Um ex-funcionário teve a conta usada para copiar 170 repositórios privados via credencial afetada por ataque à cadeia de suprimentos no TanStack, com dados de 83 usuários e 51 investidores incluídos.

Meta é acusada de suspender em massa contas sobre protestos na Albânia, após denúncias de direitos autorais possivelmente orquestradas para silenciar manifestações e limitar o acesso a informações públicas.

A empresa lançou patches para o Access Rights Manager após CVE-2026-28326 , que podia permitir execução remota de código sem autenticação; o erro estava ligado a uma chave estática hardcoded.

O grupo invadiu o site de vazamento da gangue, alterou a página, diz ter roubado dados do servidor e chaves onion, e ameaça extorquir os rivais em 72 horas.

grupo norte-coreano infectou 30 mil aparelhos e lavou US$ 10,7 milhões em criptomoedas, usando falsas entrevistas, malwares e clonagem de rosto com IA para roubar credenciais, chaves e dados de vítimas.

pesquisadores burlaram o sandbox da OpenAI por Heapjack e Overpatch, permitindo execução remota de comandos e escrita fora dos limites. A empresa corrigiu os problemas em até oito dias.

grupos usam novo RAT e anúncios maliciosos para infectar vítimas; a campanha abusa de contas verificadas, instala malware em Windows e macOS e dificulta a detecção com infraestrutura descentralizada.

A atualização 1.26.1 elimina um overflow de heap no validador DNSSEC, que podia permitir execução remota de código; o pacote também corrige outras oito falhas e já está disponível para instalar.

Atacantes roubaram uma chave API e injetaram scripts maliciosos em sites e arquivos JavaScript, exibindo páginas falsas e instalando um plugin WordPress que age como backdoor para distribuir malware.

Um código malicioso no Docker Sandboxes para macOS podia escapar da área do projeto e ler ou alterar arquivos no host; outra brecha alta permitia acesso indevido a sockets Unix. Atualize para 0.42.0 ou use clone mode.

texto permite execução como root em servidores de gestão e logs sem login, via estouro de pilha. A empresa lançou correção no LivePatch e recomenda aplicar o ajuste e restringir Trusted Clients.

Malware usa IA para controlar aparelhos e roubar dados bancários, intercepta SMS e bloqueia remoção, enquanto se espalha por malvertising, phishing e APKs fora da Google Play; especialistas ligam a ameaça a atores da China.

threat actor usa IA para criar infostealer que rouba tokens e segredos de CI/CD, e ainda tenta lucrar com bug bounty ao explorar dados de empresas e vender a falsa descoberta de RCE.

Pesquisadores identificaram 13 pacotes npm que instalam o stealer JavaScript WeaselBiscuit, com traços ligados à campanha Contagious Interview. O código rouba dados do Chrome e pode capturar teclado e área de transferência.

texto agentes de codificação podem instalar plugins adulterados mesmo travados em versão revisada, expondo arquivos e credenciais. Anthropic e OpenAI corrigiram; Copilot segue sem conserto e Gemini CLI será descontinuado.

Malware mira servidores e apps, coleta dados e pode abrir caminho para ataques em cadeia. A campanha, ativa desde 2023, atingiu empresas na Ásia e na América do Sul.

JFrog descobriu que um conta local comum pode virar root no Mac por meio de um caminho de extração mal validado; a correção está no Desktop 27, sem suporte para Macs Intel.

Hackers exploram CVE-2026-27540 no plugin WooCommerce Wholesale Lead Capture para enviar backdoor em PHP e assumir sites WordPress; o defeito já foi corrigido na versão 2.0.3.2.

Pesquisadores mostraram que um complemento comum podia assumir assistentes em Chrome, Edge, Opera Neon, Comet e Claude in Chrome, lendo arquivos e, no Chrome, até ativando câmera e microfone.

Kaspersky aponta NightEagle, Hacking Cat e Toy Ghouls com backdoor, ransomware e wiper, explorando VPN, Exchange e Active Directory para persistência, roubo de chaves e interrupção de sistemas.