Uma vulnerabilidade cr\u00edtica na Pillow, uma ferramenta de processamento de imagem popular da linguagem de programa\u00e7\u00e3o Python, permite que invasores assumam o controle de servidores na internet. <\/b>O ataque \u00e9 disparado quando o sistema tenta processar um arquivo renomeado para incluir comandos maliciosos. A brecha atinge o formato EPS, comumente usado para arquivos vetoriais e ilustra\u00e7\u00f5es no design gr\u00e1fico. <\/b>O problema surge da falta de valida\u00e7\u00e3o no Pillow<\/b>, que repassa o nome de documento diretamente ao programa auxiliar Ghostscript<\/b> sem verificar se o texto traz instru\u00e7\u00f5es invasoras.<\/p>\n
A equipe respons\u00e1vel pelo software confirmou, em documenta\u00e7\u00e3o oficial, a gravidade da situa\u00e7\u00e3o: \u201cA falha \u00e9 acionada pelo nome do arquivo, e n\u00e3o por qualquer elemento dentro do documento PostScript\u201d<\/b>, declararam os programadores que cuidam do projeto, em comunicado de seguran\u00e7a<\/a> publicado no GitHub. A declara\u00e7\u00e3o refor\u00e7a que at\u00e9 mesmo uma imagem inofensiva pode causar estragos caso o nome do arquivo seja definido por um invasor.<\/b><\/p>\n\n A vers\u00e3o atualizada tamb\u00e9m corrige um defeito na cria\u00e7\u00e3o de miniaturas, as vers\u00f5es reduzidas de imagens usadas para pr\u00e9-visualiza\u00e7\u00e3o na web.<\/b> Essa falha espec\u00edfica, identificada como CVE-2026-112403<\/a>, faz o servidor travar ao tentar redimensionar fotos em formato JPEG. \u201cEsta consulta foi encontrada pela Anthropic<\/b> com o uso do Claude<\/b> para estudar a seguran\u00e7a de softwares de c\u00f3digo aberto, com valida\u00e7\u00e3o manual pela Ada Logics\u201d, pontuou o analista David Korczynski, no boletim t\u00e9cnico publicado no GitHub<\/b>.<\/p>\n Outro ponto corrigido na atualiza\u00e7\u00e3o envolve uma brecha registrada como <\/b>CVE-2026-112393<\/b><\/a>, presente no c\u00f3digo do programa desde 2013. <\/b>Ela acontece quando o sistema tenta salvar uma foto comprimida diretamente na mem\u00f3ria tempor\u00e1ria do servidor em vez de gravar no disco r\u00edgido, uma pr\u00e1tica comum em sites que tratam imagens enviadas por usu\u00e1rios antes de exibi-las na tela.<\/p>\n A orienta\u00e7\u00e3o principal para os profissionais de tecnologia que gerenciam esses servidores \u00e9 a atualiza\u00e7\u00e3o imediata para o Pillow 13.0.0<\/b>, conforme informado nas notas de lan\u00e7amento<\/a> e dispon\u00edvel para download no reposit\u00f3rio PyPI. A nova vers\u00e3o do software removeu o suporte a vers\u00f5es mais antigas do Python<\/b>, o que exige a atualiza\u00e7\u00e3o de toda a base do sistema.<\/p>\n Enquanto a atualiza\u00e7\u00e3o n\u00e3o \u00e9 aplicada, as diretrizes de seguran\u00e7a<\/a> do Pillow<\/b> recomendam desinstalar o programa Ghostscript dos servidores que recebem arquivos p\u00fablicos. <\/b>Os mantenedores do projeto pedem ainda que os sistemas evitem criar miniaturas de fotos enviadas por desconhecidos e n\u00e3o processem imagens diretamente na mem\u00f3ria tempor\u00e1ria do computador.<\/p>\n Siga o TecMundo<\/b><\/a> no X<\/a>, Instagram<\/a>, Facebook<\/a> e YouTube<\/a> e assine a nossa newsletter<\/a> para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail. <\/p>\n [[{“value”:”Uma vulnerabilidade cr\u00edtica na Pillow, uma ferramenta de processamento de imagem popular da linguagem de programa\u00e7\u00e3o Python, permite que invasores assumam o controle de servidores na internet. O ataque \u00e9 disparado quando o sistema tenta processar um arquivo renomeado para incluir comandos maliciosos. A brecha atinge o formato EPS, comumente usado para arquivos vetoriais e ilustra\u00e7\u00f5es no design gr\u00e1fico. O problema surge da falta de valida\u00e7\u00e3o no Pillow, que repassa o nome de documento