As notícias de cibersegurança de agosto tiveram um fio condutor: os atacantes encontraram formas de contornar o próprio início de sessão, em vez de o atacar diretamente. Contornos de autenticação, tokens forjados, sessões roubadas, chaves de API expostas e credenciais de máquina divulgadas permitiram repetidamente obter acesso sem que os atacantes tivessem de quebrar uma palavra-passe ou derrotar a autenticação multifator (MFA).
- Foram encontradas mais de 9300 chaves de acesso AWS ativas em repositórios públicos, logs de compilação e imagens de contentores. Entre as chaves empresariais contavam-se 526 chaves root e 242 chaves IAM com permissões completas de AdministratorAccess.
- O incidente de março na cadeia de fornecimento do LiteLLM poderá ter exposto mais de 2500 organizações e 434 000 pipelines de CI/CD, segundo uma avaliação de impacto publicada em agosto.
- Os investigadores encontraram 4576 tokens de API do n8n em repositórios públicos do GitHub; entre as instâncias acessíveis testadas, 36 % aceitaram pelo menos uma chave exposta.
- O Mirage2FA visou 9426 endereços de e-mail do Microsoft 365 e comprometeu até 4532 deles através do roubo de sessões autenticadas após a MFA.
O mesmo padrão surgiu em quatro vulnerabilidades divulgadas: N-able N-central, Citrix NetScaler, Keycloak e SharePoint tiveram falhas divulgadas capazes de contornar a autenticação ou os controlos de identidade. Em paralelo, a atividade de pulverização de palavras-passe (password spraying) aumentou 155 vezes, à medida que os atacantes procuravam lacunas na aplicação da MFA.
Os incidentes abaixo mostram como a autenticação se estende para além das palavras-passe e dos ecrãs de início de sessão, e onde as equipas de TI e de segurança precisam de ajustar os controlos.
Exploração ativa de um contorno crítico da autenticação na plataforma de gestão remota N-able N-central (CVE-2026-18577)
O que aconteceu: A vulnerabilidade CVE-2026-18577 (CVSS 8,1) permite que um atacante remoto e não autenticado contorne por completo a autenticação e obtenha acesso administrativo aos servidores N-central. A falha resulta de uma correção incompleta de uma vulnerabilidade anterior, a CVE-2026-18556. Desde 1 de agosto de 2026 tem sido registada exploração ativa em ambiente real, com os atacantes a utilizar a funcionalidade legítima Take Control para alcançar os endpoints dos clientes após o comprometimento e a implementar um túnel cloudflared para acesso remoto persistente.
Porque importa: As plataformas de monitorização e gestão remotas (RMM) detêm o nível de privilégio mais elevado em toda a infraestrutura de uma organização e nos respetivos clientes ligados. Um contorno da autenticação neste tipo de software cria de imediato um risco de exposição na cadeia de fornecimento a toda a carteira de clientes.
Recomendação defensiva: As equipas de TI devem verificar com urgência a versão da plataforma e confirmar que o hotfix 2026.3.1.10 da N-able (2026.3.1 Hotfix 2) está instalado. Também é essencial rever as sessões privilegiadas ativas.
Fonte: Rapid7 – 4 de agosto de 2026
Contorno remoto da autenticação, sem interação do utilizador, no Citrix NetScaler Gateway (CVE-2026-19490)
O que aconteceu: A Citrix corrigiu uma vulnerabilidade crítica de autenticação por caminho alternativo, a CVE-2026-19490 (pontuação CVSS 9,3), no NetScaler ADC e no NetScaler Gateway. Um atacante remoto não autenticado pode explorar a falha em configurações de gateway afetadas sem qualquer interação do utilizador. Os pré-requisitos variam consoante a versão: as compilações afetadas mais recentes exigem uma configuração SAML, além de uma configuração de Gateway ou AAA, pelo que nem todas as implementações do NetScaler estão expostas da mesma forma.
Porque importa: Os gateways de acesso remoto servem de principal defesa de perímetro das redes empresariais. Um contorno bem-sucedido da autenticação nesta camada anula por completo o valor das credenciais empresariais dos colaboradores e das políticas de MFA.
Recomendação defensiva: Dado que estes appliances estão diretamente expostos à internet, as equipas de TI devem realizar uma atualização de emergência para as compilações corrigidas disponibilizadas pela Citrix (14.1-73.32 ou 13.1-63.21 e posteriores).
