Editoria de segurança
Shit Hits The Fan
Todo incidente de segurança dos últimos 30 dias que desenvolvedores precisam conhecer – com nota de 0 a 100 e ordenado pela urgência com que você deve agir.
Último incêndio sério
—
Um incêndio novo a cada
—
Incidentes nesta semana
5
Acompanhados · 30 dias
5
A tier list
- Nada aqui no momento.
- Nada aqui no momento.
O ranking
- B45
Malware · alta
CWPdoor: malware adulterado no Control Web Panel oculta comandos de invasores
Quem está exposto: Servidores Linux que utilizam o Control Web Panel
Tier B porque: Explorada OU exploit público
Alcance
Ataque
Dano
Correção
Explorada · Controle total
Checklist · 3 de 10 com sim
Sim Atinge times de tecnologia Painel de controle de servidores Linux usado por equipes de TI e operações de hospedagem. Não Infraestrutura central Trata-se de um único painel de hospedagem, não de software de infraestrutura central como OpenSSH ou kernel Linux. Não Ferramenta popular Control Web Panel é um produto de nicho para hospedagem, não um framework amplamente usado por desenvolvedores. Sim Explorada Minuto da Segurança da Informação: malware compromete servidores Linux e oculta comandos dos invasores. Não Exploit público Minuto da Segurança da Informação não menciona código de exploit ou prova de conceito publicada. Não Remota, sem login Minuto da Segurança da Informação não informa se a exploração exige credenciais ou ação da vítima. Sim Controle total Minuto da Segurança da Informação: a versão adulterada permite executar comandos remotamente nos servidores. Não Segredos expostos Minuto da Segurança da Informação não relata roubo de credenciais, chaves ou dados. Não Cadeia de suprimentos Minuto da Segurança da Informação não diz por qual canal de distribuição a versão adulterada chegou aos servidores. Não Ainda sem correção Minuto da Segurança da Informação não menciona versão corrigida nem ausência de correção. Minuto da Segurança da Informação · · Detalhes e compartilhar
- B44
Vulnerabilidade · média
Switches Zyxel GS1900 seguem vulneráveis mesmo após correção anterior
Quem está exposto: Switches Zyxel GS1900 usados em redes corporativas
Tier B porque: Controle total OU segredos expostos OU cadeia de suprimentos
Alcance
Ataque
Dano
Correção
Controle total · Ainda sem correção
- CVE-2026-107441
Checklist · 3 de 10 com sim
Sim Atinge times de tecnologia Switches de rede corporativa são operados por times de TI, que respondem pela segurança desses equipamentos. Não Infraestrutura central Switch de um único fornecedor (Zyxel GS1900), não software de infraestrutura que quase todo time opera. Não Ferramenta popular Equipamento de rede de um fornecedor específico, não framework ou ferramenta de desenvolvimento amplamente usada. Não Explorada Minuto da Segurança relata apenas que os switches seguem vulneráveis; não cita ataques observados. Não Exploit público Minuto da Segurança não menciona exploit ou prova de conceito publicada. Não Remota, sem login CVSSCVSS: CVE-2026-107441 AV:A/PR:N/UI:N Sim Controle total CVSSCVE-2026-107441: o CVSS avalia como alto o impacto em confidencialidade e integridade Não Segredos expostos Minuto da Segurança não relata roubo ou exposição de credenciais ou dados. Não Cadeia de suprimentos Minuto da Segurança trata de vulnerabilidade em switches, sem comprometimento de canal de distribuição. Sim Ainda sem correção Minuto da Segurança: switches GS1900 continuaram vulneráveis mesmo após correção anterior, indicando correção incompleta. Minuto da Segurança da Informação · · Detalhes e compartilhar
O que fazer
- Verificar se os switches GS1900 estão com a versão de firmware mais recente e se a vulnerabilidade foi de fato corrigida.
- C20
Segurança · checklist estimado
Nvidia abre investigação após suspeitas de que CEO foi alvo de espionagem estrangeira
A Nvidia anunciou neste domingo (8) a abertura de uma investigação independente.
