A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, adicionou cinco falhas de segurança que afetam o JFrog Artifactory, o ConnectWise ScreenConnect e o MikroTik RouterOS ao seu catálogo de Vulnerabilidades Exploradas Conhecidas, o KEV, após relatos de exploração ativa em ambiente real.
Os detalhes das vulnerabilidades são os seguintes:
CVE-2026-42016
, com pontuação CVSS de 8,1, é uma falha de autorização incorreta no JFrog Artifactory que pode levar à elevação de privilégio devido a uma verificação da assinatura ou do emissor do token, e não do escopo do token.
CVE-2026-42018
, com pontuação CVSS de 7,5, é uma falha de autenticação inadequada no JFrog Artifactory que pode retornar a um solicitante não autenticado um token interno de usuário anônimo quando o acesso anônimo está desativado, com potencial vazamento de recursos sensíveis.
CVE-2026-84869
, com pontuação CVSS de 9,9, é uma falha de gerenciamento inadequado de privilégios e ausência de autorização no ConnectWise ScreenConnect que pode permitir que um atacante transfira arquivos e execute ações por meio de uma sessão remota ativa, sem autorização ou confirmação do host.
CVE-2026-67277
, com pontuação CVSS de 8,8, é uma falha de ausência de autenticação para uma função crítica no MikroTik RouterOS que pode permitir divulgação da memória do kernel e negação de serviço no serviço btest.
CVE-2026-86060
, com pontuação CVSS de 9,2, é uma falha de neutralização inadequada de delimitadores de argumentos em um comando no MikroTik RouterOS que pode permitir que um atacante altere a máscara de política confiável do RouterOS e obtenha elevação de privilégio.
Segundo analistas, atacantes foram observados encadeando as duas falhas do Artifactory com a
CVE-2026-82329
, que tem pontuação CVSS de 9,8, para assumir o controle administrativo de servidores hospedados localmente e implantar backdoors entre 15 de agosto e 8 de setembro de 2026. A
CVE-2026-82329
foi adicionada ao catálogo KEV da CISA no início deste mês.
“Os atacantes estão encadeando essas vulnerabilidades para contornar a autenticação, elevar privilégios e obter controle administrativo sobre instâncias vulneráveis do Artifactory”, afirmou a Wiz, empresa de propriedade do Google. “A atividade observada após a exploração inclui a criação de contas administrativas persistentes, a implantação de plugins maliciosos em Groovy para execução de código e a instalação de backdoors baseados em Rust para manter a persistência.”
A exploração da
CVE-2026-84869
, por sua vez, foi associada a três incidentes independentes documentados pela Huntress, nos quais threat actors abusaram do ScreenConnect para distribuir um payload malicioso em VBScript a sistemas recém-conectados.
A ConnectWise descreveu a falha como uma “condição” no cliente do ScreenConnect que “pode permitir que arquivos sejam transferidos e executados por meio de uma sessão remota ativa sem autorização ou confirmação do host, em determinadas circunstâncias”. O problema não afeta os servidores do ScreenConnect.
“Em determinadas circunstâncias, isso pode permitir que arquivos sejam transferidos para o sistema cliente do host e executados nele, inclusive por meio de ações de execução com privilégios elevados”, informou a Huntress em atualização, ao recomendar que as organizações atualizem para a versão 26.6.5 do ScreenConnect.
A inclusão das CVEs
CVE-2026-67277
e
CVE-2026-86060
pela CISA ocorre após um relatório do CERT Polska na semana passada, que afirmou ter observado threat actors desconhecidos explorando duas falhas no MikroTik RouterOS para assumir o controle de dispositivos vulneráveis sem autenticação. A agência de cibersegurança batizou a cadeia de exploit de MikroTrick.
As agências civis do Poder Executivo Federal dos Estados Unidos, conhecidas como FCEB, devem aplicar os patches das falhas no RouterOS até 13/09/2026, a falha no ScreenConnect até 14/09/2026 e as falhas no Artifactory até 25/09/2026.
Em paralelo, a Microsoft divulgou detalhes de duas campanhas em que threat actors estão abusando de infraestrutura de entrega de e-mails de terceiros para disparar mensagens de fraude financeira e usando engenharia social com tema de passkey para invadir ambientes em cloud.
Na primeira campanha, segundo a gigante de tecnologia, foram enviados mais de 1 milhão de e-mails fraudulentos entre 3 e 5 de agosto de 2026. Os criminosos se passaram por diretores-executivos de diversas empresas-alvo com o objetivo de convencer equipes de contas a pagar a iniciar transferências via Automated Clearing House, ou ACH, sob o pretexto de uma suposta assinatura anual do ServiceNow.
