uma brecha sem autenticação permite executar comandos no servidor com uma única requisição HTTP; a correção está em transports/v2.1.0 e a recomendação é ativar autenticação e trocar chaves.

grupo diz ter usado falha inédita no Oracle PeopleSoft para invadir sistemas, mover-se para a nuvem GovCloud e roubar até 3 TB de dados de funcionários e candidatos, além de vazar indícios no site da agência.

Pesquisadores descobriram o tw-pkgprobe-7731, que se passa por ferramenta de segurança para roubar variáveis de ambiente e credenciais, além de vasculhar dados de sistemas de desenvolvedores e enviar tudo via webhook.

Pesquisadores criaram o TrustSink, que explora um provedor externo malicioso no Microsoft Entra para capturar credenciais em logins legítimos, após invasão prévia e com privilégios altos.

A reguladora sueca puniu a empresa após um incidente que expôs dados sensíveis de 2,2 milhões de pessoas e revelou falta de checagem de software e monitoramento em tempo real.

A empresa liberou atualizações para uma zero-day explorada em ataques de execução remota de código; a CISA incluiu o caso no catálogo KEV e alertou órgãos dos EUA.

Karen Serobovich Vardanyan recebeu 24 meses de prisão por invadir empresas nos EUA e criptografar sistemas em ataques com ransomware, após obter acesso inicial e lucrar milhões em resgates.

vulnerabilidade no ImageResponse pode permitir execução de código em servidor, afetando versões 16.2.0 a 16.3.5; a correção saiu na 16.3.6 e a recomendação é atualizar já.

UTA0565 explorou zero-days em sites falsos, burlou o sandbox e instalou o malware CLEANGULP, que abre shell, envia e baixa arquivos e usa C2 mascarado.

Uma use-after-free no AF_UNIX do Linux permite sair do contêiner e obter root no host; a DepthFirst publicou exploit para Ubuntu, e o patch ainda não chegou às versões afetadas.

Roteador DIR-822A tem CVE-2026-86296 sem patch e PoC pública, permitindo execução remota sem autenticação; a empresa também investiga outra brecha grave e recomenda restringir acesso e exposição online.

A DPC da Irlanda aplicou €403 milhões à empresa por falhas na GDPR, cobrando mais transparência e exigindo, em seis meses, ajustes no tratamento e retenção de dados de localização.

Campanha usa PowerShell e VBScript para roubar documentos, senhas de Wi‑Fi e capturas de tela, manter persistência e falar com C2 redundante, tudo com técnicas para evitar detecção.

Três brechas no kernel já são exploradas, uma delas crítica e antiga, e agências federais devem aplicar patches hoje, além de fazer triagem forense para checar possível invasão.

Credenciais do Ribon foram usadas para inserir scripts maliciosos em lojas, expondo dados de compradores como nomes, e-mails, telefones e endereços; senhas e cartões não foram afetados.

malware local pode redirecionar ditado, roubar token e assumir o assistente, lendo históricos de conversas e operando em outros dispositivos; Meta afirma ter liberado uma correção.

Grupo APT usa spear-phishing, mshta.exe e ReverseRAT para roubo de dados, acesso remoto e persistência, ampliando a ofensiva além de órgãos governamentais.

Pesquisa aponta quase 150 políticos europeus em sites de pornografia falsa, com 138 deputadas de 22 países mais atingidas. Os casos alimentam assédio, intimidação e dano à democracia.

Pesquisador Abdelhamid Naceri lançou o BigDiskBuster, que impede atualizações do antivírus no Windows e afeta versões suportadas; a disputa com a Microsoft já soma quase uma dúzia de falhas divulgadas neste ano.

Relatos revelam abuso de câmeras da Flock, alerta sobre ataques com IA, ofensiva contra sistemas de água, compra de cães-robô pela ICE e caso de pornografia infantil no Discord.