← Voltar ao blog

Briefing de segurança, 5 de maio de 2026: RCE do Weaver, Copy Fail, backdoor no PyTorch Lightning e phishing com Amazon SES

O padrão desta manhã é alavancagem do atacante por infraestrutura confiável: software de workflow, kernels Linux, dependências de desenvolvimento e e-mail cloud legítimo viraram caminhos rápidos de ataque assim que os times presumiram que o canal em si era seguro.

---

---

1. O Weaver E-cology mostra de novo que caminhos ocultos de debug viram caminhos reais de intrusão

A BleepingComputer relata que a CVE-2026-22679 no Weaver E-cology vem sendo explorada desde meados de março. A Vega descreve uma RCE sem autenticação por uma API de debug exposta que deixava parâmetros controlados pelo atacante alcançarem funções RPC de backend e comandos do sistema. A atividade observada incluiu reconhecimento, payloads em PowerShell e busca repetida de scripts sem arquivo.

• Atualize imediatamente qualquer build do Weaver E-cology 10.0 anterior à correção de 12 de março.
• Procure nos servidores afetados por atividade de whoami, ipconfig, tasklist, ping e PowerShell iniciada por java.exe.
• Trate sistemas colaborativos expostos como possíveis pontos de apoio para movimento lateral, não apenas como plataformas de documentos.

---

2. O Copy Fail já saiu do paper e virou risco real de root

A CISA adicionou a CVE-2026-31431, chamada Copy Fail, ao catálogo KEV um dia após a divulgação pública. A falha fica na interface algif_aead e permite que usuários locais sem privilégio obtenham root gravando bytes controlados no page cache de qualquer arquivo legível. A Theori afirma que o mesmo exploit funcionou de forma confiável em Ubuntu, Amazon Linux, RHEL e SUSE.

• Priorize atualizações de kernel em sistemas Linux expostos à internet e em servidores multiusuário.
• Considere suspeita qualquer distribuição construída na janela vulnerável desde 2017 até que esteja corrigida.
• Não descarte isso como escalada local de privilégio sem importância; depois do acesso inicial, root é o prêmio real.

---

3. O PyTorch Lightning 2.6.3 transformou uma dependência popular de IA em armadilha de segredos no import

Uma versão maliciosa do lightning 2.6.3 no PyPI baixava Bun automaticamente e executava uma carga JavaScript ofuscada no momento do import. Segundo o relato, a carga mirava dados de navegador, arquivos .env, chaves de API, credenciais de nuvem e também suportava execução arbitrária de comandos. Com mais de 11 milhões de downloads por mês, não é preciso grande escala para causar uma quebra séria de confiança.

• Remova imediatamente o lightning 2.6.3 e fixe uma versão conhecida como segura.
• Rotacione tokens, chaves de API, credenciais de nuvem e segredos em qualquer sistema que tenha importado a versão maliciosa.
• Revise pipelines de build em busca de suposições cegas sobre dependências, especialmente quando a execução no import pode ficar escondida.

---

4. O phishing com Amazon SES mostra como a confiança na nuvem neutraliza defesas baseadas em reputação

A Kaspersky observou aumento de phishing enviado por Amazon SES, muitas vezes viabilizado por chaves AWS IAM vazadas em repositórios públicos, arquivos .env, backups, imagens ou buckets S3 expostos. Como as mensagens saem da infraestrutura legítima do SES, podem passar por SPF, DKIM e DMARC e reduzir bastante a eficácia de bloqueios tradicionais.

• Audite chaves AWS expostas e reduza permissões do SES ao mínimo necessário.
• Rotacione chaves, force MFA e adicione restrições por IP quando possível para identidades de envio.
• Amplie a detecção de phishing além da reputação do remetente e analise comportamento, links e padrões incomuns de envio.

---

O que as equipes de segurança devem fazer hoje

1. Corrigir Weaver E-cology e kernels Linux vulneráveis antes de qualquer trabalho de higiene de prioridade menor.
2. Verificar inventários de software e pipelines de CI em busca do lightning 2.6.3 e depois rotacionar cada segredo afetado.
3. Revisar caminhos de exposição do AWS IAM e tratar o abuso do SES como falha de identidade e gestão de segredos.
4. Alinhar os responders ao tema do dia: infraestrutura confiável também precisa ser verificada, seja endpoint de debug, kernel, pacote ou e-mail cloud.

---

---

Resumo final: A falha comum de hoje é confiar demais em canais que parecem legítimos. A resposta é feia, mas correta: corrigir rápido, rotacionar segredos sem discussão e verificar cada plataforma confiável como se ela já estivesse no caminho do ataque.