As evidências indicam que os operadores da campanha recorreram à IA generativa para criar modelos de e-mails e rascunhos personalizados para cada destinatário. A atividade mirou principalmente usuários corporativos nos Estados Unidos, com foco nos setores de serviços de TI, bens de consumo, mercado imobiliário e manufatura discreta.
“A campanha segue etapas antes e durante sua execução: os threat actors registram domínios de impersonação, enviam solicitações de pagamento com temática executiva por meio de infraestrutura confiável, inserem faturas fabricadas e conversas de apoio, e tentam convencer funcionários da área financeira a iniciar transferências ACH”, afirmou a equipe Microsoft Security Research.
“Diferentemente das fraudes tradicionais com faturas, que dependem de uma única isca de engenharia social, esta campanha combinou impersonação de executivos, marca de fornecedores, faturas fabricadas e conversas por e-mail de apoio em uma narrativa unificada, com o objetivo de reduzir o ceticismo do destinatário.”
As mensagens falsas continham uma suposta “aprovação” da fatura fraudulenta para induzir os destinatários a efetuar pagamentos em contas controladas pelos atacantes. Para dar aparência de legitimidade à fraude, o threat actor incluiu uma cadeia de e-mails forjada junto com a fatura inventada.
Em uma manobra engenhosa, os atacantes identificaram CEOs, CFOs e presidentes nas organizações vítimas e inseriram seus nomes e endereços de e-mail nas assinaturas das mensagens para torná-las convincentes. A campanha também dependia fortemente de domínios falsos e de conteúdo criado para imitar marcas e pessoas confiáveis. Alguns dos domínios registrados incluem:
service-nowinc[.]com
domainlify[.]net
**Engenharia social com tema de passkey leva à invasão em cloud**
A segunda campanha documentada pela Microsoft gira em torno de intrusões baseadas em cloud que atingiram várias contas. Nelas, logins suspeitos são seguidos pela adição, pelos atacantes, de seus próprios métodos de autenticação, além de atividade intensa no Microsoft Graph, downloads no SharePoint e no OneDrive e coleta de caixas de e-mail por meio de APIs REST.
A atividade, detectada desde maio de 2026, é compatível com “coleta automatizada a partir de identidades em cloud comprometidas, usando infraestrutura associada a proxies”, afirmou a Microsoft.
O ataque normalmente começa com engenharia social focada em identidade. Os threat actors ligam ou enviam mensagens para o número pessoal do usuário, dizendo ser do serviço de suporte de TI da organização, e pressionam a vítima a atualizar imediatamente a configuração de passkey, MFA ou SSO para evitar interrupções de acesso.
Funcionários desavisados são redirecionados, por mensagens SMS enviadas aos seus dispositivos pessoais, para sites falsos que imitam a experiência legítima de login da Microsoft. O objetivo final é usar esse pretexto para conduzi-los por fluxos de autenticação do tipo adversary-in-the-middle, ou AitM, ou por autenticação por código de dispositivo, e assumir o controle das contas Microsoft, seja capturando credenciais, seja obtendo acesso sem que a vítima perceba.
“O ator parece investir pesadamente em pesquisa pré-ataque, provavelmente reunindo informações sobre funcionários e a estrutura da organização em fontes públicas, como redes sociais e plataformas de perfil profissional”, disse a Microsoft. “Em um número menor de casos, os atores aproveitam contas já comprometidas para ampliar seu alcance”, enviando mensagens semelhantes com tema de passkey pelo Microsoft Teams.
Além disso, o threat actor foi observado registrando domínios baseados em temas como passkeys, inscrição em SSO, ativação de conta e verificação de identidade, ao mesmo tempo em que incluía o nome da organização-alvo como subdomínio no padrão “<nome da empresa>.<domínio malicioso>[.]com”. Entre eles estão:
passkeyhelpdesk[.]com
secure-passkey[.]com
setupmypasskey[.]com
add-passkey[.]com
integratedsso[.]com
oktasession[.]com
syncmykey[.]com
portalsetuphub[.]com
Vale notar que esse modo de operação se sobrepõe a um coletivo frouxo de cibercrime monitorado pela comunidade de cibersegurança pelos nomes Cordial Spider, O-UNC-045, PREY-0058 e UNC6671. Esse adversário do crime eletrônico já foi descrito como um grupo coordenado de threat actors que opera várias marcas públicas de extorsão, enquanto compartilha sobreposições na infraestrutura de phishing e no padrão de alvos.
