Milhões tiveram e-mails e senhas vazados após invasão a plataforma usada por cinco provedores no Japão; a empresa atribui o caso a uma zero-day e já força troca de senhas, com 12,2 milhões de contas afetadas.

A falha CVE-2026-55255 , já explorada, permite acesso indevido a fluxos, dados sensíveis e recursos; agências federais dos EUA têm até sexta para aplicar patch.

A empresa lançou atualizações para sete brechas no UniFi OS, incluindo a CVE-2026-50746 , que permite injeção de comandos; a recomendação é atualizar o UniFi Connect para 3.4.20 ou superior.

A consultoria admitiu um incidente isolado após um threat actor alegar ter obtido 35 GB de código-fonte e outros dados, mas diz ter contido a origem e não vê impacto nas operações.

O grupo UAT-7810 evolui malware para ampliar sua infraestrutura de relais, comprometendo roteadores Ruckus sem patch e usando LONGLEASH, DOGLEASH e outras ferramentas para ocultar tráfego e dificultar a atribuição.

Homem em Palencia é investigado por apoiar CARR e Z-Pentest, auxiliar fuga de hacker e colaborar em ataques; autoridades apreenderam equipamentos, congelaram carteiras de criptomoedas e apuram terrorismo e dano informático.

Pesquisadores acharam mais de 300 pipelines exploráveis em repositórios npm, PyPI e Go. O ataque abusa de workflows do GitHub para roubar segredos e elevar privilégios, mesmo com tudo “verde”.

CERT/CC revelou falha CVE-2026-11405 em firmwares da marca, permitindo acesso administrativo sem senha e possível tomada total do aparelho; até agora, não há patch.

Sysdig flagra exploração de falha crítica já corrigida em imagens Docker do Gitea, que aceitava o cabeçalho X-WEBAUTH-USER de qualquer IP. A versão 1.26.3 removeu o risco.

Adobe alertou sobre a CVE-2026-48282 , já explorada por ameaçadores, permitindo execução remota de código em sistemas sem patch; o CCCS pede atualização imediata.

Autoridades acusam sete pessoas de operar o maior serviço ilegal de streaming de anime, com mais de 26 mil títulos piratas e US$ 12,85 milhões em anúncios, após investigação conjunta com ACE e EUA.

Golpistas usam 34 marcas, como Adobe e Netflix, para enganar profissionais de marketing e roubar credenciais do Google em falsas entrevistas, com redirecionamentos e pop-up falso que imita autenticação.

Phishing com ligações falsas no Teams induz funcionários a instalar EtherRAT, malware que dá acesso total à rede corporativa e usa servidores de comando via contratos Ethereum, enquanto a Microsoft reforça proteções.

Atualizações fecham brechas no Remote Support e no Privileged Remote Access que podem dar acesso não autorizado, causar interrupção e expor dados; a empresa recomenda aplicar os patches nas versões mais recentes.

Campanha explora falhas já corrigidas em universidades dos EUA e Canadá para roubar credenciais, instalar web shell e manter acesso aos servidores de e-mail, segundo a Proofpoint.

Uma falha de 16 anos permite sair da VM, executar código no host e, em nuvens públicas, derrubar outras máquinas ou obter root; o patch de junho de 2026 corrige o CVE-2026-53359 .

Investigadores associam Peter Stokes, do Scattered Spider, a roubo de dados em joalheria de luxo após rastrear um ID persistente do Windows e contas usadas para manter acesso.

A operação desativou a rede de proxy residencial ligada a milhões de Androids comprometidos, usados para ocultar ataques; a ação, com FBI e parceiros, também bloqueou infraestrutura de C2 e apps maliciosos.

Uma campanha ligada à China usa phishing e instaladores falsos para infiltrar malware em PCs de indianos, roubar dados sensíveis e manter acesso persistente por meio de DLLs maliciosas e serviços do Windows.

Técnica usa pixels imperceptíveis para irradiar sinal pelo cabo de vídeo e exfiltrar dados roubados a até 208 m, sem privilégios de administrador. Foi testada em nove marcas de monitores.