Resumo executivo da semana de ameaças
A semana de 16 de agosto de 2026 foi marcada por uma série de incidentes de segurança de alto impacto, consolidando um cenário de ameaças complexo para profissionais de segurança da informação. A Microsoft liberou um Patch Tuesday recorde com 394 vulnerabilidades, incluindo três zero-days, enquanto grupos de ataque como o Lazarus e o Gunra demonstraram capacidades ofensivas avançadas explorando falhas em produtos de segurança e sistemas operacionais críticos. Este boletim detalha as principais descobertas, vetores de ataque e recomendações para equipes de SOC e CISOs.
Campanha do Lazarus e exploração de zero-day no Windows
A Check Point Research identificou uma campanha ativa do grupo Lazarus, vinculado à Coreia do Norte, explorando uma vulnerabilidade zero-day no kernel do Windows, identificada como CVE-2026-68820. A falha reside no driver de função auxiliar (AFD.sys) e permite a execução remota de código com privilégios de sistema. A exploração ocorre através de duas cadeias de infecção distintas: side-loading de DLL e um visualizador de PDF falsificado que se passa por uma ferramenta de privacidade da Enveil.
Uma vez dentro da rede, os atacantes implantam o rootkit FudModule (versão 3.1), que é capaz de cegar mais de 90 provedores ETW (Event Tracing for Windows), dificultando a detecção por ferramentas de monitoramento tradicionais. O malware também utiliza o MISTPEN downloader, que abusa da Microsoft Graph API e do OneDrive para comunicação e controle (C2). A campanha, parte da operação "Dream Job", visa setores de defesa, aeroespacial e aviação na Europa, Índia e Brasil, utilizando iscas de recrutamento falsas.
A Microsoft corrigiu a falha em 11 de agosto, mas a exploração ativa já estava em curso. A presença de backdoors como ForestTiger e um novo implante de 17 comandos chamado Troy indica um nível de persistência e sofisticação que exige monitoramento profundo de logs de autenticação e tráfego de rede.
Ransomware Gunra e bypass de MFA em dispositivos Fortinet
O grupo de ransomware Gunra, derivado do Conti e agora operando como "Golden Community", foi exposto por um alerta conjunto do FBI, CISA, NSA e Coreia do Sul. A tática mais preocupante envolve a exploração de falhas de bypass de autenticação em firewalls Fortinet (CVE-2024-55591 e CVE-2025-24472). Em um caso documentado, os afiliados manipularam arquivos de autenticação em um portal VDI para garantir que uma senha de uso único designada pelo Gunra sempre fosse aceita, neutralizando efetivamente a autenticação multifator (MFA).
Após o acesso inicial, os operadores utilizam ferramentas Impacket para movimento lateral e dump de credenciais, além de roubar cookies de sessão VPN e chaves de criptografia simétrica para descriptografar senhas armazenadas. A exfiltração de dados ocorre via uma ferramenta personalizada chamada main.exe, seguida de criptografia de arquivos com ChaCha20/RSA-4096 e extensão .ENCRT. As vítimas são pressionadas através de portais Tor ou qTox com prazos de cinco a sete dias.
Para as organizações que utilizam Fortinet, a prioridade imediata é aplicar os patches de autenticação e revisar logs de acesso administrativo, especialmente em gateways de VPN e dispositivos de borda expostos à internet.
Zero-day na Cisco e vulnerabilidades críticas no Patch Tuesday
A Cisco confirmou a exploração ativa de uma vulnerabilidade zero-day (CVE-2026-20349) em seus firewalls Secure Firewall ASA e FTD. A falha é uma negação de serviço não autenticada no serviço de VPN SSL de acesso remoto, onde a verificação insuficiente de erros ao processar solicitações HTTP permite que um atacante derrube o appliance com uma única solicitação manipulada. Isso interrompe sessões VPN e conectividade site-to-site na borda da rede.
Paralelamente, o Patch Tuesday da Microsoft de agosto de 2026 corrigiu 394 vulnerabilidades. Destacam-se três zero-days: CVE-2026-72971 (isolamento de contêineres), CVE-2026-62832 (elevação de privilégio no serviço de perfil de usuário) e o já mencionado CVE-2026-68820 (AFD.sys). Além disso, uma RCE crítica no Azure Attestation (CVE-2026-71331) e falhas no Exchange Server (CVE-2026-62911 e CVE-2026-62913) exigem atenção imediata.
As falhas no Exchange Server incluem um bypass de autenticação por replay (CVE-2026-62911) e um estouro de buffer heap não autenticado (CVE-2026-62913) que permite RCE sem interação do usuário. Administradores de Exchange on-premises devem aplicar os patches imediatamente e auditar atividades de autenticação anômalas.
Outras vulnerabilidades de alto impacto
Além dos grandes players, outras falhas críticas foram divulgadas. A Palo Alto Networks corrigiu 11 vulnerabilidades em PAN-OS, GlobalProtect e Prisma Access, com destaque para falhas de escalonamento de privilégio no GlobalProtect App. A TP-Link divulgou cinco falhas de alta severidade em dispositivos gerenciados por ISPs, incluindo bypass de autenticação (CVE-2025-30237) e injeção de comando OS (CVE-2025-30241).
A Fortinet corrigiu falhas de autenticação em FortiWeb (CVE-2026-26035, CVSS até 9.8), onde contas administrativas com autenticação RADIUS wildcard podiam aceitar qualquer nome de usuário e senha. A VMware também enfrenta varreduras ativas explorando falhas no vCenter (CVE-2026-59309), que permite bypass de autenticação e controle do plano de gerenciamento.
Recomendações para CISOs e equipes de SOC
Diante deste cenário, as seguintes ações são recomendadas:
- Priorizar a aplicação dos patches de agosto da Microsoft, especialmente os relacionados aos zero-days e falhas críticas no Exchange e Azure.
- Revisar configurações de autenticação em firewalls Fortinet e Cisco, garantindo que não haja configurações de wildcard ou bypass de MFA.
- Monitorar tráfego de rede para atividades suspeitas relacionadas ao Lazarus, incluindo conexões C2 via Microsoft Graph e OneDrive.
- Implementar segmentação de rede para limitar o movimento lateral caso uma vulnerabilidade seja explorada.
- Reforçar a conscientização de phishing, especialmente para campanhas de recrutamento falsas que visam setores críticos.
Conclusão
A semana de 16 de agosto de 2026 reforça a necessidade de uma postura de segurança proativa. A exploração ativa de zero-days por grupos patrocinados por estados-nação e a sofisticação das táticas de ransomware exigem que as organizações não apenas apliquem patches, mas também monitorem continuamente seu ambiente em busca de indicadores de comprometimento (IOCs) e comportamentos anômalos.