Fonte: SecurityWeek – 20 de agosto de 2026
O Passwork acrescenta uma camada de gestão centralizada e auditada para as credenciais e os segredos que estão por trás dos gateways e das ferramentas RMM. Ver como funciona o controlo de acessos do Passwork.
Vulnerabilidade crítica de redefinição de palavra-passe no Keycloak (CVE-2026-18963) que permite a tomada remota de contas
O que aconteceu: Foi encontrada uma vulnerabilidade crítica, a CVE-2026-18963 (pontuação CVSS 9,1 segundo a Red Hat), no fluxo de recuperação de palavra-passe (reset-credentials) do Keycloak. Devido a uma validação incorreta do estado, um atacante remoto e não autenticado pode redefinir a palavra-passe de qualquer utilizador, incluindo a dos administradores. As correções foram publicadas no Keycloak 26.7.2, bem como no Red Hat build of Keycloak 26.4.15 e 26.6.6.
Porque importa: As falhas de validação nos fluxos de recuperação de contas minam quaisquer requisitos rigorosos de complexidade das palavras-passe ou a MFA inicial, dando aos atacantes um caminho direto para comprometer o fornecedor de identidade (IdP).
Recomendação defensiva: As equipas de TI devem dar prioridade à aplicação de correções nos servidores Keycloak e testar os fluxos de redefinição de palavra-passe e de recuperação de contas com o mesmo rigor aplicado aos métodos de autenticação principais.
Fonte: The Hacker News – 24 de agosto de 2026
Vulnerabilidade crítica de execução remota de código CVE-2026-69836 (CVSS 10,0) corrigida no diretório na nuvem do Microsoft Entra ID
O que aconteceu: A Microsoft corrigiu uma vulnerabilidade crítica de execução remota de código, a CVE-2026-69836, no serviço na nuvem do Entra ID, relacionada com a desserialização de dados não fidedignos. Ao contrário das restantes falhas deste resumo, trata-se de um problema de execução remota de código na infraestrutura na nuvem, e não de um contorno de credenciais ou da autenticação. A Microsoft resolveu o problema do lado do servidor, sem exigir qualquer ação por parte dos clientes. A falha foi inicialmente assinalada como explorada em ataques reais, mas a Microsoft reviu depois o estado para «não explorada».
Porque importa: O Entra ID é o ponto central de controlo de acesso e de autorização para milhares de empresas. As vulnerabilidades de gravidade máxima na infraestrutura na nuvem dos fornecedores de identidade criam riscos globais em todo o ecossistema de confiança.
Recomendação defensiva: Apesar da correção automática aplicada pelo fornecedor, as equipas de segurança devem monitorizar anomalias nos logs de identidade na nuvem e rever os pressupostos de risco sobre o acesso durante incidentes que afetem fornecedores de serviços essenciais.
Fonte: SecurityWeek / heise online – 21 a 24 de agosto de 2026
A exposição em massa de chaves AWS ativas ameaça a tomada total de contas empresariais
O que aconteceu: Uma investigação da Truffle Security identificou mais de 9300 chaves de acesso AWS expostas em repositórios públicos, logs de compilação e imagens de contentores, chaves que se mantiveram válidas e ativas durante anos. Destas, 817 pertenciam a empresas, incluindo 526 chaves root e 242 chaves IAM com permissões completas de AdministratorAccess, que concedem controlo total sobre a infraestrutura na nuvem.
Porque importa: As chaves de acesso de longa duração expostas, sobretudo as com direitos de administrador, dão aos atacantes acesso sem entraves aos recursos na nuvem, contornando por completo os portais de autorização habituais e a MFA.
Recomendação defensiva: As equipas de TI devem proibir a utilização de contas root da AWS em processos de rotina, configurar a análise contínua de fontes públicas à procura de segredos expostos e revogar e rodar de imediato quaisquer chaves comprometidas, seguindo as boas práticas da própria AWS para o utilizador root.
Fonte: Truffle Security – 19 de agosto de 2026
Relatório da CloudSEK avalia a potencial exposição decorrente do incidente de março na cadeia de fornecimento do LiteLLM
O que aconteceu: A 11 de agosto, a CloudSEK publicou uma avaliação de impacto do comprometimento de 24 de março que envolveu as versões maliciosas 1.82.7 e 1.82.8 do LiteLLM. O relatório estima que a exposição de curta duração no PyPI (os pacotes estiveram disponíveis publicamente durante cerca de 40 minutos) pode ter afetado mais de 2500 organizações e mais de 434 000 pipelines de CI/CD em todo o mundo.