“O UNC6671 usa painéis de coleta de credenciais hospedados em domínios raiz genéricos que fingem estar relacionados a passkeys, acrescentando subdomínios específicos para a vítima a fim de facilitar campanhas direcionadas de vishing”, observou a empresa no mês passado.
Embora a natureza exata dessas conexões ainda não esteja clara, suspeita-se que elas tenham sido impulsionadas por afiliados fragmentados que mantêm acesso a playbooks compartilhados de acesso inicial ou que dependem dos mesmos painéis de phishing amplamente comercializados, de operadores de vishing e de infraestrutura compartilhada.
A Microsoft, por sua vez, atribuiu a atividade de acesso inicial observada nesta campanha a uma série de threat actors, incluindo Storm-3121 e Storm-3032. Enquanto o Storm-3121 conduz atividades de acesso inicial que levam à extorsão por ShinyHunters e Falcon, também identificado como CL-CRI-1182, o Storm-3032 é a designação da Microsoft para o UNC6671, que se refere a um conjunto de atores que se separou do grupo BlackFile, ou CL-CRI-1116, e agora opera sob a marca de extorsão Helix.
Em pelo menos um caso investigado pela Microsoft, os threat actors teriam realizado um login anômalo no Microsoft Office Home a partir de um dispositivo não gerenciado para ampliar o acesso a outros aplicativos, como SharePoint Online e OneDrive, por meio da Graph API, além de mapear arquivos sensíveis e serviços internos.
Outro incidente envolveu o uso de uma isca com tema de passkey para lançar um ataque de phishing por código de dispositivo e tomar controle da conta da vítima sem precisar roubar suas credenciais ou cookies, contornando na prática as proteções de MFA. O terceiro padrão de ataque detectado pela Microsoft usa credenciais comprometidas, provavelmente obtidas em um evento anterior, para registrar um método telefônico sob controle dos atacantes, burlar a MFA e realizar reconhecimento e pós-exploração.
“Após o acesso inicial, o primeiro objetivo do ator foi transformar um comprometimento temporário em uma presença persistente”, afirmou a Microsoft. “Em vez de depender apenas de credenciais roubadas, o ator cadastrou um método de MFA sob seu controle, normalmente registrando um novo número de telefone, um aplicativo autenticador ou um token OTP baseado em software.”
A vantagem desse segundo fator controlado pelo atacante é permitir o login na conta corporativa da vítima sem a participação dela e manter acesso contínuo em combinação com sessões não revogadas ou credenciais válidas. Entre as ações que o threat actor pode executar depois de estabelecer a persistência de MFA estão:
Realizar reconhecimento interno aprofundado usando a Graph API e mapear usuários, grupos, permissões, recursos e conteúdo acessível em todo o tenant com a identidade comprometida.
Inspecionar funções e contas de alto valor, além de identidades de serviço, para tentar escalada de privilégio.
Mapear mensagens, pastas e metadados de anexos de caixas de e-mail para coleta de inteligência.
Conduzir atividade de acesso e download em alto volume voltada ao SharePoint Online e ao OneDrive for Business e, em alguns casos, ao Microsoft Exchange Online.
Realizar exfiltração contínua de dados por períodos que variam de várias horas a vários dias, dependendo do volume de arquivos e conteúdos de e-mail obtidos da vítima comprometida.
Rotacionar deliberadamente a infraestrutura ao longo do ciclo de ataque e usar endereços IP distintos para autenticação, reconhecimento e exfiltração, com o objetivo de contornar indicadores baseados em rede.
“O ataque ressalta um desafio crítico de detecção: o abuso do Microsoft Graph raramente parece suspeito quando visto por meio de uma única chamada de API”, disse a Microsoft. “Este ataque serve como um forte exemplo de por que a atividade no Graph precisa ser avaliada de forma holística, com ênfase na progressão comportamental e na correlação entre eventos, e não em solicitações individuais de API de forma isolada.”
Publicidade
Exclusivo para leitores do CaveiraTech, de R$ 89 por R$ 49/mês, para sempre. Hospedado em São Paulo com AntiDDoS, backup grátis e BGP grátis. Use Linux, Windows ou BSDs. Valide seu projeto agora sem dor de cabeça, sem IOF e com pagamentos via Pix. Ativação em 120s. Saiba mais...