Autoridades dos EUA, China e Dubai prenderam 276 suspeitos e fecharam nove centros de golpe, após redes de romance baiting lesarem vítimas com plataformas falsas e lavar milhões em contas de criptomoedas.

Google corrige brecha que podia executar comandos em servidores via CI/CD. Novee também revelou erro grave no Cursor, ainda sem correção, com risco de execução remota de código e roubo de chaves e token.

Pesquisadores revelaram a CVE-2026-31431 , que permite a um usuário local sem privilégios obter root em várias distribuições, inclusive via escrita controlada no cache de páginas e execução de um script pequeno.

Hackers exploram a CVE-2026-42208 por SQL injection sem autenticação para ler e alterar dados, mirando chaves, credenciais e segredos; a correção saiu na versão 1.83.7.

A empresa confirmou que o grupo publicou informações roubadas de seu repositório privado no GitHub, após acesso obtido por uma cadeia de suprimentos, sem indício de dados de clientes até agora.

Xinbi Guarantee continua ativo na plataforma, apesar de sanções do Reino Unido. O bazar facilita lavagem de dinheiro, tráfico humano e vendas ilegais, e já somou US$ 21 bilhões em transações.

Uma brecha CVE-2026-3854 permite a um usuário autenticado executar código remoto com um único git push; GitHub corrigiu o problema, sem indícios de exploração maliciosa.

Uma falha no uso de nonces faz o ransomware destruir, em vez de criptografar, arquivos maiores, inclusive VM disks, bancos de dados e backups, em Windows, Linux e ESXi.

imagens de redes sociais viraram material explícito em ao menos 90 colégios de 28 países, afetando mais de 600 alunos; casos com menores expõem falha de resposta e ampliam o trauma das vítimas.

Um americano-estoniano de 19 anos, preso na Finlândia, é apontado como integrante do grupo que teria extorquido milhões de empresas, inclusive por phishing e uso de credenciais roubadas.

Empresa confirmou acesso não autorizado a dados após invasão na Anodot; foram expostos e-mails de alguns clientes, além de títulos, metadados e dados técnicos. A plataforma diz que vídeos, senhas e cartões não foram afetados.

Grupo brasileiro ressurgiu após três anos com o LofyStealer, disfarçado de hack “Slinky”, para roubar cookies, senhas, tokens, cartões e IBANs e enviar os dados a um servidor C2.

A Microsoft confirmou que os novos alertas de segurança do Windows podem aparecer com texto ilegível e botões fora do lugar ao abrir arquivos .rdp, afetando várias versões e alguns monitores.

Um papel de IA no Microsoft Entra ID permitia tomada de contas e escalada de privilégios ao assumir service principals. A Microsoft corrigiu o problema em todos os ambientes de cloud, e a Silverfort recomenda monitoramento e auditoria.

grupo pró-Ucrânia explora falhas em servidores na Rússia para ganhar acesso, espalhar malware, roubar dados e mover-se na rede. Mesmo com patch, as incursões começaram em setembro de 2025.

Microsoft corrigiu CVE-2026-32202 e admitiu exploração ativa. O erro, ligado a um reparo incompleto, permitia roubo de hash sem clique e já foi associado à APT28 em campanhas contra Ucrânia e países da UE.

Falha em cadastro permitiu e-mails de phishing com aparência legítima, levando usuários a uma página falsa para roubo de credenciais. A empresa diz que corrigiu o erro e que contas, dados e fundos não foram afetados.

Chinês Xu Zewei é acusado de atacar alvos nos EUA. Segundo o DOJ, ele teria agido para o MSS chinês, explorando falhas no Microsoft Exchange, implantando malware e roubando dados de pesquisas da covid-19.

uma versão maliciosa no PyPI roubou segredos de desenvolvedores e carteiras de cripto, após explorar uma falha no fluxo do projeto; a edição limpa 0.23.4 foi liberada, mas quem baixou a 0.23.3 segue exposto.

pesquisadores encontraram CVE-2026-25874 , que permite execução remota de código via pickle e pode expor dados roubados, comprometer robôs e derrubar serviços. O patch ainda não foi lançado.