A avaliação centra-se na potencial exposição de credenciais de máquina de elevado valor disponíveis nos ambientes de desenvolvimento e de compilação afetados. Os valores da CloudSEK descrevem o risco de exposição reconstituído, e não o comprometimento confirmado de todas as organizações ou pipelines mencionados.
Porque importa: Os ambientes de desenvolvimento de IA e de automatização de compilação concentram hoje a maior quantidade de segredos não humanos (de máquina) numa organização. Comprometer as ferramentas na fase de compilação permite aos atacantes atingir o interior da infraestrutura, e o intervalo entre o incidente original e uma estimativa completa da exposição mostra durante quanto tempo este risco pode permanecer por quantificar.
Recomendação defensiva: As credenciais de máquina exigem um controlo rigoroso do ciclo de vida, rotação e auditoria dos direitos de acesso. As equipas de TI precisam de implementar a monitorização de segurança das bibliotecas de terceiros e proteger as variáveis de ambiente nos pipelines de CI/CD. Os guias técnicos do Passwork abordam padrões de rotação de segredos baseados em API que se integram diretamente neste tipo de reforço de pipelines.
Fonte: CloudSEK – 11 de agosto de 2026
Vulnerabilidade na extensão de navegador N-able Passportal expõe as chaves mestras dos cofres de palavras-passe dos utilizadores
O que aconteceu: A extensão de navegador Passportal aceitava mensagens de websites de terceiros e de elementos iframe. Os atacantes podiam enviar um pedido e obter tokens de acesso da extensão com chaves secretas. Isto permitia extrair todo o conteúdo do cofre de palavras-passe, incluindo as seeds para gerar códigos TOTP de utilização única. A N-able publicou em julho de 2026 uma correção que adiciona a verificação da origem dos pedidos; a cobertura da Dark Reading em agosto detalhou a falha e o seu impacto.
Porque importa: Os gestores de palavras-passe concentram os segredos mais críticos de uma organização. Comprometer a extensão de navegador de um gestor de palavras-passe contorna, na prática, toda a arquitetura de segurança, incluindo os fatores de MFA. O risco agravou-se pelo facto de os tokens de atualização permanecerem válidos durante 100 dias.
Recomendação defensiva: As organizações devem impor atualizações automáticas regulares das extensões de navegador nos dispositivos dos colaboradores e, ao selecionar soluções de gestão de identidades e acessos (IAM), avaliar se estas oferecem cifragem de ponta a ponta das operações do lado do cliente.
Fonte: Dark Reading – 20 de agosto de 2026
Uma extensão de navegador é tão fiável quanto a sua arquitetura. O Passwork utiliza cifragem AES-256 do lado do cliente com um modelo zero-knowledge, pelo que os dados do cofre permanecem cifrados mesmo em trânsito pela camada do navegador. Explorar a arquitetura de segurança do Passwork
A campanha de phishing Mirage2FA contorna a autenticação multifator do Microsoft 365 através do roubo de sessões
O que aconteceu: A plataforma Mirage2FA utiliza phishing adversary-in-the-middle (AiTM) para intercetar tokens legítimos de autorização de sessão do Microsoft 365. A campanha comprometeu até 4532 endereços de e-mail, cerca de 48 % dos 9426 endereços visados, em 3518 domínios de organizações nos EUA e na UE.
Porque importa: Os cookies de sessão passam, na prática, a equivaler às credenciais do utilizador depois de a verificação MFA inicial ser concluída. O roubo de sessão contorna os fatores de proteção habituais sem exigir que uma palavra-passe ou um código sejam introduzidos novamente.
Recomendação defensiva: A MFA tradicional baseada em SMS ou em códigos de aplicação já não é suficiente, por si só, para proteger os sistemas na nuvem. As organizações devem adotar métodos de autenticação resistentes a phishing, reduzir a duração dos tokens de sessão e implementar a monitorização de comportamentos de sessão anómalos.
Fonte: The Hacker News – 25 de agosto de 2026
Contorno da autenticação JWT no Microsoft SharePoint (CVE-2026-55040) permite a personificação de qualquer utilizador
O que aconteceu: Foi descoberta no SharePoint Server Subscription Edition a vulnerabilidade CVE-2026-55040, que permite a um atacante remoto e não autenticado gerar um token JWT forjado e personificar qualquer utilizador ou administrador do portal. A Microsoft corrigiu a falha em julho de 2026. A análise técnica da Rapid7 em agosto detalhou a cadeia de defeitos subjacente, incluindo um requisito de assinatura de tokens desativado e uma validação fraca dos elementos do token, e confirmou a exploração ativa.
