← Voltar ao blog

Briefing de segurança, 18 de abril de 2026: exploração de ActiveMQ, zero-days do Windows e impacto LSASS

O briefing de segurança de hoje reúne três sinais concretos: a CISA marcou a exploração de Apache ActiveMQ, a Huntress está vendo zero-days vazados de escalonamento de privilégios no Windows em intrusões reais, e a Microsoft confirmou loops de falha do LSASS em alguns controladores de domínio corrigidos.

---

---

1. ActiveMQ saiu da fila de patch para exploração ativa

A CISA adicionou a CVE-2026-34197 ao catálogo KEV após a confirmação de exploração ativa. A falha afeta o Apache ActiveMQ Classic, decorre de validação incorreta de entrada e permite execução remota de código por usuário autenticado. O Apache corrigiu o problema nas versões 6.2.3 e 5.19.4, mas brokers expostos continuam sendo um alvo fácil. A Shadowserver ainda monitora mais de 7.500 sistemas expostos à internet.

• Corrija imediatamente quaisquer nós expostos do ActiveMQ Classic e confirme a versão realmente em execução.
• Revise os logs do broker em busca de uso suspeito de brokerConfig=xbean:http:// e atividade de transporte VM.
• Se um broker estiver exposto à internet e for crítico para o negócio, assuma pós-exploração possível até prova em contrário.

---

2. Zero-days vazados do Windows agora fazem parte de intrusões reais

A Huntress relatou técnicas BlueHammer, RedSun e UnDefend sendo usadas no mundo real. BlueHammer foi corrigido em abril, mas RedSun e UnDefend ainda não têm correções completas do fornecedor. A atividade observada incluiu um usuário de SSL VPN comprometido seguido por comportamento interativo do invasor. Isso já não é apenas PoC de pesquisador no GitHub.

• Trate acesso recente vindo de VPN como possível ponto de apoio para escalonamento de privilégios, especialmente em hosts Windows com Defender ativo.
• Não assuma que o Patch Tuesday de abril fechou completamente esse conjunto. Duas técnicas ainda exigem controles compensatórios e monitoramento próximo.
• Colete evidências de endpoint antes da limpeza se supressão de atualização do Defender e ações repentinas em nível SYSTEM aparecerem juntas.

---

3. O patching de servidores de abril também traz uma armadilha de disponibilidade

A Microsoft confirmou que o KB5082063 pode provocar falhas de LSASS e loops de reinicialização em alguns controladores de domínio não-Global Catalog em ambientes de Privileged Access Management. Isso transforma um rollout rotineiro de segurança em risco de indisponibilidade de identidade. Autenticação instável pode anular rapidamente o ganho operacional de corrigir depressa.

• Pause o rollout amplo em controladores de domínio non-GC ligados a PAM até validar se o ambiente atende às condições descritas pela Microsoft.
• Coordene equipes de segurança e identidade antes das ondas de patch, porque o risco agora é exploração e falha de autenticação.
• Tenha rollback e suporte prontos antes de tocar controladores de domínio que atendem autenticação logo no início da inicialização.

---

O que as equipes de segurança devem fazer hoje

1. Conclua primeiro a triagem emergencial do ActiveMQ, especialmente em brokers expostos e implantações Classic antigas.
2. Procure artefatos de BlueHammer, RedSun e UnDefend onde acesso recente por VPN ou escalonamento administrativo parecer suspeito.
3. Valide se controladores de domínio PAM estão no escopo antes de ampliar o rollout do KB5082063.
4. Envie à liderança uma atualização clara separando pressão de exploração de risco de instabilidade do patch.

---

Bottom line: Defesa madura hoje significa trabalhar em três velocidades ao mesmo tempo: corrigir o broker exposto, caçar o ponto de apoio no Windows e desacelerar qualquer rollout que possa derrubar a identidade.