A semana de segurança cibernética apresentou um cenário de ameaças diversificado e crítico, onde sistemas de identidade, ferramentas de produtividade e infraestruturas de nuvem foram alvo de explorações ativas. A Microsoft corrigiu cerca de 570 vulnerabilidades em seu Patch Tuesday, incluindo dois zero-days já explorados em produção, enquanto o ecossistema WordPress enfrentou uma falha de execução remota de código (RCE) que expõe mais de 500 milhões de sites. Além disso, a Ernst & Young confirmou um vazamento de dados de clientes, e novas técnicas de ataque envolvendo inteligência artificial, como o GhostCommit, emergiram como vetores de risco para desenvolvedores.
Microsoft Patch Tuesday: 570 vulnerabilidades corrigidas
O ciclo de atualizações de segurança da Microsoft para julho de 2026 foi um dos mais volumosos dos últimos tempos, abordando aproximadamente 570 vulnerabilidades. Dentre elas, destacam-se dois zero-days que já estavam sendo explorados em ataques ativos contra servidores SharePoint e Active Directory Federation Services (AD FS). A correção de CVE-2026-56164 no SharePoint Server e CVE-2026-56155 no AD FS é prioritária para organizações que dependem dessas plataformas para colaboração e autenticação federada.
Além dos zero-days, a atualização também incluiu a correção de uma falha de bypass do BitLocker, que poderia permitir o acesso não autorizado a dados criptografados em determinados cenários de boot. Para os CISOs, a prioridade imediata deve ser a aplicação desses patches em ambientes críticos, especialmente aqueles expostos à internet ou que processam dados sensíveis.
Falha wp2shell RCE atinge WordPress
Uma vulnerabilidade crítica de execução remota de código (RCE), apelidada de "wp2shell", foi identificada no ecossistema WordPress. Rastreada como CVE-2026-60137 e CVE-2026-63030, a falha permite que atacantes realizem a tomada de controle não autenticada de sites WordPress através de uma cadeia de injeção SQL na rota de batch da API REST. Com mais de 500 milhões de sites utilizando a plataforma, o impacto potencial é massivo.
A exploração dessa falha não requer credenciais de administrador, o que a torna particularmente perigosa. Administradores de sistemas devem verificar imediatamente a versão de seus plugins e temas, aplicando as correções mais recentes e monitorando logs de acesso para atividades suspeitas na API REST.
Vazamento de dados da EY expõe informações fiscais de clientes
A Ernst & Young (EY) confirmou que um terceiro não autorizado acessou sua plataforma de suporte técnico de TI entre 28 de março e 12 de abril de 2026. Durante esse período, documentos fiscais e de investimento de clientes foram baixados antes que a intrusão fosse detectada quase três semanas depois. Este incidente reforça a necessidade de revisão de controles de acesso em plataformas de suporte e a implementação de monitoramento contínuo de atividades anômalas.
Para empresas que utilizam serviços de consultoria e auditoria, é crucial verificar se seus dados foram comprometidos e revisar os contratos de segurança com fornecedores de serviços em nuvem e suporte técnico.
Ataque GhostCommit esconde prompts maliciosos
Uma nova técnica de ataque, denominada "GhostCommit", foi descoberta, que esconde prompts de inteligência artificial maliciosos dentro de commits de código. Essa abordagem permite que atacantes manipulem assistentes de codificação de IA sem o conhecimento dos desenvolvedores, potencialmente injetando código vulnerável ou malicioso em projetos legítimos.
Além disso, uma falha foi identificada na integração do Claude para Chrome, levantando preocupações sobre a superfície de ataque de extensões de navegador que utilizam assistentes de IA. Desenvolvedores e equipes de DevSecOps devem revisar seus fluxos de trabalho de IA e implementar verificações de integridade nos commits de código.
Cadeia de exploração GPT-5/6 "Sol" no Chrome é descoberta
Pesquisadores detalharam uma cadeia de exploração que combina modelos de IA da era GPT-5/6 (apelidados de "Sol") com vulnerabilidades do navegador Chrome. Essa técnica ilustra como atacantes estão começando a utilizar modelos de IA avançados para automatizar e refinar ataques cibernéticos, explorando vulnerabilidades de navegador para obter acesso inicial.
Essa evolução tática sugere que a segurança de endpoints e a proteção de navegadores devem ser reforçadas, especialmente em ambientes onde assistentes de IA são integrados diretamente ao fluxo de trabalho do usuário.
Outras correções críticas: Fortinet, F5, Splunk e Dell
Além das grandes atualizações da Microsoft, outros fabricantes emitiram correções urgentes. A Fortinet corrigiu sete vulnerabilidades em seu portfólio de produtos de segurança, enquanto a F5 abordou várias falhas em componentes Nginx dentro de sua linha de produtos. A Splunk também lançou correções para vulnerabilidades em seu produto Enterprise, que poderiam afetar a integridade dos dados e a segurança da plataforma.
A Dell enfrentou dois problemas distintos: uma falha no BIOS que poderia expor senhas de administrador e um problema de desligamento inesperado de laptops após a atualização de julho. Empresas com frotas de dispositivos Dell devem verificar os status de firmware e aplicar as correções de BIOS disponíveis.
Recomendações para CISOs e equipes de segurança
Diante do cenário atual, as equipes de segurança devem priorizar as seguintes ações:
- Aplicação de patches: Garantir que os patches da Microsoft, WordPress, Fortinet, F5, Splunk e Dell sejam aplicados imediatamente em ambientes críticos.
- Monitoramento de API: Implementar monitoramento específico para atividades suspeitas na API REST do WordPress e em endpoints de suporte técnico.
- Revisão de IA: Avaliar os riscos de integração de IA no fluxo de trabalho de desenvolvimento e implementar controles de segurança para commits de código.
- Verificação de extensões: Revisar e auditar extensões de navegador instaladas, especialmente aquelas que interagem com serviços de IA.
Perguntas frequentes
Qual a prioridade imediata para as organizações? A aplicação dos patches da Microsoft e a correção da vulnerabilidade wp2shell no WordPress são as prioridades mais críticas devido ao risco de exploração ativa.
Como mitigar o risco do ataque GhostCommit? Implementar verificações de integridade nos commits de código e revisar os prompts utilizados por assistentes de IA em ambientes de desenvolvimento.
Quais setores são mais afetados? Organizações que utilizam SharePoint, WordPress, AD FS e serviços de consultoria como a EY estão diretamente impactadas.