A Cybersecurity and Infrastructure Security Agency (CISA) adicionou três vulnerabilidades exploradas ativamente ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV): falhas que afetam o Langflow, o Apache Tomcat e o N-central. O catálogo KEV existe especificamente para sinalizar brechas de segurança que os invasores já estão usando ativamente, e este último lote não é exceção. Para aumentar a intriga, pesquisadores da Unit 42 da Palo Alto Networks vincularam uma das campanhas de exploração a um agente de hacking supostamente alimentado pelo DeepSeek, o modelo de IA chinês que tem chamado a atenção por sua rápida adoção tanto em usos legítimos quanto maliciosos.

Para os usuários comuns da internet, as adições ao KEV podem parecer jargão técnico. Mas não são. Essas entradas afetam diretamente o software que roda por trás dos sites, ferramentas de gerenciamento remoto e plataformas de IA nos quais empresas e provedores de serviços confiam para manter seus dados seguros. Quando os invasores exploram esses sistemas antes que as correções sejam aplicadas, as consequências geralmente recaem sobre as pessoas cujas informações esses sistemas deveriam proteger.

Três novas entradas no catálogo KEV da CISA

Cada uma das três falhas agora sinalizadas pela CISA ocupa um canto diferente do ecossistema de software, o que é parte do que torna essa atualização notável. O Langflow é uma plataforma de código aberto usada para criar fluxos de trabalho com agentes de IA, uma categoria de software que explodiu em popularidade à medida que as empresas correm para implantar ferramentas de IA internamente. O Apache Tomcat é um servidor web e contêiner de servlets amplamente utilizado que sustenta inúmeras aplicações baseadas em Java em empresas e órgãos governamentais. O N-central é uma plataforma de monitoramento e gerenciamento remoto (RMM) usada por provedores de serviços de TI para administrar redes de clientes remotamente, o que significa que uma única instância comprometida pode potencialmente expor várias organizações posteriores de uma só vez.

Por diretiva federal, as agências sob a Diretiva Operacional Vinculativa da CISA são obrigadas a corrigir as vulnerabilidades listadas no KEV dentro de um prazo definido, refletindo a seriedade com que o governo trata a exploração ativa confirmada. As organizações privadas não estão vinculadas ao mesmo mandato, mas as equipes de segurança geralmente tratam as listagens do KEV como um forte sinal para priorizar a correção imediatamente, em vez de esperar por um ciclo rotineiro de atualização.

Não é a primeira vez que a CISA age rapidamente para sinalizar uma falha que invasores do mundo real já estão usando. A divulgação da falha de acesso root no Linux feita pela agência no início deste ano seguiu um padrão semelhante: uma vulnerabilidade descoberta, transformada em arma e adicionada ao KEV em pouco tempo, ressaltando como a janela entre a divulgação e a exploração se tornou comprimida em toda a cadeia de suprimentos de software.

Um agente de hacking alimentado pelo DeepSeek entra em cena

O que diferencia esta rodada de divulgações é a descoberta da Unit 42 de que uma das campanhas de exploração parece ser conduzida por um agente de hacking de IA construído sobre o DeepSeek. O ferramental de ataque assistido por IA não é um conceito novo, mas um caso documentado que vincula uma campanha de exploração específica listada no KEV a um modelo de IA nomeado é um dado significativo. Isso sugere que a automação que os invasores usam para encontrar, transformar em arma e implantar explorações contra sistemas vulneráveis, como instâncias do Langflow, está amadurecendo rapidamente.

A implicação prática é a velocidade. O ferramental assistido por IA pode ajudar os invasores a identificar instâncias vulneráveis expostas na internet de softwares como Langflow ou Tomcat mais rápido do que o reconhecimento manual jamais conseguiria, encolhendo a já estreita janela que os defensores têm para corrigir antes que a exploração comece.

Por que falhas exploradas ativamente são importantes para a privacidade

A conexão direta entre vulnerabilidades de infraestrutura e privacidade pessoal é fácil de ignorar, mas é real. Servidores Tomcat e plataformas RMM como o N-central geralmente ficam no centro de sistemas que armazenam ou transmitem dados de clientes, desde credenciais de login até registros financeiros. As instâncias do Langflow, por sua vez, são cada vez mais usadas para criar aplicações de IA que processam informações sensíveis dos usuários, desde consultas de atendimento ao cliente até dados comerciais internos. Uma exploração bem-sucedida de execução remota de código ou acesso não autorizado contra qualquer um desses sistemas pode dar aos invasores um ponto de apoio para se mover lateralmente, extrair dados ou implantar ransomware, transformando uma vulnerabilidade técnica em um incidente de privacidade que afeta muito mais pessoas do que a organização alvo original.

O que isso significa para você

A maioria dos leitores não irá pessoalmente corrigir um servidor Tomcat ou uma implantação do N-central, mas os efeitos em cadeia dessas vulnerabilidades ainda podem alcançá-lo. Se você usa serviços construídos nas plataformas afetadas, seja um portal de clientes de uma empresa, uma ferramenta de suporte baseada em IA ou um provedor de TI que gerencia a rede da sua organização, uma violação a montante pode expor seus dados a jusante. Vale a pena prestar atenção às notificações de violação dos serviços que você utiliza e tratar qualquer solicitação inesperada de redefinição de senha ou alerta de atividade da conta com cuidado extra nas semanas seguintes a notícias como esta.

Orientações práticas

Se você gerencia infraestrutura de TI, priorize a correção imediata de quaisquer instâncias do Langflow, Tomcat ou N-central e consulte diretamente o catálogo KEV da CISA para obter as entradas específicas e os prazos de remediação. Se você é um usuário geral, fique de olho nas divulgações de violações das empresas nas quais confia, ative a autenticação multifator onde ela for oferecida e trate isso como um lembrete de que o software que roda silenciosamente nos bastidores dos seus serviços favoritos tem uma linha direta com seus dados pessoais. Manter-se informado sobre atualizações do KEV como esta é um pequeno hábito que compensa quando a próxima falha explorada ativamente ganha as manchetes.