LiteLLM 1.107.0 distribuiu malware; PHP recebe correções para o PHP2Shell

Duas notícias exigem atenção de quem mantém aplicações: uma publicação comprometida do LiteLLM exige cuidados com credenciais, e o PHP recebeu correções para falhas que podem permitir execução de código sem login. A edição também traz um experimento do ThinkingBox que melhorou a consistência de agentes, além de atualizações de ferramentas e serviços.

LiteLLM 1.107.0 levou malware a pacotes Python e imagens de contêiner

Os mantenedores do LiteLLM, biblioteca e gateway que conectam aplicações a diferentes provedores de IA, confirmaram o comprometimento da publicação 1.107.0 em 21 de outubro. Sete arquivos de instalação Python, chamados wheels, distribuídos pelo PyPI continham malware. Imagens de contêiner também foram afetadas, incluindo as apontadas temporariamente pelas tags latest, main-latest e main-stable.

No PyPI, os arquivos ficaram disponíveis aproximadamente das 8h39 às 10h23 de Brasília. No Docker Hub, a janela foi das 8h46 às 11h20. Segundo o projeto, os artefatos foram removidos ou as tags redirecionadas para imagens limpas; o registro privado das versões empresariais ficou fora do incidente.

O código malicioso entrava na inicialização normal do Python por arquivos como cook.pth e sitecustomize.py. Iniciar o interpretador no ambiente afetado podia executar o malware, mesmo sem importar LiteLLM. A análise da StepSecurity descreve coleta de credenciais e um componente persistente para carregar código remoto. A tag oficial do código-fonte no GitHub estava limpa: os arquivos distribuídos foram construídos a partir de outro repositório, controlado pelo atacante. Por isso, conferir apenas o código dessa tag não basta para avaliar o pacote instalado.

A recuperação começa com um cuidado importante: evite iniciar Python ou pip no ambiente suspeito, pois isso pode executar novamente o malware. Isole o ambiente, preserve evidências e reconstrua imagens e ambientes virtuais a partir de artefatos verificados. Revogue e substitua as credenciais acessíveis ao host, inclusive chaves de provedores guardadas no banco do gateway. Reinstalar o pacote, sozinho, deixa essa exposição sem tratamento.

Este é um novo incidente, posterior ao ataque de março já coberto aqui. A investigação sobre o acesso inicial ainda estava em andamento no comunicado consultado.

Fontes: relatório e orientações do LiteLLM e análise dos artefatos pela StepSecurity.

PHP2Shell recebe correções; Amazon relata tentativas anteriores à divulgação

Depois do aviso antecipado que publicamos no dia 21, a equipe do PHP lançou as correções para CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell. As versões corrigidas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Atualize dentro da série utilizada ou confira se a sua distribuição incorporou a correção ao pacote que fornece, prática chamada de backport.

Uma falha envolve a limpeza de dados parcialmente inicializados após falta de memória. A outra permite que um processo reutilize estado de uma requisição cuja memória já foi liberada. Ambas podem permitir execução remota de código sem autenticação. O projeto considera Apache com mod_php, que executa PHP como módulo do servidor web, o cenário de maior risco demonstrado: a requisição pode atingir o problema antes de começar o código da aplicação. Nesse cenário, uma tela de login na aplicação não protege esse caminho de execução.

A Amazon identificou em sua rede de sensores MadPot uma tentativa datada de 17 de outubro, quatro dias antes da divulgação. A empresa ressalta que a análise ainda não determinou se aquelas tentativas teriam sucesso em sistemas reais. Para investigar uma instalação exposta, revise registros desde pelo menos o dia 17 e procure execução inesperada de processos ou alterações de arquivos.

Faça o inventário também de aplicações que trazem PHP embutido em imagens e painéis administrativos. O PHP informa que ajustes de configuração reduzem caminhos específicos de ataque; a atualização é a solução completa para as duas falhas.

Fontes: aviso oficial e versões do PHP, nota técnica do CERT/CC e telemetria e recomendações da Amazon.

ThinkingBox usa o estado final do banco para treinar agentes mais consistentes

Microsoft e Hugging Face publicaram em 22 de outubro uma continuação do ThinkingBox, ambiente de avaliação já apresentado aqui. Agora, as verificações do estado final do banco também servem como recompensa no treinamento: o agente recebe um resultado positivo quando deixa os registros e efeitos esperados, sem alterações indevidas. O critério de sucesso está no resultado da tarefa, incluindo o que mudou e o que deveria permanecer intacto.

No experimento com o modelo Qwen3.8-27B, a taxa média de sucesso passou de 51,70% para 60,78%. Os pesquisadores avaliaram 507 tarefas sintéticas, com vinte tentativas para cada uma. Dois resultados ajudam a entender o alcance do ganho:

• Mais repetibilidade: o número de tarefas acertadas nas vinte tentativas subiu de 38 para 107.
• Menor cobertura: o número de tarefas resolvidas ao menos uma vez caiu de 453 para 446.

O modelo passou a acertar mais vezes dentro desse teste, mas deixou de resolver algumas tarefas que antes conseguia completar em pelo menos uma tentativa. O treinamento usou tarefas separadas do conjunto de avaliação, embora ambos compartilhem a estrutura e o estilo dos fluxos. A maioria das recompensas vem de verificações executáveis; uma minoria usa auxílio de outro modelo para julgar critérios específicos. Os vinte acertos observados são uma medida de repetibilidade nessas condições, sem estabelecer confiabilidade em produção.

