Hackers exploram CVE-2026-4020 em 100 mil sites WordPress, vazando chaves, segredos e tokens via API aberta; a Defiant já bloqueou mais de 17 milhões de tentativas.

Mais de 3 milhões de clientes tiveram dados expostos por invasão em fornecedor; não há indício de números da Previdência ou cartões, mas há risco de phishing e fraude.

Utilizou perfis falsos para distribuir imagens nuas geradas por IA e mensagens racistas forjadas contra universitária da Geórgia em assédio que se estendeu por meses.

A empresa afirma que só houve roubo de dados de enquetes no TinyPulse, sem acesso a informações de clientes ou financeiras, enquanto o grupo Shadowbyt3$ pede US$ 2 milhões.

Atores de ameaça usam atalhos LNK para roubar carteiras de cripto, trocar endereços na área de transferência e exfiltrar capturas via Tor, com indícios de execução remota e propagação automática.

Grupo usou Backdoor.Turn para mascarar comunicações e manter acesso a uma empresa dos EUA, com tática de evasão via driver vulnerável e possível invasão iniciada por falha em SQL.

Releases infectadas da ShapedPlugin foram distribuídas a clientes pagantes via sistema de atualização oficial, com backdoor, roubo de credenciais e coleta de dados de WooCommerce. Administradores devem trocar senhas e 2FA.

Autoridades limparam quase 15 mil sites WordPress infectados e tiraram do ar mais de 100 servidores ligados ao botnet e ao grupo russo Evil Corp, em ação coordenada pela Europol e Eurojust.

Google corrige erro no SDK Python que permitia sequestrar o envio de modelos e executar código na infraestrutura da empresa; a recomendação é atualizar para a versão 1.148.0 ou superior e definir um bucket próprio.

Um threat actor promove malware em sites, GitHub, SourceForge e YouTube para espalhar um clipboard hijacker que desvia criptomoedas ao trocar endereços na área de transferência.

A empresa lançou atualizações urgentes para corrigir brechas no NGINX que podem permitir execução de código e DoS, além de mitigar outras falhas no Gateway Fabric e orientar contornos temporários.

Justiça analisa disputa Após alerta sobre suposta fuga de provas do NEET-UG, o governo diz que o app não previa canais ilegais; a restrição afetou até os Emirados Árabes e segue valendo até decisão judicial.

A empresa liberou atualização para fechar brecha grave nos fones, que podia permitir espionagem de conversas por invasores ao alcance do Bluetooth; o ajuste é automático ao parear com iPhone, iPad ou Mac.

Um vazamento revelou acessos de Fortinet e FortiGate VPN de 73.932 URLs, com dados de empresas e órgãos em 194 países; especialistas pedem troca imediata de senhas e adoção de MFA.

A empresa confirmou que prepara um patch para a falha zero-day no Defender, explorada em Windows 10 e 11, que pode abrir prompt com privilégios SYSTEM. A CVE-2026-50656 já foi atribuída.

A empresa confirmou apoio de especialistas externos após hackers acessarem parte dos dados; o grupo ShinyHunters diz ter roubado mais de 2,2 milhões de registros e ameaça divulgar as informações.

Mundial de 2026 terá monitoramento ampliado, com reconhecimento facial, drones e IA em estádios dos EUA, Canadá e México. Organizações alertam para uso excessivo de vigilância e repressão migratória.

Aikido Security descobriu extensões no Marketplace que fingem ajudar a programar com IA, mas roubam chaves de API e as enviam a servidores ocultos; quase 70 mil instalações foram registradas.

Criminosos usam papéis de parede no Steam para distribuir malware, roubar credenciais de contas e instalar backdoors, enquanto a Kaspersky recomenda verificar os arquivos com antivírus atualizado.

O Rokarolla mira 217 apps e usa 137 comandos para assumir o celular, roubar PIN, ler SMS, trocar o clipboard e burlar o Google Play Protect com páginas falsas e acessibilidade abusada.