Tier C porque: Atinge times de tecnologia
Alcance
Ataque
Dano
Correção
Checklist · 1 de 10 com sim · estimado a partir de dados antigos, ainda não conferido com as fontes
Sim Atinge times de tecnologia Afeta software, dispositivos ou serviços com que desenvolvedores, times de operações ou de TI constroem, que eles operam ou pelos quais respondem? Não Infraestrutura central A falha está em software que quase todo time opera, ou esse software foi comprometido? Não Ferramenta popular A falha está em um framework, ferramenta, plataforma, sistema operacional ou pacote amplamente usado, ou ele foi comprometido? Não Explorada As fontes relatam ataques reais com ela? Não Exploit público Há um exploit funcional ou uma prova de conceito detalhada publicada? Não Remota, sem login Um atacante consegue explorá-la pela rede, sem credenciais e sem ação da vítima? Não Controle total Leva a execução de código, privilégios de root/admin ou à tomada de contas inteiras? Não Segredos expostos Credenciais, tokens, chaves, configurações, código-fonte ou dados de clientes foram roubados ou expostos? Não Cadeia de suprimentos Código malicioso foi distribuído por um canal em que desenvolvedores confiam? Não Ainda sem correção Ainda não existe uma versão corrigida? g1 > Tecnologia · · 2 fontes · Detalhes e compartilhar
- D3
Vazamento · crítica
Falsa entrevista de emprego levou ao roubo de bilhões em criptomoedas
Quem está exposto: Usuários e clientes da corretora Binance, segundo a reportagem
Tier D porque: Não atinge times de tecnologia
Alcance
Ataque
Dano
Correção
Explorada
Checklist · 1 de 10 com sim
Não Atinge times de tecnologia Binance é uma corretora de criptomoedas; não é ferramenta de desenvolvimento nem infraestrutura de times de TI. Não Infraestrutura central Corretora de criptomoedas não é software que quase todo time opera ou infraestrutura central. Não Ferramenta popular Binance é uma corretora de criptomoedas, não um framework, ferramenta ou pacote de desenvolvimento. Sim Explorada g1 Tecnologia: invasão resultou no desvio de US$ 6,3 bilhões da Binance. Não Exploit público g1 Tecnologia não menciona código de exploit ou prova de conceito publicada. Não Remota, sem login g1 Tecnologia descreve uma falsa entrevista de emprego, indicando ação da vítima; a falha técnica não é detalhada. Não Controle total g1 Tecnologia relata desvio de fundos, mas não detalha execução de código ou privilégios de admin. Não Segredos expostos g1 Tecnologia não relata roubo de credenciais, chaves ou dados expostos, apenas o desvio de fundos. Não Cadeia de suprimentos g1 Tecnologia não relata comprometimento de pacote, atualização, pipeline ou chave de assinatura. Não Ainda sem correção g1 Tecnologia não informa se há correção ou se o problema ainda está aberto. g1 > Tecnologia · · Detalhes e compartilhar
- D0
Incidente · baixa
EUA permitiram venda de chips de IA da Nvidia a empresa fantasma chinesa
Quem está exposto: Controle de exportação de chips de IA para empresas chinesas
Tier D porque: Não atinge times de tecnologia
Alcance
Ataque
Dano
Correção
Checklist · 0 de 10 com sim
Não Atinge times de tecnologia Chips H200 são hardware de IA vendido a empresas, não software ou ferramenta que desenvolvedores operam. Não Infraestrutura central Caso trata de licenças de exportação de chips, não de software de infraestrutura comprometido. Não Ferramenta popular Não há framework, ferramenta ou pacote envolvido; o tema é fiscalização de vendas de chips. Não Explorada Olhar Digital: falha de fiscalização do Departamento de Comércio, sem ataque ou invasão relatado. Não Exploit público Olhar Digital não menciona código de exploit nem prova de conceito publicada. Não Remota, sem login Olhar Digital não descreve nenhuma falha explorável pela rede sem credenciais. Não Controle total Olhar Digital não relata execução de código, escalada de privilégios ou tomada de contas. Não Segredos expostos Olhar Digital não relata roubo ou exposição de credenciais, código ou dados de clientes. Não Cadeia de suprimentos Olhar Digital não relata pacote, atualização ou pipeline comprometido, nem código malicioso distribuído. Não Ainda sem correção Não é vulnerabilidade técnica; é falha de fiscalização de licenças, então não se aplica correção. Pro - Olhar Digital · · Detalhes e compartilhar
Como funciona a tier list
Todo incidente é avaliado pelos mesmos dez fatos de sim ou não. Fatos marcados como “das fontes” são respondidos estritamente a partir dos veículos que noticiaram: todo “sim” cita a fonte que o afirma, e quando as fontes não dizem nada, a resposta é não. Fatos marcados como “avaliação” classificam o produto afetado – quem o usa, quão difundido ele é – e vêm com uma justificativa de uma linha. O tier sai de regras fixas sobre esses fatos, verificadas do S até o D; a primeira regra que se aplica decide. Abra o “Checklist” de qualquer incidente para ver cada resposta e sua fonte.
