Afetou ao menos 143 dispositivos em 34 países, instalando sem consentimento o Pawns.app para lucrar com a internet das vítimas e explorando falhas em aparelhos conectados.

Pesquisadores vincularam a Candiru ataques sem clique que miraram ao menos 45 dispositivos da Al Jazeera em 2024 e 2025.

Campanha usa documentos maliciosos e falha no WinRAR para instalar ferramentas de acesso remoto em órgãos de nove países da Comunidade dos Estados Independentes.

Vulnerabilidade permite que código em máquinas virtuais leia memória do servidor hospedeiro; demonstrada em ambientes de produção da Vercel, afeta a camada compartilhada da nuvem e já tem correção.

Uma falha no FortiOS é explorada para executar o malware PEERSTITCH na memória de processos legítimos, sem deixar arquivos persistentes e dificultando a detecção.

Explorada desde agosto em ataques zero-day, brecha no Remote Support da BeyondTrust permite operações com arquivos por invasores remotos; instalações próprias precisam de patch manual.

Um incidente contra a contratada governamental BAE Systems tirou do ar o sistema de notificações dos tribunais federais de falências dos EUA e interrompeu a emissão e distribuição dos avisos.

A rede confirmou acesso indevido a um servidor e exposição de dados de 11,18 milhões de clientes, incluindo contatos e histórico de pedidos; cartões e credenciais não foram afetados.

Pacote de outubro corrige 1.411 falhas, incluindo uma zero-day explorada e duas divulgadas publicamente; Windows 11 24H2 e Windows 10 LTSB 2016 chegam ao fim do suporte.

Falha zero-day de autenticação no Connect Secure é explorada para executar comandos sem login; clientes devem atualizar as versões afetadas imediatamente.

Token de acesso pessoal podia ser transferido sem consentimento e permitir a invasores baixar, publicar ou apagar imagens em repositórios alheios; a correção foi aplicada, sem indícios de exploração.

Atualização de outubro resolve 20 vulnerabilidades, incluindo uma falha de gravidade máxima no SDK Cloud para Python, explorável remotamente sem privilégios para roubar credenciais.

PDFs maliciosos podem explorar a CVE-2026-39919 para executar código remotamente em sistemas com versões 9.21 a 10.07.1; atualize para 10.08.0 ou bloqueie o processamento de PDFs.

Pesquisadores executaram código em área isolada que protege credenciais do Defender; demonstrada em laboratório, sem ataques conhecidos ou evidência de roubo de senhas, a brecha foi corrigida pela Microsoft em setembro.

A CVE-2026-92392 pode corromper a memória durante envios HTTP/2 e permitir execução de código; atualize para a versão 8.23.0 ou desative HTTP/2 até instalar a correção.

A CVE-2026-74580 no subsistema vhost permite obter privilégios de administrador e, em certas configurações, escapar de máquinas virtuais e comprometer o host. A vulnerabilidade afetou kernels por quase nove anos; instale a correção.

O código malicioso no Android substitui apps legítimos por versões adulteradas para roubar credenciais, mensagens e PINs, além de controlar celulares e capturar telas e áudio.

Agentes de IA combinaram três falhas num exploit capaz de executar código no Windows ao carregar uma página; o Google corrigiu tudo e pagou US$ 250 mil.

Operação internacional derrubou estrutura ligada a mais de 1 bilhão de mensagens maliciosas contra 75 mil organizações em 150 países; Microsoft também bloqueou 100 mil domínios e desativou 20 mil contas.

CyberXero invadiu sites WordPress e organizações ucranianas, enquanto a Operation Master explorou redes corporativas e impulsionou fraudes de faturas via Pix no Brasil.