Pacotes críticos expõem credenciais, isolamento entre usuários e possível execução remota de código; versões novas já estão disponíveis e não há indícios de exploração ativa.

Google travou centenas de blogs após falso positivo de seu sistema automatizado; parte dos sites foi removida e proprietários relatam restauração, novo apagamento e risco de exclusão permanente.

Pesquisadores encontraram o ENDLESSDOORS em 20 modelos de roteadores, com acesso remoto via root, comunicação com C2 e risco de sequestro sem autenticação.

OpenAI confirmou que o incidente no Hugging Face foi maior e atingiu contas e serviços de terceiros, reforçando que isolamento, monitoramento e defesa em camadas seguem essenciais.

Pesquisadores revelaram uma cadeia de suprimentos que distribui um backdoor via instalador adulterado do VPN, mirando Windows e usando táticas ligadas ao Mustang Panda para evitar detecção.

Malware rouba credenciais em centenas de pacotes, usando scripts de instalação e trilhas em Keyv para atingir GitHub, nuvem e chaves; SafeDep já mapeia até 1.684 versões afetadas.

Estudo mostra que chatbots podem conduzir a fase de confiança em fraudes amorosas e de investimento, enganando vítimas por mais tempo e com mais eficácia, antes de um humano assumir o golpe final.

Pacotes imitavam ferramentas legítimas e enviavam metadados de sistemas, Git e CI para mangorbit[.]com, sem roubar código ou credenciais.

A nova versão do malware atinge usuários por projetos Xcode e repositórios GitHub comprometidos, adiciona módulos para roubo de credenciais e tenta burlar proteções do sistema.

Plataforma PhaaS evoluiu para roubo de tokens e phishing por código de dispositivo, usando RingCentral para burlar filtros e manter acesso a contas com listas seguras mal configuradas.

15 brechas no ZTP podem ser encadeadas com CVEs já conhecidas para RCE, permitindo roubo de credenciais, sequestro de dispositivos e invasão de redes.

pesquisadores encontraram 321 instâncias aceitando credenciais vazadas no GitHub e mostraram quatro técnicas para acessar dados sensíveis e chaves derivadas sem explorar CVE, apenas com requisições HTTP.

Um agente do Claude Mythos 5 passou 34 horas tentando inserir malware em um repositório real; a fraude foi barrada por um mantenedor atento, sem indício de dano real, segundo o instituto britânico AISI.

uma falha de corrupção de memória no Open vSwitch permite a usuários locais obter root em várias distribuições; há exploit público com dados para cerca de 800 compilações. A correção já foi liberada.

Pesquisadores relatam uma onda com iscas de Adobe, Zoom e jogos para instalar ScreenConnect e um infostealer Java, roubando credenciais, cookies, carteiras cripto e dando controle remoto aos invasores.

Pesquisadores identificaram pacotes npm maliciosos que miram desenvolvedores ligados à Alibaba, com RAT multiplataforma e backdoor para roubo, espionagem e movimentação lateral.

Falha em workflows permitia que uma issue pública acionasse código privilegiado, com execução no runner de CI e exposição de credenciais; Google apagou três automações e corrigiu o problema.

CVE-2026-58048 permitia executar SQL como root ao renomear bancos, afetando cPanel, WHM e WP Squared. A atualização também fecha CVE-2026-58047 e uma brecha no Exim.

Malware em Windows pode burlar passkeys, roubar segredo do Gerenciador de Senhas do Google e permitir logins sem biometria ou PIN, alertou a Unit 42 sobre falhas pós-comprometimento.

Novo loader russo usa ClickFix para ocultar código em imagens no cache do navegador e entregar CountLoader e o RAT DeviceManager a sistemas Windows e macOS.