As principais notícias de cybersecurity para serem lidas em menos de 3 minutos, todo dia em seu e-mail.

A falha CVE-2025-54253 , com severidade máxima, permite execução arbitrária de código via /adminui/debug sem autenticação em versões antigas do AEM. Órgãos federais devem aplicar a correção até novembro de 2025 para evitar exploração ativa e riscos graves.

A vulnerabilidade CVE-2025-0033 permite que atacantes com acesso remoto manipulem a Reverse Map Paging (RMP), comprometendo a integridade e confidencialidade das máquinas virtuais protegidas por SEV-SNP. AMD, Microsoft e Supermicro já trabalham em correções para as séries EPYC impactadas.

hacker estatal acessou sistemas da empresa, roubando código-fonte e vulnerabilidades não divulgadas do BIG-IP. Apesar do acesso prolongado, não há evidências de exploração dos flaws ou comprometimento da supply chain, e operações permanecem seguras e ininterruptas. Investigação prossegue.

Matthew D. Lane foi condenado a 4 anos de prisão e multa de US$14 milhões após invadir a plataforma educacional, expondo dados pessoais de mais de 70 milhões de alunos e professores, e extorquir escolas com pedidos de resgate em Bitcoin.

Campanha de phishing usa e-mails falsos sobre suposto hack em LastPass e Bitwarden, induzindo usuários a baixar versão desktop com malware que instala Syncro, ferramenta de monitoramento, para liberar acesso remoto e roubar dados e credenciais.

Grupo ligado à China, invadiu serviços russos por cinco meses, exfiltrando dados e podendo lançar supply chain attacks. A ação demonstra a expansão das operações chinesas, usando ferramentas legítimas para manter presença furtiva e aumentar riscos para cadeias globais de software.

o varejista espanhol revelou que um fornecedor de marketing sofreu acesso não autorizado a informações pessoais, como nome, país e e-mail, mas sem comprometer dados financeiros ou credenciais. A empresa notificou autoridades e reforça que sistemas corporativos não foram afetados.

Golpistas aproveitam a generosidade dos aposentados no fim do ano com falsas instituições de caridade e usam dados pessoais vendidos por data brokers para criar pedidos convincentes, exigindo cautela ao doar e recomendando serviços de remoção de dados para proteção contra fraudes.

A falha CVE-2025-61884 , explorada para acesso remoto sem autenticação e alvo de extorsão, foi corrigida silenciosamente. Apesar de patches para outras vulnerabilidades relacionadas, somente a atualização recente impede o exploit SSRF divulgado, reforçando a urgência da instalação das correções.

FuzzingLabs acusa Gecko Security de copiar PoCs, reivindicar CVEs e retrodatar blogs, enquanto Gecko nega má conduta, alegando mal-entendido em disclosure e cooperação direta com mantenedores, evidenciando desafios na coordenação de divulgações.

Computadores da Framework foram entregues com componentes UEFI assinados que incluem comando 'mm', capaz de violar Secure Boot e permitir bootkits persistentes. Atualizações já estão sendo liberadas; evitar acesso físico e deletar chave DB no BIOS são soluções temporárias essenciais.

A gigante de tecnologia lançou atualizações para 183 falhas, com destaque para dois zero-days no Windows e uma brecha no IGEL OS, todas agora no catálogo KEV da CISA, exigindo patch até novembro de 2025 para evitar elevação de privilégios e bypasses críticos.

Pesquisadores revelam duas vulnerabilidades graves ( CVE-2023-40151 e CVE-2023-42770 ) que permitem execução remota de código com privilégios root, afetando sistemas industriais vitais. Atualizações e autenticação são essenciais para mitigar riscos de ataques em automação e controle.

Agentes da Customs and Border Protection têm coletado DNA de quase 2.000 americanos, incluindo menores, sem autorização legal, enviando amostras ao banco de dados criminal do FBI. Especialistas denunciam violação de privacidade e uso indevido do sistema CODIS para vigilância genética.

O Departamento de Justiça dos EUA confiscou US$ 15 bilhões do Prince Group, esquema que aplicava golpes de romance baiting e pig butchering, envolvendo trabalho forçado, lavagem de dinheiro e fraudando vítimas desde 2015 em mais de 30 países.

Grupo de hackers Flax Typhoon modificou extensão Java do ArcGIS, criando um web shell protegido por chave fixa e implantado em backups para persistência prolongada. O ataque permitiu VPN oculta e movimentos laterais difíceis de detectar.

descoberta de operação com mais de 100 mil SIM cards pode ter sido usada para ataques de swatting e ameaça infraestrutura crítica, capaz de desabilitar torres celulares e enviar 30 milhões de mensagens por minuto, revelou o Serviço Secreto do EUA.

Pesquisa das universidades da Califórnia e Maryland revelou que transmissões sem criptografia via satélite, incluindo chamadas, mensagens e dados sensíveis de infraestrutura, foram facilmente interceptadas com equipamento de US$ 800, evidenciando falhas que agências como a NSA já conheciam desde 2022.

Pesquisadores identificaram no Android 13 a 16 um ataque que usa malware para capturar pixels renderizados e extrair informações, como códigos de autenticação. Google lançou mitigação parcial em setembro e planeja correção completa para dezembro de 2025.

Um grupo chamado TigerJack distribui extensões com malware para roubo de criptomoedas, mineração ilegal e backdoors, reeditando códigos e mudando nomes para burlar plataformas. Pesquisadores alertam para riscos graves e recomendam cautela ao baixar.