Porque importa: Os erros de validação de JWT permitem aos atacantes contornar totalmente a autenticação sem precisarem de roubar as palavras-passe dos utilizadores.
Recomendação defensiva: As relações de confiança entre serviços e a validação de tokens devem ser verificadas e controladas pelas equipas de TI com o mesmo rigor aplicado às palavras-passe dos utilizadores e às sessões MFA.
Fonte: Blogue da Rapid7 – 11 de agosto de 2026
Exploração de uma vulnerabilidade SSRF no MLflow (CVE-2026-64849) para exfiltração encoberta de credenciais em ambientes na nuvem
O que aconteceu: Foi encontrada, no registo de modelos do MLflow Tracking Server, uma vulnerabilidade de falsificação de pedidos do lado do servidor (SSRF) com pontuação CVSS de 9,3, a CVE-2026-64849. Permite que um atacante não autenticado contorne as proteções de webhooks e aceda a serviços internos de metadados na nuvem para exfiltrar credenciais de curta duração. O problema afeta todas as versões do MLflow anteriores à 3.15.0.
Porque importa: Os serviços de metadados na nuvem emitem frequentemente chaves de acesso de curta duração que, uma vez comprometidas, podem ser usadas pelos atacantes para um rápido movimento lateral dentro do ambiente na nuvem de uma empresa.
Recomendação defensiva: As equipas que gerem plataformas de machine learning devem atualizar o MLflow para a versão 3.15.0 e restringir o acesso de rede aos serviços de metadados a partir de contentores e de ferramentas de IA, seguindo o padrão das orientações da AWS para a configuração do IMDSv2.
Fonte: SecurityWeek – 20 de agosto de 2026
Milhares de tokens de API do n8n expostos em repositórios do GitHub ameaçam comprometer serviços de TI ligados
O que aconteceu: Os investigadores encontraram 4576 tokens de API do n8n únicos em repositórios públicos do GitHub, associados a 1255 hosts. Os testes em instâncias acessíveis revelaram que 36 % (321 de 896 hosts acessíveis) aceitaram pelo menos uma chave exposta. Com um token privilegiado, os atacantes podiam ver as estruturas dos fluxos de trabalho de automação e os logs de execução, bem como extrair credenciais guardadas no n8n para integrações com bases de dados e serviços de terceiros.
Porque importa: As plataformas de automação e integração funcionam como centros onde se acumulam palavras-passe, chaves de API e direitos de acesso a numerosos sistemas de TI empresariais. Um único token de API exposto de um destes centros cria um enorme risco de comprometimento em cascata em toda a infraestrutura de TI, mesmo que a própria exposição não seja registada como CVE.
Recomendação defensiva: Os departamentos de TI devem alargar as políticas de análise de segredos para além do código principal das aplicações, abrangendo também os ficheiros de configuração das ferramentas de automação e integração.
Fonte: The Hacker News – 5 de agosto de 2026
Aumento de 155 vezes nos ataques de password spraying que exploram configurações incorretas e exceções da MFA
O que aconteceu: Os analistas registaram um aumento de 155 vezes na escala dos ataques de password spraying no primeiro semestre de 2026. A análise de 23 empresas afetadas concluiu que 8 delas não tinham qualquer autenticação multifator (MFA). Nos restantes 15 casos, a MFA estava ativada mas não funcionava, porque os departamentos de TI tinham configurado exceções para «localizações fidedignas», limitado a aplicação da política a um subconjunto de aplicações ou de grupos de utilizadores, ou deixado a MFA em modo apenas de relatório (auditoria).
Porque importa: A implementação da MFA não garante proteção se subsistirem pontos cegos nas políticas de segurança. Os atacantes procuram ativamente lacunas e aplicações deixadas sem proteção de MFA para obter acesso inicial à rede.
Recomendação defensiva: As equipas de TI devem eliminar as exceções de «endereços IP fidedignos», aplicar uma cobertura abrangente de MFA em todos os pontos de entrada externos e auditar regularmente a forma como as políticas de segurança são efetivamente aplicadas.
