O que é a CVE-2026-34197?

• Abuse da API Jolokia para carregar configurações remotas maliciosas;
• Induza o broker a executar comandos arbitrários no sistema operacional;
• Realize ataques sem autenticação, em cenários onde:
  • o Jolokia está exposto à internet;
  • credenciais padrão permanecem ativas;
  • ou outra falha permite acesso não autorizado à interface de gerenciamento.

Como funciona o ataque

1. Identificação de instâncias do Apache ActiveMQ expostas;
2. Acesso à API Jolokia sem autenticação ou com credenciais fracas;
3. Envio de requisições maliciosas para invocar MBeans sensíveis;
4. Execução remota de código, permitindo controle parcial ou total do sistema.

• Instalação de malware;
• Criação de backdoors;
• Movimentação lateral na rede;
• Exfiltração de dados sensíveis;
• Interrupção de serviços essenciais.

Quem está no alvo?

• Instâncias do Apache ActiveMQ Classic expostas à internet;
• Ambientes com console de administração acessível publicamente;
• Organizações que utilizam ActiveMQ em fluxos críticos de negócio.

Recomendações de mitigação

• Atualizar imediatamente o Apache ActiveMQ para as versões corrigidas:
  • 5.19.4
  • 6.2.3
• Restringir o acesso ao console web e à interface Jolokia, permitindo apenas redes internas ou VPNs;
• Desabilitar o Jolokia quando não houver necessidade operacional;
• Remover credenciais padrão e aplicar autenticação forte em todas as interfaces de gerenciamento;
• Monitorar logs em busca de:
  • Chamadas suspeitas à API Jolokia;
  • Execuções incomuns de MBeans;
• Utilizar soluções de monitoramento, detecção e resposta para identificar comportamentos anômalos em processos Java e conexões externas inesperadas.

Por que essa vulnerabilidade é tão perigosa?

CDC Security

Conheça as soluções do CDC Security

Como funciona a exploração da falha zero-day no Adobe Reader

• Coleta de informações locais do sistema;
• Identificação de configurações de segurança;
• Abuso de APIs privilegiadas do Adobe Acrobat.

Quem são os principais alvos dos ataques?

• E-mail;
• Redes sociais;
• Plataformas de compartilhamento de arquivos.

Recomendações de segurança enquanto não há correção

• Evitar abrir arquivos PDF recebidos de remetentes desconhecidos ou não confiáveis;
• Implementar controles de segurança de rede para monitorar e bloquear tráfego suspeito associado ao Adobe Reader, sempre que possível;
• Restringir ou revisar o uso de leitores de PDF vulneráveis em ambientes corporativos críticos;
• Manter equipes de segurança atentas a atividades anômalas relacionadas à abertura de PDFs e ao uso de APIs do Acrobat;
• Acompanhar comunicados oficiais da Adobe e aplicar imediatamente as atualizações de segurança assim que forem disponibilizadas.

Por que essa vulnerabilidade merece atenção imediata?

• Exploração silenciosa;
• Alto nível de sofisticação;
• Ausência de correção oficial;

Proteja sua empresa contra ameaças zero-day com a CDC Security

• Monitoramento contínuo de eventos de segurança;
• Identificação de atividades anômalas e exploração de vulnerabilidades;
• Suporte especializado para mitigação de riscos críticos;
• Fortalecimento da postura de segurança em ambientes corporativos.

Fale com o CDC Security e descubra como proteger seu ambiente contra ataques sofisticados e vulnerabilidades zero-day antes que elas impactem o seu negócio.

Fontes

• Adobe
• BleepingComputer
• TechRadar

O que aconteceu?

Hoje, 31 de março de 2026, a equipe da StepSecurity identificou duas versões maliciosas do pacote: axios@1.14.1 e axios@0.30.4, publicadas com credenciais comprometidas de um colaborador líder do projeto.
O invasor alterou o e-mail da conta mantida por esse desenvolvedor para um endereço ProtonMail anônimo, publicando as versões sem acionar o pipeline CI/CD do GitHub.

Como o malware funciona

• As versões maliciosas não alteram diretamente o código do axios, mas introduzem uma dependência oculta: plain‑crypto‑js@4.2.1.
• Essa biblioteca infectada executa um hook postinstall, que em até 15 segundos após a instalação, implanta um remote access trojan (RAT) de plataforma cruzada, direcionado a Windows, macOS e Linux.
• O malware força conexões externas, potencialmente expondo segredos, credenciais e controle total do sistema.

Alcance e impacto

• axios é um dos pacotes mais baixados do npm, com mais de 100 milhões de downloads semanais 
• O ataque não exige ações conscientes do desenvolvedor — basta a instalação via npm install axios@1.14.1 ou @0.30.4.
• O código foi removido do npm, mas quem já teve essas versões instaladas está exposto e deve considerar o ambiente comprometido.

O que você pode fazer agora

• Execute npm ls axios para identificar versões 1.14.1 ou 0.30.4 – se encontrar, atualize para a versão mais recente ou reinstale.
• Revise o package-lock.json para rastrear dependências transitivas que possam incluir as versões afetadas.
• Realize varredura antimalware e busque indícios de backdoor ou conexões externas atípicas após a instalação dessas versões.
• Monitore segredos e tokens usados no ambiente e considere rotação emergencial de credenciais.
• Audite seu processo CI/CD, reforçando uso de verificação de assinaturas (2FA) mesmo para contas npm e GitHub.

Por que isso é ainda mais urgente para desenvolvedores Brasileiros?

Aprendizados e reforço de práticas de segurança

1. Autenticação robusta: Ativação obrigatória de 2FA em todas contas de manutenção (npm, GitHub).
2. Monitoramento de reputação: Inscrever-se em alertas de segurança de pacotes ou dependências.
3. Verificação de assinaturas e hashes: Antes de deploy ou build em pipelines.
4. Segmentação de ambientes: Separação de ambientes de desenvolvimento e produção para reduzir riscos.
5. Resposta rápida a incidentes: Preparo para isolar sistemas afetados e comunicar equipes envolvidas, como fizemos aqui.

O que esse incidente nos ensina

Através do CDC Security, o Grupo Task TI segue acompanhando de perto esse tipo de ameaça para ajudar times a anteciparem riscos, fortalecerem seus processos e tomarem decisões mais seguras em ambientes cada vez mais complexos.