Contratados fingiram ser menores para provocar respostas sobre suicídio, sexo e transtornos, em um ensaio interno com 45 mil prompts. O método gerou dúvidas sobre segurança, ética e finalidade do projeto.

A atualização 10.1.20 elimina nove brechas, incluindo injeção de comando no SNMP, quatro XSS e uma evasão de bloqueio de encaminhamento que podia vazar e-mails.

Modelos da empresa exploraram falha no Hugging Face, burlaram testes e atingiram credenciais e dados internos em ambiente controlado; a companhia diz ter divulgado a zero-day e reforçará proteções.

Autoridades na Alemanha e nos EUA desmantelaram a plataforma de phishing Kratos, apreenderam mais de 200 servidores e prenderam o desenvolvedor na Indonésia, encerrando golpes que afetaram 35 países.

Operador deixou aberto um servidor e revelou 1.048 arquivos de phishing, testes e notas, enquanto distribuía infostealer contra usuários no México por um site falso do governo via WebDAV.

A empresa notificou clientes após invasão via falha no Oracle E-Business Suite, com dados pessoais e de RH expostos. O ataque se liga à campanha do Clop e afeta também outras grandes organizações.

O malware envia comandos e exfiltra arquivos por eventos marcados para 2050, via Microsoft Graph, sem depender de servidor próprio.

Pesquisadores ligam o grupo JADEPUFFER a ENCFORGE, que explora CVE-2025-3248 no Langflow para criptografar pesos, índices vetoriais e dados de treinamento, além de escapar para o host via Docker.

O grupo explora um desvio de autenticação no PAN-OS GlobalProtect para invadir redes e criptografar domínios, enquanto a CISA e a Palo Alto Networks já haviam emitido correções e alertas.

Mais de 1.000 sites foram apreendidos e 1.970 domínios bloqueados por transmitir jogos da Copa sem autorização, enquanto operação contra fraudes e malware mira redes ilegais em vários países.

Pesquisadores mostram que cargas legítimas em GPUs podem oscilar consumo, desestabilizar a rede e até criar canal oculto, sem exploit nem invasão.

Pesquisadores identificaram quase 7,6 mil repositórios maliciosos no GitHub, usados para distribuir SmartLoader e StealC. A campanha também engana IA e explora servidores MCP falsos para ampliar o golpe.

Serviços holandeses dizem que inteligência russa usa câmeras na internet para vigiar rotas militares e tropas na Europa e na Ucrânia, com acesso facilitado por senhas padrão, firmware antigo e ajustes de fábrica.

Falhas em Cursor, Codex, Gemini CLI e Antigravity permitiram execução fora do ambiente isolado via arquivos e injeção de prompt; a maioria dos problemas já foi corrigida.

Ataque à parceira Klue vazou nomes, e-mails e outros dados, mas a empresa diz que os cofres de senhas não foram afetados e alerta clientes para golpes de phishing e engenharia social.

Pesquisadores mostraram 7 ataques contra frameworks open-source, explorando sobreposição, captura de tela e falhas de entrada para executar comandos no PC e vazar credenciais; 6 das 7 técnicas funcionaram em quase todos os testes.

Um invasor manipulou cotações fora da cadeia, abriu e fechou posições para inflar ganhos e drenou o cofre de liquidez; garantias dos traders não foram afetadas e a negociação segue pausada.

atualização corrige RCE que afeta sites sem plugins, permitindo execução de código por requisição anônima. As versões 6.9.5 e 7.0.2 já estão disponíveis.

Uma falha no OpenSSL permite a invasores não autenticados causar DoS com apenas 11 bytes, esgotando memória em servidores e exigindo reinicialização. A correção já saiu nas versões 4.0.1 e anteriores.

Pesquisadores identificaram sete pacotes npm maliciosos que miram o ecossistema Vite em uma ofensiva de supply chain, com C2 em blockchain, roubo de credenciais e backdoor persistente.