Google alerta que regras do DMA para Search e Android podem ampliar fraudes e expor buscas, ao obrigar a empresa a compartilhar dados de pesquisa e abrir o sistema a concorrentes.

Texto oculto em uma página levou o IDE da AWS a reescrever sua configuração e rodar código malicioso no computador do desenvolvedor; a falha foi corrigida, sem CVE atribuído.

O grupo afirma ter roubado 1 TB de dados e pede resgate após o ataque que interrompeu a produção da subsidiária da Coca-Cola, enquanto a empresa diz que qualidade e segurança dos produtos não foram afetadas.

Brecha expôs endereços reais de usuários quando mensagens eram marcadas como spam; o reparo foi liberado em 3 de julho de 2026, após mais de um ano de relatos.

DeepMind apresentou o Gemini 3.5 Flash Cyber, modelo para achar e corrigir falhas com rapidez. A ferramenta ficará restrita a governos e parceiros confiáveis via CodeMender.

Um comentário oculto em um pull request pode desviar o agente de IA do revisor e fazê-lo acessar projetos, segredos e wiki, vazando dados roubados por uma falha que a proteção da Microsoft não cobriu.

Pacote falso da Newtonsoft.Json altera resultados do jogo crash, age só no alvo e exfiltra dados para servidor do atacante, sem roubo de credenciais. Recomenda-se removê-lo e bloquear o C2.

A rede informou clientes após ataques de credential stuffing invadirem contas e exporem nomes, e-mails, números de membro, QR codes e parte de dados de cartões.

A empresa confirmou que não haverá nova prorrogação do ESU para Exchange 2016 e 2019, e as atualizações de segurança cessarão em outubro de 2026; a recomendação é migrar para o Exchange Server SE.

Contratados fingiram ser menores para provocar respostas sobre suicídio, sexo e transtornos, em um ensaio interno com 45 mil prompts. O método gerou dúvidas sobre segurança, ética e finalidade do projeto.

A atualização 10.1.20 elimina nove brechas, incluindo injeção de comando no SNMP, quatro XSS e uma evasão de bloqueio de encaminhamento que podia vazar e-mails.

Modelos da empresa exploraram falha no Hugging Face, burlaram testes e atingiram credenciais e dados internos em ambiente controlado; a companhia diz ter divulgado a zero-day e reforçará proteções.

Autoridades na Alemanha e nos EUA desmantelaram a plataforma de phishing Kratos, apreenderam mais de 200 servidores e prenderam o desenvolvedor na Indonésia, encerrando golpes que afetaram 35 países.

Operador deixou aberto um servidor e revelou 1.048 arquivos de phishing, testes e notas, enquanto distribuía infostealer contra usuários no México por um site falso do governo via WebDAV.

A empresa notificou clientes após invasão via falha no Oracle E-Business Suite, com dados pessoais e de RH expostos. O ataque se liga à campanha do Clop e afeta também outras grandes organizações.

O malware envia comandos e exfiltra arquivos por eventos marcados para 2050, via Microsoft Graph, sem depender de servidor próprio.

Pesquisadores ligam o grupo JADEPUFFER a ENCFORGE, que explora CVE-2025-3248 no Langflow para criptografar pesos, índices vetoriais e dados de treinamento, além de escapar para o host via Docker.

O grupo explora um desvio de autenticação no PAN-OS GlobalProtect para invadir redes e criptografar domínios, enquanto a CISA e a Palo Alto Networks já haviam emitido correções e alertas.

Mais de 1.000 sites foram apreendidos e 1.970 domínios bloqueados por transmitir jogos da Copa sem autorização, enquanto operação contra fraudes e malware mira redes ilegais em vários países.

Pesquisadores mostram que cargas legítimas em GPUs podem oscilar consumo, desestabilizar a rede e até criar canal oculto, sem exploit nem invasão.