Quando um incidente tem número de CVE, parte do checklist vem dos registros públicos em vez da cobertura: o catálogo de Known Exploited Vulnerabilities da CISA e as avaliações da própria CISA, o vetor CVSS no registro do CVE e as versões corrigidas no GitHub Advisory Database. Essas respostas levam o nome do registro e valem mais do que o que dizem os artigos. Novas entradas no catálogo da CISA e alertas críticos do GitHub também entram como fontes próprias e passam pelo mesmo filtro de notícias que qualquer artigo – só os que importam para desenvolvedores entram na lista.
O checklist
| Fato | Sim quando | Não quando |
|---|---|---|
| Atinge times de tecnologia avaliação Afeta software, dispositivos ou serviços com que desenvolvedores, times de operações ou de TI constroem, que eles operam ou pelos quais respondem? | Bibliotecas, frameworks, ferramentas de desenvolvimento, servidores, serviços de nuvem e SaaS, equipamentos de rede e segurança (firewalls, switches, VPNs, gateways de e-mail), software corporativo e os sistemas operacionais e navegadores em que todo mundo trabalha (Windows, macOS, Linux, iOS, Android, Chrome). | Apps e jogos só para consumidor, phishing, golpes e fraudes (a não ser que uma plataforma de desenvolvimento tenha sido comprometida), sistemas industriais/OT, invasões em empresas fora do setor de tecnologia que só afetam os próprios clientes. |
| Infraestrutura central avaliação A falha está em software que quase todo time opera, ou esse software foi comprometido? | OpenSSH, o kernel Linux, glibc/musl, apt/dnf, OpenSSL, npm/PyPI como um todo, GitHub, GitLab, uma grande plataforma de nuvem, o núcleo do Docker/Kubernetes. | Um único framework, produto ou dispositivo de um fornecedor, por mais difundido que seja – ou uma marca que só é imitada ou usada em golpes (phishing, convites falsos). Avalia-se o software afetado, não o número de instalações vulneráveis: uma falha no OpenSSH que só atinge o Alpine continua sendo infraestrutura central. |
| Ferramenta popular avaliação A falha está em um framework, ferramenta, plataforma, sistema operacional ou pacote amplamente usado, ou ele foi comprometido? | Tecnologia de desenvolvimento comum, usada por muitos times: por exemplo Rails, WordPress, Next.js, um pacote do top 1000 do npm/PyPI, um dispositivo muito difundido. | Produtos de nicho, os sistemas internos de uma única empresa, uma marca conhecida que só é imitada ou cujos usuários caem em phishing. (Sempre sim quando infraestrutura central é sim.) |
| Explorada das fontes As fontes relatam ataques reais com ela? Registro: Sim, se a CVE está no catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA ou se a CISA classifica a exploração como ativa. | Uma fonte relata ataques observados por essa falha ou comprometimento, a falha está no catálogo KEV da CISA, ou uma invasão ou campanha de malware de fato aconteceu. | Apenas teórica, prova de conceito ou demonstrações de pesquisadores. |
| Exploit público das fontes Há um exploit funcional ou uma prova de conceito detalhada publicada? Registro: Sim, se a CISA classifica a exploração como prova de conceito ou se o registro da CVE aponta um exploit. | Uma fonte diz que código de exploit ou uma PoC passo a passo foi publicado. | Os detalhes estão sendo retidos, ou só existe um alerta de segurança. |
