As principais notícias de cybersecurity para serem lidas em menos de 3 minutos, todo dia em seu e-mail.

Falha de use-after-free em Lua possibilita ataque com acesso autenticado, expondo 330 mil instâncias, 60 mil sem autenticação; especialistas recomendam atualização imediata e reforço de medidas para impedir exploração e movimentação lateral por hackers.

falha no Runtime do Unity possibilita execução arbitrária e escalada de privilégio em jogos Android e Windows, afetando títulos populares; Steam bloqueia URIs e Microsoft recomenda desinstalar jogos vulneráveis até atualização com patch disponível.

o novo mecanismo cria uma “Triple Ratchet” que combina chaves criptográficas tradicionais e post-quantum, garantindo forward secrecy e resistência a ataques futuros, com atualização gradual e compatibilidade reversa para proteger conversas contra ameaças de computação quântica.

vulnerabilidade CVE-2025-61882 , explorada pelo grupo Cl0p, permite execução remota de código sem autenticação; especialistas recomendam checagem urgente de comprometimento após intensa campanha de ataques e roubos de dados recentes.

O grupo "Scattered Lapsus$ Hunters" expõe amostras de dados de 39 empresas, ameaçando liberar informações a menos que paguem até 10 de outubro, incluindo uma demanda direta à Salesforce para evitar novos vazamentos que afetam bilhões de registros pessoais.

Novo malware autoreplicante se espalha via phishing com anexos ZIP no WhatsApp Web, focando em Windows corporativos no Brasil, propagando-se rapidamente, causando banimentos sem roubo de dados ou ransomware. Ataque usa scripts PowerShell e persistência via Startup para disseminação veloz.

Android 16 terá Android Developer Verifier para checar apps no momento da instalação, visando combater malware; estudantes terão opção gratuita limitada; dados ficarão privados, mas poderão ser compartilhados com autoridades, gerando dúvidas sobre controle e censura.

Ator de fala chinesa foca em servidores IIS vulneráveis para instalar web shells e malware BadIIS, usando RDP e ferramentas VPN para persistência, visando dados valiosos e manipulação de rankings em países como Índia, Brasil e Vietnã.

O Beijing Institute of Electronics Technology and Application (BIETA) está associado ao Ministério de Segurança Estatal da China, produzindo ferramentas em steganography, COVCOM, malware e network penetration, apoiando missões de inteligência e contrainteligência nacional.

Falha de XSS no Classic Web Client permitiu execução de código via ICS malicioso contra o Exército brasileiro, roubando credenciais e redirecionando e-mails; atualização liberada em janeiro de 2025 corrige o exploit utilizado por atores desconhecidos em campanhas sofisticadas.

ataque via URL maliciosa engana o assistente AI para roubar dados sensíveis de serviços conectados, como email e calendário, usando prompt injection e técnicas simples de obfuscação, evidenciando riscos inéditos e a urgência de segurança integrada nesses agentes.

aumento de 500% em scans suspeitos contra portais de login aponta para nova investida estruturada, potencialmente vinculada a vulnerabilidades similares recentemente exploradas em dispositivos Cisco ASA, alertando para necessidade urgente de atualizações e monitoramento intensificado das redes.

Stealer popular ganha atualizações com fingerprinting avançado e entrega oculta em arquivos PNG, JPEG ou WAV; oferece planos MaaS formais, reforça proteção contra sandboxes e expande customizações, sinalizando profissionalização e permanência no cenário de ameaças cibernéticas.

A retomada do backdoor após abandono pelo desenvolvedor original inclui módulos para roubo de dados, controle remoto e ransomware, ampliando ataques via phishing e técnicas avançadas, exigindo defesas multicamadas para mitigar ameaças e impedir exfiltração de informações.

Detectado pela Infoblox, o grupo Detour Dog explora vulnerabilidades em sites WordPress para disseminar Strela Stealer usando backdoor StarFish e comunicação via DNS TXT records, operando um sistema avançado de malware com infraestrutura comprometida e botnets para campanhas de phishing e remote code execution.

A iniciativa sugere cursos rápidos de segurança digital para desbloqueio total dos aparelhos, focando na proteção de públicos vulneráveis e incluindo a educação em cibersegurança nas escolas, visando reduzir riscos de golpes e fortalecer a privacidade desde o início do uso.

Hackers invadiram sistema de suporte terceirizado do Discord, vazando informações sensíveis de usuários, incluindo IDs governamentais, nomes e dados de pagamento, em ataque com motivação financeira, enquanto investigações seguem em curso para conter o impacto e identificar responsáveis.

plataforma oferece crédito de US$1 gasto manualmente até out/2026 após vazamento de dados de 22 milhões; alerta para ataques de phishing via SMS; usuários devem evitar links suspeitos e confirmar autenticidade para prevenir novos golpes.

Criminosos utilizam SMS blasters, dispositivos que simulam torres 4G e forçam downgrade para 2G, enviando milhões de mensagens de phishing localmente, dificultando a detecção das operadoras e ampliando o alcance das fraudes em diversas regiões do mundo.

A falha CVE-2025-4008 , de comando injection em interface web, permite execução remota com privilégios elevados; exploração ativa exige atualização até 23/10/2025. Outros quatro exploits graves também foram incluídos na lista de ameaças conhecidas.