diretamente ao programa auxiliar Ghostscript sem verificar se o texto traz instru\u00e7\u00f5es invasoras.A equipe respons\u00e1vel pelo software confirmou, em documenta\u00e7\u00e3o oficial, a gravidade da situa\u00e7\u00e3o: \u201cA falha \u00e9 acionada pelo nome do arquivo, e n\u00e3o por qualquer elemento dentro do documento PostScript\u201d, declararam os programadores que cuidam do projeto, em comunicado de seguran\u00e7a publicado no GitHub. A declara\u00e7\u00e3o refor\u00e7a que at\u00e9 mesmo uma imagem inofensiva pode causar estragos caso o nome do arquivo seja definido por um invasor.<\/p>\n A vers\u00e3o atualizada tamb\u00e9m corrige um defeito na cria\u00e7\u00e3o de miniaturas, as vers\u00f5es reduzidas de imagens usadas para pr\u00e9-visualiza\u00e7\u00e3o na web. Essa falha espec\u00edfica, identificada como CVE-2026-112403, faz o servidor travar ao tentar redimensionar fotos em formato JPEG. \u201cEsta consulta foi encontrada pela Anthropic com o uso do Claude para estudar a seguran\u00e7a de softwares de c\u00f3digo aberto, com valida\u00e7\u00e3o manual pela Ada Logics\u201d, pontuou o analista David Korczynski, no boletim t\u00e9cnico publicado no GitHub.Atualiza\u00e7\u00e3o do sistema e medidas de prote\u00e7\u00e3o Uma vulnerabilidade cr\u00edtica na Pillow, uma ferramenta de processamento de imagem popular da linguagem de programa\u00e7\u00e3o Python, permite que invasores assumam o controle de servidores na internet. O ataque \u00e9 disparado quando o sistema tenta processar um arquivo renomeado para incluir comandos maliciosos. A brecha atinge o formato EPS, comumente usado para arquivos vetoriais e […]<\/p>\n","protected":false},"author":1,"featured_media":69763,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[15],"tags":[],"class_list":["post-69762","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/69762","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=69762"}],"version-history":[{"count":0,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/69762\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/media\/69763"}],"wp:attachment":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=69762"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=69762"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=69762"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Atualiza\u00e7\u00e3o do sistema e medidas de prote\u00e7\u00e3o<\/h2>\n
\nOutro ponto corrigido na atualiza\u00e7\u00e3o envolve uma brecha registrada como CVE-2026-112393, presente no c\u00f3digo do programa desde 2013. Ela acontece quando o sistema tenta salvar uma foto comprimida diretamente na mem\u00f3ria tempor\u00e1ria do servidor em vez de gravar no disco r\u00edgido, uma pr\u00e1tica comum em sites que tratam imagens enviadas por usu\u00e1rios antes de exibi-las na tela.A orienta\u00e7\u00e3o principal para os profissionais de tecnologia que gerenciam esses servidores \u00e9 a atualiza\u00e7\u00e3o imediata para o Pillow 13.0.0, conforme informado nas notas de lan\u00e7amento e dispon\u00edvel para download no reposit\u00f3rio PyPI. A nova vers\u00e3o do software removeu o suporte a vers\u00f5es mais antigas do Python, o que exige a atualiza\u00e7\u00e3o de toda a base do sistema.Enquanto a atualiza\u00e7\u00e3o n\u00e3o \u00e9 aplicada, as diretrizes de seguran\u00e7a do Pillow recomendam desinstalar o programa Ghostscript dos servidores que recebem arquivos p\u00fablicos. Os mantenedores do projeto pedem ainda que os sistemas evitem criar miniaturas de fotos enviadas por desconhecidos e n\u00e3o processem imagens diretamente na mem\u00f3ria tempor\u00e1ria do computador.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail.”}]]\u00a0\u00a0Ciberseguranca\u00a0Novidades do TecMundo | Estad\u00e3o\u00a0<\/p>","protected":false},"excerpt":{"rendered":"