNews) 

A ASD, agência de inteligência cibernética da Austrália, alertou no seu relatório anual que os australianos devem se preparar para ver serviços online essenciais saírem do ar de forma inesperada, à medida que a IA acelera a escala e a velocidade dos ataques. A lógica central é uma priorização da segurança em vez da disponibilidade, o que pode significar derrubar serviços temporariamente para protegê-los. A agência respondeu a mais de 1.500 incidentes no último ano fiscal, alta de mais de 20%, e os serviços financeiros e de seguros foram o setor de infraestrutura crítica mais atingido. (TheGuardian)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa