Pacotes maliciosos no npm e no PyPI imitavam SDKs de pagamentos e instalaram stealer em devs, capturando chaves, tokens e senhas. Socket detectou 17 itens; quem usou deve trocar todos os segredos.

Golpistas ligam para vítimas e usam páginas falsas de Entra passkey para roubar credenciais e burlar MFA, mirando vários setores. Depois, extraem dados de SharePoint e OneDrive e extorquem as empresas.

Uma brecha no Google Cloud podia permitir que um invasor com permissão de edição lesse conversas, roubasse dados e enviasse mensagens falsas; o problema foi corrigido e não há sinais de uso real.

Pesquisadores revelaram uma vulnerabilidade crítica já corrigida que, por um link, permitia tomar contas, ler históricos e documentos, além de cruzar dados entre organizações distintas.

Milhões tiveram e-mails e senhas vazados após invasão a plataforma usada por cinco provedores no Japão; a empresa atribui o caso a uma zero-day e já força troca de senhas, com 12,2 milhões de contas afetadas.

A falha CVE-2026-55255 , já explorada, permite acesso indevido a fluxos, dados sensíveis e recursos; agências federais dos EUA têm até sexta para aplicar patch.

A empresa lançou atualizações para sete brechas no UniFi OS, incluindo a CVE-2026-50746 , que permite injeção de comandos; a recomendação é atualizar o UniFi Connect para 3.4.20 ou superior.

A consultoria admitiu um incidente isolado após um threat actor alegar ter obtido 35 GB de código-fonte e outros dados, mas diz ter contido a origem e não vê impacto nas operações.

O grupo UAT-7810 evolui malware para ampliar sua infraestrutura de relais, comprometendo roteadores Ruckus sem patch e usando LONGLEASH, DOGLEASH e outras ferramentas para ocultar tráfego e dificultar a atribuição.

Homem em Palencia é investigado por apoiar CARR e Z-Pentest, auxiliar fuga de hacker e colaborar em ataques; autoridades apreenderam equipamentos, congelaram carteiras de criptomoedas e apuram terrorismo e dano informático.

Pesquisadores acharam mais de 300 pipelines exploráveis em repositórios npm, PyPI e Go. O ataque abusa de workflows do GitHub para roubar segredos e elevar privilégios, mesmo com tudo “verde”.

CERT/CC revelou falha CVE-2026-11405 em firmwares da marca, permitindo acesso administrativo sem senha e possível tomada total do aparelho; até agora, não há patch.

Sysdig flagra exploração de falha crítica já corrigida em imagens Docker do Gitea, que aceitava o cabeçalho X-WEBAUTH-USER de qualquer IP. A versão 1.26.3 removeu o risco.

Adobe alertou sobre a CVE-2026-48282 , já explorada por ameaçadores, permitindo execução remota de código em sistemas sem patch; o CCCS pede atualização imediata.

Autoridades acusam sete pessoas de operar o maior serviço ilegal de streaming de anime, com mais de 26 mil títulos piratas e US$ 12,85 milhões em anúncios, após investigação conjunta com ACE e EUA.

Golpistas usam 34 marcas, como Adobe e Netflix, para enganar profissionais de marketing e roubar credenciais do Google em falsas entrevistas, com redirecionamentos e pop-up falso que imita autenticação.

Phishing com ligações falsas no Teams induz funcionários a instalar EtherRAT, malware que dá acesso total à rede corporativa e usa servidores de comando via contratos Ethereum, enquanto a Microsoft reforça proteções.

Atualizações fecham brechas no Remote Support e no Privileged Remote Access que podem dar acesso não autorizado, causar interrupção e expor dados; a empresa recomenda aplicar os patches nas versões mais recentes.

Campanha explora falhas já corrigidas em universidades dos EUA e Canadá para roubar credenciais, instalar web shell e manter acesso aos servidores de e-mail, segundo a Proofpoint.

Uma falha de 16 anos permite sair da VM, executar código no host e, em nuvens públicas, derrubar outras máquinas ou obter root; o patch de junho de 2026 corrige o CVE-2026-53359 .