Briefing de segurança, 29 de abril de 2026: roubo de segredos no LiteLLM, escalada PhantomRPC no Windows e violação de fornecedor na Vimeo

O padrão de hoje é feio e consistente: middleware confiável, encanamento confiável do sistema operacional e fornecedores confiáveis estão sendo usados como pontos de ruptura de alta alavancagem.

---

---

1. O LiteLLM saiu da divulgação para o roubo de segredos em cerca de 36 horas

Atacantes estão explorando o CVE-2026-42208, uma SQL injection pré-autenticação na verificação de chaves API do proxy do LiteLLM. A Sysdig observou consultas dirigidas a tabelas com credenciais de provedores, chaves API, segredos de ambiente e dados de configuração. Isso importa porque o LiteLLM fica na frente de múltiplos provedores de modelos; uma instância exposta pode virar pivô para OpenAI, Anthropic, Bedrock e qualquer outro serviço gerenciado pelo proxy.

• Atualize imediatamente para o LiteLLM 1.83.7 ou superior.
• Trate instâncias vulneráveis expostas à internet como potencialmente comprometidas e rotacione todas as chaves de provedor, mestre e virtuais armazenadas.
• Se realmente não puder aplicar patch agora, use a mitigação temporária do mantenedor e reduza drasticamente a exposição pública.

---

2. O PhantomRPC mostra que as fronteiras de privilégio do Windows continuam confiando demais

A pesquisa PhantomRPC da Kaspersky descreve uma fraqueza arquitetural no Windows RPC: o runtime não valida se um servidor RPC é legítimo antes de clientes privilegiados falarem com ele. Um serviço comprometido pode levantar um endpoint falso, esperar uma chamada RPC privilegiada e impersonar o chamador até SYSTEM. A Microsoft teria classificado o problema como moderado e não planeja correção imediata, então defensores precisam de controles compensatórios em vez de esperar mágica de Patch Tuesday.

• Procure exposição incomum de endpoints RPC a partir de serviços de baixo privilégio, especialmente onde TermService, DHCP ou Windows Time sejam relevantes.
• Revise quais serviços possuem privilégios de impersonação e se realmente precisam deles.
• Escalada local continua importante quando já existe malware, pós-exploração ou ambientes Windows multiusuário.

---

3. A Vimeo confirmou o raio real da violação da Anodot

A Vimeo informou que invasores acessaram bancos com endereços de e-mail, dados técnicos e metadados de vídeo após comprometerem a plataforma de analytics Anodot. A empresa diz que conteúdo de vídeo, credenciais válidas e dados de cartão não foram expostos, mas isso continua sendo um problema clássico de confiança em fornecedores: integrações analíticas costumam ficar perto o bastante da produção para transformar um incidente no fornecedor em uma violação real. O grupo ShinyHunters reivindica a intrusão e ameaça vazar os dados se não houver pagamento até 30 de abril.

• Inventarie todas as integrações de analytics e suporte de terceiros que tocam metadados de clientes, não apenas os sistemas centrais de produção.
• Desative ou rotacione rapidamente credenciais do fornecedor quando um parceiro for comprometido.
• Prepare a comunicação com clientes sobre exposição de metadados, porque invasores adoram transformar isso em phishing e extorsão.

KENSAI publishes daily security briefings focused on exploitable paths, operational impact, and what defenders should do next.