O quarto trimestre de 2025 foi um dos períodos mais intensos já registrados em termos de divulgação de vulnerabilidades críticas de alto perfil, atingindo bibliotecas populares e aplicações mainstream. Várias dessas falhas foram rapidamente incorporadas por atacantes e exploradas ativamente na natureza, segundo um novo relatório da Kaspersky. A análise estatística revela um aumento alarmante nos ataques contra dispositivos Linux e a persistência de vetores antigos, mas ainda eficazes, no ecossistema Windows.
O que mudou agora: Linux na mira
O dado mais significativo do relatório é o aumento massivo nas tentativas de exploração contra sistemas baseados em Linux. No quarto trimestre, o número de usuários afetados dobrou em comparação com o Q3. As estatísticas da Kaspersky mostram que o período final do ano foi responsável por mais da metade de todos os ataques com exploits contra Linux registrados em todo o ano de 2025.
"Este aumento é impulsionado principalmente pelo número crescente de dispositivos de consumo baseados em Linux", afirma o relatório. "Essa tendência naturalmente atrai a atenção dos agentes de ameaça, tornando a instalação de patches de segurança criticamente importante."
As vulnerabilidades mais exploradas em Linux no período foram:
- CVE-2022-0847 (Dirty Pipe): Permite escalonamento de privilégio e controle de aplicações em execução.
- CVE-2019-13272: Falha no manuseio de herança de privilégio, levando a escalonamento.
- CVE-2021-22555: Heap overflow no subsistema Netfilter do kernel.
- CVE-2023-32233: Condição use-after-free no Netfilter, permitindo escalonamento de privilégio.
Vetores persistentes no Windows
No lado Windows, o cenário permaneceu estável, mas preocupante, com atacantes continuando a explorar falhas antigas e não corrigidas. As soluções da Kaspersky detectaram mais exploits na plataforma Windows para as seguintes vulnerabilidades, uma lista que "permanece inalterada há anos":
- CVE-2018-0802: Execução remota de código no Equation Editor do Microsoft Office.
- CVE-2017-11882: Outra falha de RCE no Equation Editor.
- CVE-2017-0199: Vulnerabilidade no Microsoft Office e WordPad que permite ao atacante assumir o controle do sistema.
Além disso, os pesquisadores observaram um aumento no uso de exploits para vulnerabilidades de travessia de diretório (CWE-35) em arquivadores como o WinRAR, sendo usados pesadamente para obter acesso inicial via arquivos maliciosos. As falhas CVE-2023-38831, CVE-2025-6218 e CVE-2025-8088 foram as mais notórias.
Exploração em ataques APT e frameworks de C2
O relatório também analisa quais vulnerabilidades foram utilizadas em ataques de Ameaça Persistente Avançada (APT) durante o Q4 de 2025. Destaque para a exploração frequente de vulnerabilidades recentes, publicadas nos últimos seis meses. "Acreditamos que esses CVEs permanecerão favoritos entre os atacantes por muito tempo, pois corrigi-los pode exigir mudanças estruturais significativas", alerta a Kaspersky.
Entre as falhas mais usadas em conjunto com frameworks de Comando e Controle (C2) em ataques APT estão:
- CVE-2025-55182 (React2Shell): Em React Server Components, permite que um usuário não autenticado execute comandos diretamente no servidor.
- CVE-2025-53770: Desserialização insegura crítica no Microsoft SharePoint.
- CVE-2020-1472 (Zerologon) e CVE-2021-34527 (PrintNightmare): Falhas consolidadas no repertório dos atacantes.
O framework de C2 Sliver manteve a primeira posição entre os mais comuns na análise do Q4, seguido por Mythic e Havoc.
Vulnerabilidades notáveis do trimestre
O relatório destaca algumas falhas de alto impacto divulgadas publicamente no período:
- React2Shell (CVE-2025-55182): Vulnerabilidade na biblioteca React, com potencial para afetar um vasto número de aplicações web.
- RediShell (CVE-2025-49844): Use-after-free no Redis, que rapidamente gerou uma onda de falsos PoCs e scanners gerados por LLMs na internet.
- CVE-2025-59287: Desserialização insegura no Windows Server Update Services (WSUS), explorável sem autenticação e que rapidamente ganhou tração entre agentes de ameaça.
- CVE-2025-24990: Falha no driver legado ltmdm64.sys, presente desde o Windows 7 e removido da distribuição após a descoberta.
Conclusão e recomendações
"No Q4 de 2025, a taxa de registro de vulnerabilidades não mostrou sinais de desaceleração", conclui o relatório. "Consequentemente, o monitoramento consistente e a aplicação oportuna de patches de segurança tornaram-se mais críticos do que nunca."
A Kaspersky enfatiza a necessidade de avaliação e correção regulares de vulnerabilidades conhecidas, monitoramento contínuo da infraestrutura e adoção de soluções capazes de bloquear malware e prevenir sua propagação. A automação dos fluxos de trabalho de gerenciamento de patches também é destacada como uma medida essencial para organizações que buscam resiliência.