Fonte: BleepingComputer – 19 de agosto de 2026
Alegações não verificadas do hacker «TheHatman» sobre o roubo em massa de credenciais de clientes empresariais do Microsoft Entra
O que aconteceu: Entre 1 e 17 de agosto de 2026, um utilizador de um fórum de hackers com o pseudónimo «TheHatman» publicou ofertas de venda de dados de colaboradores de grandes empresas, alegadamente obtidos em ambientes na nuvem do Microsoft Entra através de credenciais comprometidas. Os investigadores da Unit 42 não conseguiram confirmar um vetor de entrada específico nem uma violação efetiva do próprio serviço Entra, pelo que a ameaça ficou classificada como «violação não verificada através de roubo de credenciais de contas».
Porque importa: Embora as alegações do hacker sobre a violação da infraestrutura do fornecedor continuem por confirmar, o incidente atraiu grande atenção e ilustrou como os atacantes utilizam palavras-passe comprometidas para comprometer tenants na nuvem. As equipas de TI devem tratar alegações não verificadas deste tipo como um sinal para verificar os seus próprios sistemas, e não como prova de que a própria plataforma foi violada.
Recomendação defensiva: As equipas de TI e de segurança devem configurar uma monitorização regular de credenciais de colaboradores expostas e estar atentas a sinais de MFA fatigue e a tentativas de password spraying contra diretórios de identidade na nuvem. As ameaças não verificadas devem servir para construir hipóteses de threat hunting, e não para desencadear respostas de pânico.
Fonte: Relatório da Unit 42 – 18 de agosto de 2026
Análise comparativa da eficácia da resposta do SOC com base em testes de red team da CISA
O que aconteceu: A Cybersecurity and Infrastructure Security Agency (CISA) avaliou as defesas de duas organizações através de testes de intrusão de red team. Uma das organizações não detetou nem conteve de todo as ações dos atacantes, enquanto a outra detetou rapidamente as tentativas iniciais de comprometimento e isolou os hosts afetados. As recomendações da CISA incluem manter perfis de deteção de referência, utilizar políticas de Conditional Access para identidades de carga de trabalho e rodar e revogar tokens com rapidez.
Porque importa: As ferramentas de monitorização são inúteis sem processos de resposta a incidentes bem afinados. A proteção de ambientes na nuvem e híbridos depende diretamente da integração dos sistemas de gestão de identidades e acessos (IAM) com os playbooks de piquete (on-call) da equipa de segurança.
Recomendação defensiva: Os processos de inventário de privilégios, a verificação de Conditional Access e a revogação de emergência de tokens de sessão devem ser praticados regularmente através de simulacros e de simulações de ataques.
Fonte: Aviso da CISA – 25 de agosto de 2026
Resumo de agosto de 2026
Em agosto, os atacantes contornaram a autenticação com tokens forjados, sessões roubadas e chaves expostas, e grande parte desta atividade não aciona os alertas em que a maioria das organizações confia. Na prática, isto significa que a política de palavras-passe, por si só, já não cobre a maior parte da superfície de ataque: as sessões, os tokens e as credenciais de máquina precisam dos mesmos controlos de ciclo de vida que as palavras-passe já têm.
Três prioridades para setembro:
- Corrigir os quatro contornos da autenticação divulgados. O N-central e o SharePoint tiveram exploração ativa em ambiente real confirmada neste período de análise. O NetScaler e o Keycloak justificam uma correção urgente, dada a sua gravidade, mesmo sem exploração confirmada até à data.
- Auditar a autenticação de ponta a ponta, e não apenas o ecrã de início de sessão. A MFA no início de sessão oferece proteção limitada se a recuperação de contas, a validação de JWT, a duração das sessões ou a cobertura do Conditional Access tiverem lacunas. O Mirage2FA e o CaptiveCrunch contornaram ambos a MFA ao roubar uma sessão ou um token após a autenticação, e não ao derrotá-la.
- Analisar repositórios e pipelines de CI/CD à procura de chaves expostas, como fizeram a GitGuardian e a Truffle Security em agosto, e integrar a revogação e a rotação nas operações de rotina, em vez de as deixar para a resposta a incidentes.
Estes três problemas partilham uma causa de raiz: credenciais e segredos dispersos por repositórios, pipelines e caixas de correio, sem um único local onde ver quem tem acesso a quê. O Passwork responde a isto com um cofre cifrado único para palavras-passe e segredos, acesso baseado em funções, registos de auditoria e rotação orientada por API.
Pedir uma demonstração do Passwork e começar por um inventário do que a equipa já tem disperso pelos sistemas.
Passwork Team
Alex Muntyan
Alex Muntyan