Para uma equipe pequena, a lição prática está no avaliador: conferir o que mudou, o que faltou e quais efeitos extras apareceram depois de uma tarefa. O treinamento de referência utilizou 24 aceleradores H100, uma escala de infraestrutura a considerar antes de tentar seguir esse caminho.

Fonte: método, resultados e limitações do ThinkingBox-Training.

Destaques rápidos para hoje.

• GitLab corrige falha que pode permitir execução de código sem login. As versões publicadas em 21 de outubro tratam a CVE-2026-110264, falha no compilador de expressões regulares com nota de gravidade CVSS 10. As correções estão em 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13; confira a série da sua instalação. Planeje a atualização: o aviso destaca migrações de banco e indisponibilidade em instalações de nó único. O GitLab.com já estava corrigido. Fonte: boletim do GitLab.

• Bun 1.4.4 permite pausar a leitura de WebSockets quando a aplicação fica para trás. A versão de 22 de outubro desse ambiente de execução de JavaScript e TypeScript acrescenta pause() e resume() aos sockets de Bun.serve. Ao pausar, o servidor deixa de ler a conexão, fazendo a pressão retornar ao cliente pelo TCP. Esse controle, chamado de backpressure, ajuda a lidar com mensagens que chegam mais rápido do que a aplicação consegue processar. Fonte: notas do Bun.

• KeePassXC 2.8.0 leva a digitação automática de senhas ao Wayland. Lançada em 21 de outubro, a versão estável do gerenciador de senhas usa os portais do desktop Linux para o recurso e acrescenta desbloqueio rápido via Polkit. Também corrige problemas que os mantenedores classificam como de gravidade baixa a moderada e que, segundo eles, não afetam a criptografia central do produto. Fonte: anúncio do KeePassXC.

• Um guia de Caddy mostra como compartilhar arquivos mantendo a administração atrás de uma VPN. No texto de 21 de outubro, Solène Rapenne usa o servidor web Caddy para limitar as rotas públicas do gerenciador de fotos Immich e da plataforma de arquivos Nextcloud. O servidor consulta o aplicativo para validar o token do compartilhamento. Algumas rotas auxiliares permanecem públicas; o cabeçalho Referer pode ser falsificado, e a checagem usada no Immich depende de um comportamento sujeito a mudanças. A configuração exige manutenção e testes após atualizações, com a autorização dos arquivos ainda a cargo do aplicativo. Fonte: guia e limitações descritas pela autora.

• OWASP remove exemplo de filtro de prompt injection que bloqueava pedidos legítimos e deixava ataques passar. Prompt injection ocorre quando conteúdo malicioso tenta virar instrução para o modelo. A alteração incorporada em 22 de outubro substitui a classe de filtragem por orientações sobre os limites da triagem de texto. Para agentes, a consequência prática é revisar também as permissões das ferramentas e os pontos que autorizam ações: a detecção de palavras suspeitas tem falsos positivos e falhas de cobertura. Fonte: mudança aceita no guia da OWASP.

• Google detalha execução de agentes com credenciais duradouras fora do ambiente de código. A arquitetura do Agent Compute Engine, descrita em 22 de outubro, separa o orquestrador da microVM, uma máquina virtual pequena e isolada. Segundo o Google, a microVM usa uma identidade de sessão com validade curta; um gateway externo verifica políticas e acrescenta a credencial necessária ao pedido. Isso reduz os segredos expostos ao código executado pelo agente. A infraestrutura também preserva estado ao suspender ambientes ociosos. Fonte: arquitetura publicada pelo Google Cloud.

• Anthropic e Theorem relatam provas formais para 239 pontos de entrada em 123 bibliotecas, sob condições específicas. O trabalho de 22 de outubro usa Claude para produzir provas sobre executáveis e testes selecionados, conferidas pelo verificador matemático Rocq. O resultado depende de binários estáticos RISC-V/Linux, uma única thread, orçamento fixo de memória e entradas menores que 64 MB. A garantia cobre as propriedades desses testes dentro do modelo adotado; bibliotecas inteiras e outras plataformas ficam além desse alcance. Fonte: método e limitações da pesquisa.

• eMudhra anuncia saída do mercado global de certificados SSL/TLS. A decisão de 22 de outubro acrescenta uma transição comercial ao incidente de certificados já coberto aqui. A empresa afirma que oferecerá substituições por parceiros sem custo e manterá os serviços de revogação e consulta de estado até os certificados emitidos expirarem ou serem substituídos. Clientes devem acompanhar a migração dos próprios certificados. Fonte: comunicado da eMudhra.

• Open Responses passa à governança da Agentic AI Foundation. O anúncio de 22 de outubro descreve a incorporação da especificação aberta para chamadas a modelos, respostas em fluxo e uso de ferramentas. Um formato compartilhado pode reduzir adaptações na troca de provedor, desde que as implementações suportem os recursos usados pela aplicação. A AWS participa do projeto e informa suporte ao formato no Bedrock. Fonte: anúncio da AWS, participante da iniciativa.

• AWS libera o Continuum para investigar vulnerabilidades e propor correções por pull request. O serviço cruza código com contexto da infraestrutura e apresenta níveis de evidência para os achados; quando consegue reproduzi-los, usa um ambiente isolado. Segundo o anúncio de 22 de outubro, cada correção exige aprovação humana, e a disponibilidade inicial abrange Norte da Virgínia e Oregon. A equipe recebe a análise junto da mudança proposta para revisão. Fonte: anúncio e funcionamento do AWS Continuum.

Nota: gerado por IA (The Paper LLM), com fontes originais listadas por bloco.