SSHole dá root em 9 horas, TJ-MA expõe dados de servidores e Paint fica fora do Windows Update

SSHole, tribunais brasileiros e um patch que não chega pelo Windows Update

As últimas 72 horas condensaram três padrões que vêm definindo o ano de 2026 na segurança operacional: a janela entre divulgação e exploração continuou a encolher até virar horas, o Brasil acumulou incidentes em órgãos do Judiciário com comunicados oficiais tardios e correções de software de consumo passaram a circular fora dos canais que a maioria dos times de TI monitora. O caso mais grave é o da falha no OpenSSH apelidada de SSHole , que rendeu acesso root em um honeypot poucas horas depois de a CVE ser publicada. Na mesma janela, o Tribunal de Justiça do Maranhão confirmou a exposição de dados de servidores e ex-servidores, um hacker que se identifica como Azael reivindicou a derrubada de sistemas do Tribunal de Justiça do Tocantins e a Microsoft publicou uma correção que o Windows Update simplesmente não entrega.

SSHole: o bug de 2016 que deixa o Alpine entrar sem senha

A vulnerabilidade rastreada como CVE-2026-123158 , com CVSS 8.1, foi batizada de SSHole pelo pesquisador Özgün Kültekin, do Wakefield, e corrigida no OpenSSH 10.6p2 em 5 de novembro. O detalhe que a torna perigosa é a especificidade do alvo: ela atinge apenas servidores OpenSSH compilados contra a biblioteca C musl e com PAM desabilitado — combinação que é exatamente o padrão do pacote openssh-server no Alpine Linux , base de incontáveis imagens de contêiner e de boa parte das distribuições mínimas em nuvem.

O mecanismo é uma condição herdada de um ajuste de timing feito em 2016. Ao verificar uma conta marcada com * no campo de senha — convenção que significa "conta sem senha válida, login por senha bloqueado" —, o sshd passa a usar as configurações de hash de outra conta. Somado a uma peculiaridade do musl no tratamento do resultado de crypt() , o efeito prático é que uma senha suficientemente longa, na faixa de 257 a 1024 caracteres , é aceita como válida para aquela conta. O atacante remoto não precisa de credencial alguma: precisa apenas de uma conta cujo login por senha deveria estar desabilitado e de uma string longa o bastante.

A exploração veio rápido e foi medida. A Previdian relatou ao Help Net Security ter observado as primeiras tentativas menos de nove horas após a publicação da CVE, com oito tentativas partindo de um único endereço de origem e detectadas por um único sensor — e, no mesmo ciclo, root confirmado em um honeypot Alpine Linux real . Vale sublinhar o encadeamento: em sistemas onde contas de serviço e contas administrativas usam * como senha, o bypass de autenticação deixa de ser um acesso lateral e passa a ser escalada direta.

A mitigação tem uma pegadinha operacional que já custou tempo a muita gente. Atualizar o pacote não substitui o daemon em execução:

OpenSSH 10.6p2 é a versão com correção upstream; distribuições com musl precisam do pacote próprio.

Alpine publicou pacotes corrigidos em 5 de novembro para todos os ramos, de 3.16 até edge.

No Alpine, o procedimento é apk upgrade -U -a seguido obrigatoriamente de rc-service sshd restart — sem o restart, o processo antigo continua atendendo conexões vulneráveis.

Ambientes em contêiner precisam de rebuild da imagem e não apenas de atualização do host; imagens antigas em cache perpetuam o binário vulnerável.

Onde a atualização não é imediata, restringir o sshd a chaves públicas e bloquear autenticação por senha reduz drasticamente a superfície, além de limitar a exposição do serviço à internet.

TJ-MA: dados de 2010 de servidores expostos em quatro sistemas

O Tribunal de Justiça do Maranhão publicou em 7 de novembro um comunicado de incidente de segurança cibernética reconhecendo a exposição de dados pessoais de servidores e ex-servidores da instituição. Segundo o próprio tribunal, o ambiente afetado sustentava os sistemas SISRH , SCO , E-POP e E-SIG , e os registros expostos são de 2010 . Reportagens locais indicam que o material inclui CPFs e dados bancários, o que amplia o risco de fraude financeira e de engenharia social direcionada a um público que raramente desconfia de contato "institucional".

Do ponto de vista técnico, o episódio repete um padrão já conhecido: o ativo comprometido é um sistema de RH de mais de uma década, provavelmente mantido por compatibilidade, sem inventário de dados atualizado e sem o mesmo rigor de monitoramento aplicado aos sistemas em produção recente. Dados bancários de 2010 raramente são necessários para a operação corrente — mas continuam armazenados, indexados e alcançáveis. A recomendação imediata para os afetados é acompanhar extratos e faturas, verificar consultas ao CPF e tratar qualquer contato que mencione o tribunal como potencial phishing.

