Ataques cibernéticos têm como alvo vulnerabilidades no Linux, Android e Sitecore

Ataques ativos em servidores Linux, dispositivos móveis Android e plataformas Sitecore: alertas estão se acumulando. A CISA já está observando comprometimentos, apesar dos patches disponíveis. Os invasores estão capitalizando sistemas que foram negligenciados para atualizações. O tempo para dúvidas acabou, mas para ação imediata para evitar escalonamento e ransomware multiplataforma.

Kernel Linux: exploração rápida da vulnerabilidade TOCTOU CVE-2025-38352

Desde julho, pesquisadores da Trend Micro e Kaspersky vem rastreando scripts que visam a condição de corrida que afeta handle_posix_cpu_timers(). A vulnerabilidade, classificada como 7.4, afeta versões que variam de 2.6.36 a 6.16.3. Uma simples solicitação temporizada aciona uma escalada de privilégios. Em um provedor de hospedagem com sede em Paris, um invasor transformou um contêiner isolado em superusuário em menos de trinta segundos. Os logs mostram a execução de um binário baixado de um servidor Tor e, em seguida, mascarado por um rootkit caseiro. A Fortinet agora detecta esse código em 12% dos alertas de IDS. A popularidade de contêineres sem patches amplifica o risco, já que as imagens públicas do Docker nem sempre são recompiladas após uma atualização do kernel. A Palo Alto Networks enfatiza: a ação correta continua sendo reinicializar os nós após a atualização do kernel; caso contrário, o código antigo permanece ativo.

Android e CVE-2025-48543: Escape da Sandbox, Acesso Total ao Dispositivo

A falha Use-after-Free (Uso após Liberação) no mecanismo incorporado do Chrome abre a porta para o processo system_server . Com classificação 8.8, não requer interação. Em uma frota de smartphones pertencentes a uma empresa de transporte, o invasor enviou um site com armadilha; em cinco segundos, um malware bancário obteve privilégios de sistema.Check Point já lista mais de mil variantes capazes de instalar backdoors persistentes. Os patches de setembro estão disponíveis para Android 13 a 16, mas apenas 38% dos dispositivos europeus os receberam, de acordo com a ESET. Lojas de aplicativos de terceiros estão piorando a situação: algumas ainda distribuem APKs compilados antes do patch. Dada essa discrepância, a Bitdefender recomenda exigir a verificação do SafetyNet antes de qualquer implantação interna. A escala móvel está redefinindo a superfície de ataque: um único telefone comprometido costuma ser suficiente para penetrar na rede corporativa por meio do e-mail ou serviço de VPN. Sitecore: Desserialização Crítica CVE-2025-53690 Coloca CMSs Sob Pressão Detectada pela Mandiant em um incidente bancário, a falha de desserialização explora amostras de chaves de máquina deixadas em produção. Com uma pontuação CVSS de 9,0, ela permite a injeção remota de DLL. Em um caso clássico, um consultor clonou o repositório GitLab de um cliente; a chave de teste ainda estava ativa. O resultado: um shell da web executado em duas solicitações. A Symantec agora atribui esse ataque às campanhas do grupo Nokoyawa, que adora misturar Linux e Sitecore para ofuscar a resposta. A proteção envolve a rotação imediata de chaves e a ativação do modo de “fortalecimento” introduzido na versão 10.3. As equipes do SOC observam que muitos servidores de marketing menos monitorados ainda executam a versão 9.x, um ambiente propício para cibercriminosos. A automação do Ansible pode corrigir a configuração, desde que os playbooks não ignorem a pasta App_Config.Táticas Híbridas: Ransomware Multiplataforma e Cadeias de Exploit Automatizadas Campanhas recentes simulam o sistema alvo. A ferramenta de código aberto “Erebus” compila um carregador para arquivos .ELF, .DEX e .DLL em um único comando. A McAfee relata um aumento de 48% em incidentes mistos em um trimestre, um fenômeno já previsto por

Check Point Research

em 2024. Os operadores primeiro criptografam os backups e, em seguida, lançam um ataque DDoS para acelerar as negociações. Um provedor de hospedagem com sede em Lyon viu sua nuvem privada saturada enquanto as VMs Windows e Linux já estavam reféns.

A Sophos observa que os kits de exploração integram a série CVE 2025 em seu pipeline de CI/CD: assim que um patch é lançado, a assinatura é atualizada. Essa industrialização reduz o intervalo entre vulnerabilidade e ataque para algumas horas. Os CISOs devem, portanto, antecipar, não seguir.Essa dinâmica interrompe os SLAs tradicionais: a janela de 30 dias para a aplicação de um patch principal não é mais sustentável quando o exploit chega em até 24 horas. Ações imediatas: aplicar patches, segmentar e monitorar continuamente O primeiro passo continua sendo o

gerenciamento de patches

. Os kernels afetados são publicados; uma reinicialização noturna programada limita o impacto. No Android, o MDM deve forçar a versão mínima de segurança. Para o Sitecore, a auditoria de chaves e a ativação obrigatória dos módulos WAF fornecem um escudo adicional. Em seguida, vem a segmentação de rede, recomendada pela Palo Alto Networks: isolar servidores CMS de compartilhamentos internos PostgreSQL e NFS. Por fim, o monitoramento. EDRs da Bitdefender e da Trend Micro já detectam chamadas de sistema anormais relacionadas a handle_posix_cpu_timers(). A adição de regras YARA focadas no CVE-2025-53690 bloqueia o upload de payloads binários. Por fim, o treinamento da equipe continua crucial. Um exercício trimestral de resposta a incidentes, apoiado pelos manuais de código aberto da Fortinet, reduz o MTTR pela metade, de acordo com o feedback publicado na FIC 2025. Organizações que atingem menos de 72 horas entre o alerta CISA e a implantação do patch reduzem a área de superfície explorável em 85%, de acordo com um estudo interno da Sophos. Diante de invasores cada vez mais rápidos, somente um ciclo de melhoria contínua garante resiliência.