BOLETIM DIÁRIO
Node2Shell RCE, aviso de segurança do PHP não corrigido e falha Pillow do Python
O briefing de hoje aborda os riscos de execução remota de código em Node.js e Python Pillow, um aviso de configuração do PHP ainda não corrigido e uma porta dos fundos em rede mesh utilizada na Ucrânia.
5 notícias3 min de leitura
Os ambientes de execução de aplicações web e suas dependências populares estão em destaque atualmente, com novos vetores de execução de código surgindo em Node.js, PHP e na biblioteca de imagens Pillow do Python. Organizações que mantêm plataformas web devem auditar esses componentes principais do servidor e aplicar as atualizações prontamente.
Ao mesmo tempo, as operações cibernéticas direcionadas demonstram táticas de persistência cada vez mais avançadas. Os agentes de ameaças Sandworm e UAC-0099 utilizaram uma nova backdoor em rede mesh, juntamente com programas de limpeza de dados, enfatizando a necessidade de monitorar canais de comando e controle não tradicionais dentro da infraestrutura crítica.
Uma falha crítica na popular biblioteca de imagens Pillow do Python permite a execução de código por meio de uma imagem manipulada.
Uma vulnerabilidade crítica na biblioteca Pillow do Python (CVE-2026-112900) permite a execução remota de código durante o processamento de imagens EPS. O Pillow passa os nomes dos arquivos para o Ghostscript sem validação, possibilitando a injeção de comandos por meio de nomes de arquivos manipulados. A falha foi corrigida na versão 13.0.0 do Pillow.
- Por que isso importa
- O Pillow é amplamente utilizado em aplicações web, fluxos de trabalho de processamento de imagens e pipelines de aprendizado de máquina, expondo sistemas que processam imagens não confiáveis à execução de comandos.
Hackers ligados à Rússia usaram nova vulnerabilidade em rede mesh em ataque destrutivo na Ucrânia
O grupo de ameaças cibernéticas Sandworm, patrocinado pelo Estado russo, colaborou com o UAC-0099 em um ataque destrutivo contra uma empresa de logística ucraniana. O UAC-0099 implantou o backdoor MATCHWOK e um novo backdoor de rede mesh, o MythicRatatoskr, comunicando-se através da rede Yggdrasil antes de conceder acesso ao Sandworm para executar uma limpeza de dados.
- Por que isso importa
- Os atacantes estão utilizando uma infraestrutura de comando e controle inovadora em redes mesh, como a Yggdrasil, para evitar a detecção antes de lançar programas destrutivos de limpeza de dados.
Pesquisadores demonstram exploração de execução remota de código (RCE) do Node2Shell em uma versão do Node.js usando dados Brotli manipulados.
Pesquisadores demonstraram uma vulnerabilidade funcional de execução remota de código Node2Shell em builds oficiais do Node.js 24.22.0 para Linux arm64. A vulnerabilidade explorada visa uma falha no decodificador Brotli (CVE-2026-111497) ao passar dados compactados maliciosos para executar código arbitrário. Versões corrigidas, incluindo o Node.js 24.22.1, rejeitam o payload.
- Por que isso importa
- Aplicações que decodificam dados comprimidos em Brotli não confiáveis usando versões vulneráveis do Node.js estão suscetíveis à execução remota de código.
PHP alerta para outra vulnerabilidade de execução remota de código não corrigida dois dias após o lançamento de patches emergenciais para o PHP2Shell.
O PHP emitiu um alerta sobre a vulnerabilidade CVE-2026-115560, uma falha de execução remota de código (RCE) não corrigida que afeta configurações com `session.serialize_handler` definido como `php_binary` ou `php_serialize`. Este alerta surge após a aplicação de patches de emergência para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. O PHP não está lançando um patch de emergência e recomenda desativar o progresso de upload da sessão.
- Por que isso importa
- Aplicações web com opções específicas de configuração de sessão PHP permanecem vulneráveis à execução remota de código até a próxima atualização de rotina.
A HPE corrigiu oito falhas de execução remota de código (RCE) e de bypass de autenticação no AOS de gravidade máxima.
A página de verificação do BleepingComputer apresentou um desafio de segurança do Cloudflare, impedindo a recuperação de detalhes da notícia sobre o patch lançado pela HPE para as falhas do AOS.
Principais pontos
- Atualize o Node.js para a versão 24.22.1 para evitar a execução remota de código por meio da falha no decodificador Brotli (CVE-2026-111497).
- Atores ligados à Rússia usaram o backdoor MythicRatatoskr, comunicando-se através da rede mesh Yggdrasil, antes de um ataque de eliminação de dados.