Tocantins: Azael reivindica o TJTO e ameaça a UFT

No Tocantins, a narrativa é outra e igualmente preocupante. Uma pessoa que se identifica como Azael enviou comunicados a veículos de imprensa do estado reivindicando a ofensiva contra sistemas do Tribunal de Justiça do Tocantins e anunciando um ataque à Universidade Federal do Tocantins . A UFT não confirmou invasão, mas restringiu temporariamente o acesso remoto aos sistemas institucionais após o portal apresentar instabilidade na sexta-feira (6), mantendo os serviços para usuários na rede interna. A Polícia Federal foi citada como alvo de provocação no mesmo comunicado, e a ameaça de expansão a outros órgãos públicos e empresas do estado segue sem contraditório oficial.

Aqui o elemento crítico não é uma CVE, e sim a economia da atenção : um agente isolado, com comunicação pública e reforço de percepção de capacidade, consegue impor custo operacional real — bloqueio de acesso remoto, mobilização de equipes, indisponibilidade de portal — a instituições que respondem por precaução. Tratar esse tipo de anúncio como bravata é um erro de gestão de risco; tratar como confirmação de comprometimento também. O caminho é o que a UFT parece ter feito: contenção proporcional, verificação forense do ambiente e comunicação controlada, sem descartar a hipótese de que o mesmo ator tenha acesso prévio a credenciais.

Paint: RCE corrigida, mas fora do canal de atualização

A Microsoft corrigiu a CVE-2026-83844 , uma leitura fora dos limites (CWE-125) no Paint que pode levar à execução remota de código quando uma imagem especialmente construída é aberta. A falha recebeu CVSS 8.1 e classificação "Importante". O problema não é a correção em si, mas o caminho até ela: o Paint é um aplicativo distribuído pela Microsoft Store , e a build corrigida 11.2609.401.0 chega apenas por esse canal. Windows Update, WSUS, Intune update rings e Autopatch — as quatro alavancas que a maioria das equipes usa para provar conformidade de patch — não atendem o Paint .

Há um agravante de inventário: o Paint é instalado por conta de usuário, e o Windows mantém uma cópia provisionada para novas contas. Atualizar a cópia do usuário ativo pode deixar outra cópia antiga na mesma máquina, inclusive a que será clonada para o próximo perfil criado. Até o fechamento deste texto não havia relato público de exploração ativa da falha, mas o padrão de entrega é o que merece atenção: quando o ciclo de correção vive fora do canal monitorado, o indicador de conformidade mede apenas o que está no radar.

Vazamentos e KEV completam a janela

Fora desses eixos, outros eventos das últimas 72 horas reforçam a mesma leitura de fragmentação. A Gnosis Pay confirmou violação que expôs números de cartão, endereços residenciais e carteiras de criptomoedas vinculadas — e, segundo relato de usuário, a associação entre endereço físico, cartão e todas as carteiras da mesma conta, combinação que serve de base para golpes direcionados de alto impacto. Na Coreia do Sul, o Mirae Asset Securities confirmou vazamento de dados pessoais de clientes, episódio que veio a público menos de três dias após as autoridades divulgarem novas medidas de segurança para o setor financeiro. E a CISA manteve a pressão sobre o ciclo de exposição: a CVE-2024-27834 , falha de autenticação envolvendo WebKit e Pointer Authentication em produtos Apple, entrou no catálogo KEV em 4 de novembro com base em evidência de exploração ativa, e prazo de remediação em 18 de novembro para órgãos federais civis dos Estados Unidos — quase dois anos e meio após o patch original da Apple, de maio de 2024.

O que muda na operação

Três conclusões práticas emergem desta janela. A primeira é que a janela disclosure-to-exploit deixou de ser medida em semanas para produtos de borda e infraestrutura: nove horas entre a publicação e a exploração exige runbooks que já tenham o restart do serviço como passo explícito e testado, não como detalhe de documentação. A segunda é que inventário de ativos legados virou o gargalo dominante — sistemas de RH de 2010 e cópias provisionadas de aplicativos de Store são exatamente o tipo de ativo que nenhum scanner cobre bem e nenhum relatório de conformidade enxerga. A terceira é que comunicação de incidente passou a fazer parte da superfície de ataque: comunicados parciais e o silêncio sobre extensão real de vazamentos ampliam a janela de fraude e alimentam campanhas de engenharia social usando o nome das instituições.

Para os times que operam Alpine ou imagens de contêiner musl, a prioridade desta segunda-feira é objetiva: confirmar a versão do sshd em execução, não apenas a instalada. Para quem administra parque Windows, vale conferir se o Paint está realmente na build 11.2609.401.0 em todos os perfis. E para as organizações que atendem ao público, atualizar o plano de resposta para incluir vazamento de dados antigos deixou de ser exercício teórico.

Se este tipo de apuração ajuda sua equipe a priorizar o dia, assine a newsletter e encaminhe este texto ao responsável pela gestão de vulnerabilidades — a diferença entre nove horas e nove dias de exposição costuma estar na rotina de quem lê.

Fontes