BOLETIM DIÁRIO
A falha no decodificador Brotli, responsável pela execução remota de código no Node.js, também afeta o Bun, o Python e outras linguagens amplamente utilizadas…
O relatório de hoje aborda bugs generalizados no decodificador Brotli, uma falha na cadeia de suprimentos do LiteLLM e novas vulnerabilidades ativas identificadas pela CISA.
5 notícias4 min de leitura
Os riscos na cadeia de suprimentos de software e as falhas de infraestrutura não corrigidas dominam os desenvolvimentos de segurança atuais. Organizações que dependem de componentes de código aberto e dispositivos corporativos enfrentam tarefas urgentes de manutenção.
Primeiramente, uma vulnerabilidade de corrupção de memória no decodificador Brotli do Google afeta ecossistemas de software amplamente utilizados, incluindo Node.js, Bun, Python e Envoy. Ao mesmo tempo, a CISA adicionou vulnerabilidades ativamente exploradas no Collabora Online e no Arista VeloCloud Orchestrator ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas.
As equipes de segurança devem auditar imediatamente os segredos expostos nos repositórios de desenvolvedores, aplicar patches de fornecedores para sistemas de perímetro listados no catálogo da CISA e atualizar as dependências do Brotli em todos os ambientes.
A chave mestra do LiteLLM vazada permitiu que invasores roubassem tokens do GitHub e sequestrassem o pipeline de lançamento.
Uma chave mestra da Plataforma de Agentes, vazada em um repositório público do GitHub (LiteLLM-Labs/lite-harness) no final de maio de 2026, permitiu que invasores roubassem tokens do GitHub. O agente malicioso usou o acesso roubado para sequestrar o pipeline de lançamento do LiteLLM e publicar uma versão maliciosa do pacote Python.
- O que fazer
- Rotacionar as chaves de API e os tokens do GitHub expostos, auditar os pipelines de lançamento de CI/CD e verificar a integridade do pacote LiteLLM.
A CISA identifica duas falhas críticas que estavam sendo exploradas ativamente no Collabora Online e no Arista VeloCloud.
A CISA adicionou as vulnerabilidades CVE-2026-110447 no servidor CODE integrado do Collabora Online e CVE-2026-114625 no Arista VeloCloud Orchestrator ao seu catálogo de vulnerabilidades conhecidas após exploração ativa em ambientes reais. Essas falhas permitem injeção de comandos do sistema operacional e injeção de SQL, respectivamente.
- O que fazer
- Atualize o servidor CODE integrado do Collabora Online para a versão 26.4.303 ou posterior e aplique os patches para o Arista VeloCloud Orchestrator.
A falha no decodificador Brotli, responsável pela execução remota de código no Node.js, também afeta o Bun, o Python e outros softwares amplamente utilizados.
Uma falha de corrupção de memória no decodificador Brotli do Google está presente em muitos programas que descompactam dados comprimidos em Brotli, entre eles o Bun, os pacotes Python Brotli e brotlicffi, e os proxies Envoy configurados para descompactar Brotli.
- Por que isso importa
- Como cada aplicativo afetado inclui sua própria cópia do decodificador Brotli do Google, as organizações que dependem desses ambientes de execução e proxies devem monitorar e aplicar as atualizações individuais de cada fornecedor para evitar a execução de código.
- O que fazer
- Atualize os runtimes e pacotes afetados, incluindo as dependências Bun, Envoy e Python Brotli, para as versões corrigidas.
O Google afirma que os dados do Gmail e do Google Fotos compartilhados com a Busca por IA podem ser usados para anúncios direcionados.
O Google atualizou sua política de privacidade, com vigência a partir de 16 de outubro de 2026, esclarecendo que os dados compartilhados do Google Fotos, Gmail e Drive com recursos de IA na Busca ou nos aplicativos Gemini podem ser processados para veicular anúncios direcionados.
- Por que isso importa
- Usuários e organizações que integram dados pessoais ou do Workspace ao Google Search e aos recursos de IA do Gemini podem expor conteúdo do Gmail, Fotos e Drive à segmentação de anúncios personalizados.
- O que fazer
- Revise as configurações de privacidade da sua conta do Google para restringir o compartilhamento de dados entre os aplicativos do Workspace e a Pesquisa/Gemini.
Pesquisadores enviam mais de 2 milhões de atualizações para desativar remotamente o Popcorn Time Updater, que poderia alimentar uma botnet.
A empresa de segurança holandesa Eye Security realizou a Operação IXIM, distribuindo mais de dois milhões de atualizações remotas para desativar um atualizador em segundo plano vulnerável (Updater.exe) no aplicativo abandonado Time4Popcorn. O domínio não registrado consultado pelo atualizador representava um risco de ser sequestrado para uma botnet em larga escala.
- O que fazer
- Procure e remova softwares antigos não autorizados, como o Time4Popcorn, e bloqueie conexões com domínios de atualização não verificados.
Principais pontos
- Atualizar as implementações do decodificador Brotli em Node.js, Bun, Python e Envoy para corrigir a falha de corrupção de memória CVE-2026-111497.
- Corrigimos as vulnerabilidades do servidor CODE integrado do Collabora Online (CVE-2026-110447) e do Arista VeloCloud Orchestrator (CVE-2026-114625) após os alertas da CISA.