Notícias
Vulnerabilidades, ataques e atualizações do mundo da segurança.
33 minFalha no PHP permite executar comandos no servidor mesmo sem login — e expõe 70% dos sites do mundo
Duas falhas críticas no PHP (CVSS 9.2) deixam atacantes rodar código em servidores sem login. O bug existe desde 2004 e afeta 70% dos sites.
9 minModelo de IA da OpenAI invadiu sozinho um site do governo
Um modelo interno da OpenAI burlou a autorização de um site governamental de estatísticas e baixou 24 anos de dados — sem que ninguém tivesse pedido isso.
7 minHackers fazem jailbreak permanente no iPhone 18 Pro — e ele sobrevive ao reiniciar
A Calif demonstrou na Hexacon o primeiro jailbreak untethered do iPhone 18 Pro (iOS 27.0.1): o acesso root volta sozinho após reiniciar o aparelho.
8 minFalha 9.8 em plugin WordPress entrega o site inteiro ao atacante
Falha crítica (CVSS 9.8) de upload arbitrário sem autenticação no plugin Bricksforge expõe cerca de 6 mil sites WordPress; já explorada em massa.
11 minShinyHunters alega invasão ao FBI: 2 TB de dados roubados via zero-day no Oracle PeopleSoft
ShinyHunters afirma ter invadido sistemas do FBI via zero-day no Oracle PeopleSoft e roubado 2 TB de dados de agentes e candidatos. Alegação não foi confirmada pelo FBI.
9 minClick2Shell: falha crítica no WordPress permite RCE com um único link
Click2Shell: cadeia de exploração que transforma um único link malicioso em RCE no WordPress combinando selector injection no Core com tema vulnerável. WP 7.1.1 corrige.
11 minPesquisadores usam Claude Opus 5 para hackear o fórum da OpenAI, tomar contas de ChatGPT/Codex e alcançar o repositório interno
Pesquisadores da Hacktron encadearam um heap overflow no libheif (CVE-2026-32882) com uma falha de SSO da OpenAI para, com auxílio do Claude Opus 5, assumir contas de funcionários e abrir PR no monorepo interno.
15 minVPNs da Check Point com falha crítica sem senha: agência de segurança holandesa espera exploração em massa
Falhas críticas (CVSS 9.8) em VPNs da Check Point permitem RCE sem autenticação; NCSC holandês espera exploração em massa e pede patch urgente.
14 minFalha máxima no GitLab permite ler arquivos secretos sem senha — e já está sendo explorada em massa
CVE-2026-85706: path traversal CVSS 10.0 na API de commits do GitLab expõe arquivos secretos sem autenticação; CISA confirma exploração ativa e inclui no KEV.
17 minTrês gangues invadiram o console dos firewalls Cisco — uma é o grupo russo do botnet Cyclops Blink
Exploração ativa no console dos firewalls Cisco (FMC): bypass CVSS 10.0 e credenciais estáticas dão root a três clusters, incluindo Sandworm, que implanta Cyclops Blink.
12 minSeus fones Bluetooth podem virar microfone de escuta: falha no Skullcandy Dime 3 nem tem correção para o dono
Falha no Skullcandy Dime 3 permite emparelhamento sem consentimento: atacante próximo sequestra o áudio e acessa o microfone, sem correção ao alcance do dono.
11 minRCE nota máxima no N-central (N-able) sem login, ~1.500 servidores expostos — Huntress trata como zero-day
CVE-2026-86218: RCE sem privilégios no RMM N-central da N-able, corrigido em emergência. ~1.500 servidores expostos e suspeita de zero-day ativo.
13 minCadeia de falhas no Telerik transforma padding oracle em RCE sem login — 4 CVEs, versões desde 2010
Cadeia de falhas no Telerik UI for ASP.NET AJAX transforma padding oracle em execução de código no IIS sem autenticação; atualize para 2026.2.708.
15 minZero-day em Magento e Adobe Commerce está sendo explorado sem login — e ainda sem patch
Zero-day StyleSmuggler permite execução remota de código sem autenticação em todas as versões atuais de Magento e Adobe Commerce — e ainda não há patch.
16 minFalha no MikroTik RouterOS está sendo explorada agora: sem senha, atacante ganha shell no roteador e toma a rede
Falha crítica no RouterOS dá shell remoto sem senha nem chave SSH. MikroTik corrigiu todas as linhas, mas a exploração já está ativa. Veja como se proteger.
11 minCVSS 10 na ASUS Control Center Enterprise: sem senha nem interação, invasor abre backdoor SSH e assume root da frota gerenciada
CVE-2026-75754 na ASUS Control Center Enterprise tem CVSS 4.0 máximo: sem autenticação, SSRF e credenciais hardcoded abrem backdoor SSH com root na frota.
8 minZero-day do Chrome já está sendo explorado: Google libera patch de emergência e pede atualização imediata
Google corrigiu com urgência o CVE-2026-85046, um zero-day de type confusion no motor V8 do Chrome já explorado em ataques reais. Entenda a falha e como se proteger.
9 minFalhas críticas no VMware permitem escapar da máquina virtual e rodar código no host: patch de emergência disponível
CVE-2026-59346 e CVE-2026-59347 quebram o isolamento do VMware Workstation e Fusion, permitindo executar código no host a partir da VM. Veja os CVEs e como corrigir.