Três fornecedores sem qualquer ligação, um calendário idêntico
O Ray é uma framework open source nativa de Python usada para executar cargas de treino e inferência de IA e ML, com mais de 43.500 estrelas no GitHub e uso generalizado na infraestrutura de IA empresarial. Uma falha registada como CVE-2025-62593, com uma pontuação CVSS de 9,4, permitia a um atacante combinar DNS rebinding com uma simples visita através do browser, fazendo com que a própria máquina do programador enviasse pedidos de execução de código a um cluster Ray local, porque a verificação de autenticação dos endpoints da API do Ray apenas confirmava que o cabeçalho User-Agent começava pela palavra Mozilla, um valor que qualquer browser envia por predefinição.
O GitLab, a plataforma de controlo de código-fonte e CI/CD usada em todo o setor, divulgou a CVE-2026-19478 a 17 de agosto de 2026: uma diretiva GraphQL com uma pontuação CVSS de 9,4 que permitia a um atacante não autenticado modificar ou eliminar projetos públicos e dados de utilizadores através da rede sem qualquer interação do utilizador. A Apple corrigiu a CVE-2026-65400 a 6 de agosto de 2026, uma falha na gestão de estado da validação de credenciais do Screen Sharing do macOS, o serviço de ambiente de trabalho remoto integrado que escuta na porta de rede 5900. Três organizações sem ligação, três produtos sem ligação, uma janela de seis dias.
Da correção à exploração em massa em dias, não meses
O botnet DDoS RondoDox incorporou um exploit funcional para a falha do Ray já a 24 de novembro de 2025, dois dias inteiros antes de a falha ser sequer divulgada publicamente a 26 de novembro de 2025, porque já circulava uma prova de conceito. Uma segunda campanha, a ShadowRay 2.0, procura especificamente clusters de Ray por corrigir a correr em GPUs NVIDIA e transforma-os em botnets de mineração de criptomoeda autorreplicantes, o que demonstra que os atacantes visam agora deliberadamente a infraestrutura de treino de IA pela sua capacidade de cálculo bruta.
A falha de Screen Sharing da Apple seguiu o mesmo padrão de aceleração. A correção saiu a 6 de agosto de 2026, o Centro Nacional de Cibersegurança neerlandês (NCSC-NL) confirmou exploração ativa contra Macs expostos à internet aberta, e em todos os casos confirmados o atacante obteve acesso root e instalou um minerador de criptomoeda Monero. A CISA elevou a pontuação de gravidade da falha de 7,1 para 9,8 a 14 de agosto de 2026, oito dias após a correção, depois de confirmar que o exploit se tinha tornado automatizável em grande escala. A CISA acrescentou a falha do Ray ao seu catálogo Known Exploited Vulnerabilities a 17 de agosto de 2026, com prazo até 20 de agosto de 2026 para as agências federais dos EUA.
O que isto significa para o ritmo de correções
Nada disto é exótico. O Ray corre em clusters de treino de IA, o GitLab situa-se na cadeia de fornecimento de software, e o Screen Sharing está presente em todos os Macs que uma equipa de TI gere remotamente, três peças comuns de infraestrutura que a maioria das organizações já usa. O intervalo que costumava existir entre um fornecedor lançar uma correção e os criminosos a explorarem em grande escala tem vindo a encurtar-se há algum tempo, e o calendário do Ray mostra que agora pode tornar-se negativo: o exploit foi armado antes mesmo de o público saber que a falha existia.
Um ciclo de correções mensal ou trimestral já não é uma postura de segurança defensável para nada que tenha uma superfície de administração ou desenvolvimento exposta à rede, e o GitLab autoalojado, os clusters de treino de IA e as frotas de Macs geridas remotamente encaixam-se claramente nessa categoria. A resposta prática passa por acompanhar os dias entre o lançamento da correção e a implementação completa como uma métrica seguida ao nível do conselho de administração para cada uma destas três categorias, com atenção especial à infraestrutura de IA e ML autoalojada, já que se trata de uma categoria mais recente para a qual a maioria das equipas de segurança ainda não construiu um processo de correção rápido.
Leia a seguir: Falha do SAP Commerce Cloud foi explorada antes de a maioria a corrigir | Duas falhas do SharePoint encadeiam para RCE total