| Remota, sem login das fontes Um atacante consegue explorá-la pela rede, sem credenciais e sem ação da vítima? Registro: Pelo vetor CVSS: sim com acesso pela rede, sem privilégios e sem interação do usuário (AV:N/PR:N/UI:N); não, se nenhuma das CVEs tem esse vetor. | Basta acesso à rede, sem autenticação. | Exige uma conta, acesso local ou físico, ou que a vítima clique em algo. |
| Controle total das fontes Leva a execução de código, privilégios de root/admin ou à tomada de contas inteiras? Registro: Pelo vetor CVSS: sim, se o impacto em confidencialidade e integridade são ambos altos (ou se a CISA classifica o impacto técnico como total); não, se nenhuma das CVEs tem esse vetor. | RCE, escalada de privilégios para root/admin, bypass de autenticação até admin, tomada completa de conta. | Divulgação de informações, negação de serviço, acesso limitado a dados. |
| Segredos expostos das fontes Credenciais, tokens, chaves, configurações, código-fonte ou dados de clientes foram roubados ou expostos? | Atacantes levaram segredos, configurações, código-fonte ou dados de usuários, ou uma invasão os expôs – de sistemas que times de tecnologia operam ou de serviços que eles usam. | Nenhum dado saiu dos sistemas afetados, ou pesquisadores só mostraram que seria possível. |
| Cadeia de suprimentos das fontes Código malicioso foi distribuído por um canal em que desenvolvedores confiam? | O pacote de um projeto legítimo, uma atualização oficial, um pipeline de build, uma imagem de contêiner ou uma chave de assinatura foi comprometido, ou pacotes maliciosos foram publicados no npm/PyPI etc. | Um bug comum em código legítimo; malware disfarçado de ferramenta e espalhado por downloads não oficiais, kits de jailbreak ou cópias piratas. |
| Ainda sem correção das fontes Ainda não existe uma versão corrigida? Registro: Pelo GitHub Advisory Database: sim, se um pacote afetado não tem versão corrigida; não, se todos têm. | O fornecedor ainda não liberou correção, a correção é incompleta, ou o produto não recebe mais atualizações (fim de vida). | Há uma versão corrigida disponível – ou não é uma vulnerabilidade (invasão, campanha). |
Os tiers
- S
Shit hits the fan · Largue tudo · nota 80–100
- Infraestrutura central E explorada E (controle total OU segredos expostos)
- Infraestrutura central E cadeia de suprimentos
- A
Corrija hoje · Antes de ir embora · nota 60–79
- Infraestrutura central ou ferramenta popular E explorada
- Infraestrutura central ou ferramenta popular E remota, sem login E controle total
- Ferramenta popular E cadeia de suprimentos
- Infraestrutura central ou ferramenta popular E segredos expostos
- Explorada E ainda sem correção
- B
Corrija esta semana · Coloque na sprint · nota 40–59
- Explorada OU exploit público
- Controle total OU segredos expostos OU cadeia de suprimentos
- Infraestrutura central ou ferramenta popular E remota, sem login
- C
Fique de olho · Veja se você é afetado · nota 20–39
- Todo o resto que atinge times de tecnologia
- D
Ruído de fundo · Bom saber · nota 0–19
- Atinge times de tecnologia = não
A nota
A nota só ordena os incidentes dentro do próprio tier e nunca move um incidente para outro tier. Ela fica na faixa do tier e sobe com os fatos graves (explorado 3 pontos; infraestrutura central, controle total, remoto sem login, segredos expostos, cadeia de suprimentos e sem correção 2 cada; ferramenta popular e exploit público 1 cada) mais até 2 pelo alcance – quantos veículos noticiam e quanto os desenvolvedores discutem. Incidentes marcados como “checklist estimado” foram resumidos antes de o checklist existir; suas respostas vêm de dados antigos até serem relidos.