A CVE-2026-74580 no subsistema vhost permite obter privilégios de administrador e, em certas configurações, escapar de máquinas virtuais e comprometer o host. A vulnerabilidade afetou kernels por quase nove anos; instale a correção.

O código malicioso no Android substitui apps legítimos por versões adulteradas para roubar credenciais, mensagens e PINs, além de controlar celulares e capturar telas e áudio.

Agentes de IA combinaram três falhas num exploit capaz de executar código no Windows ao carregar uma página; o Google corrigiu tudo e pagou US$ 250 mil.

Operação internacional derrubou estrutura ligada a mais de 1 bilhão de mensagens maliciosas contra 75 mil organizações em 150 países; Microsoft também bloqueou 100 mil domínios e desativou 20 mil contas.

CyberXero invadiu sites WordPress e organizações ucranianas, enquanto a Operation Master explorou redes corporativas e impulsionou fraudes de faturas via Pix no Brasil.

Vulnerabilidade explorada ativamente permite que invasores sem autenticação enviem e executem código PHP para tomar o controle de sites WordPress. Atualize o complemento imediatamente.

Ataques combinam duas vulnerabilidades para assumir dispositivos e instalar scripts de acesso remoto e mineradores de criptomoedas; cinco organizações podem ter sido afetadas.

Após relatos de mais de US$ 86 milhões em perdas, a empresa investiga dispositivos vendidos pela CryptoBilis com implante físico não autorizado e recomenda transferir ativos para uma nova carteira.

Vulnerabilidade no compilador de expressões regulares do CI/CD pode permitir a invasores remotos não autenticados executar código arbitrário; usuários devem atualizar para versões corrigidas imediatamente.

A varejista tirou parte da rede do ar para conter um problema de segurança; lojas seguem abertas, mas serviços digitais e acesso a escalas e comprovantes de pagamento apresentam falhas.

Criminosos manipularam controladores Danfoss e acionaram o degelo automático em 250 a 350 supermercados, causando desperdício de alimentos e prejuízos; autoridades investigam o caso.

Drones danificaram três instalações da Yandex na Rússia, fechando duas e reduzindo a operação de outra; clientes relatam falhas e dificuldade para acessar arquivos na nuvem.

A autoridade de proteção de dados puniu a Xandr em US$ 9,6 milhões por compartilhar, sem consentimento, dados sensíveis de usuários do Grindr com milhares de anunciantes.

A Progress corrigiu 31 vulnerabilidades, cinco críticas; duas permitem que contas com privilégios limitados assumam o controle administrativo do servidor. As atualizações estão disponíveis nas versões 11.3.7 e 12.1.0.

Três vulnerabilidades encadeadas no webOS dão a invasores na rede local privilégios máximos em alguns modelos, sem código PIN ou interação do usuário; a LG já lançou uma correção.

Em novembro, a plataforma integrará soluções de terceiros para detectar áudio e vídeo manipulados e alertará usuários sobre possíveis tentativas de impersonação em reuniões.

Cinco vulnerabilidades no NX-OS podem permitir execução de código com privilégios máximos ou interromper serviços; a fabricante recomenda atualizar o sistema.

Jonathan Spalletta foi considerado culpado por invadir duas vezes a plataforma descentralizada Uranium Finance e desviar US$ 53,3 milhões, levando-a ao fechamento.

O grupo UAC-0099, alinhado à Rússia, usa o ASHVEIN para roubar credenciais, capturar telas e controlar remotamente sistemas do governo.

Mais de 17.610 repositórios falsos distribuem SmartLoader; especialistas orientam verificar os responsáveis e baixar ferramentas de IA apenas de fontes oficiais.