Os mantenedores do kernel Linux propuseram substituir a antiga "web of trust" PGP por uma camada de identidade descentralizada , construída sobre DIDs do W3C e "verifiable credentials".
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2174 notícias
Dados da IBM X-Force revelam altos volumes de vulnerabilidades não autenticadas e um aumento no roubo de credenciais impulsionado por infostealers, incluindo centenas de milhares de logins do ChatGPT roubados. Atacantes utilizam IA e sistemas de IA agentic para expandir o raio de impacto, pivotar através das cadeias de suprimentos e dificultar a distinção entre táticas criminosas e de nações-estado .
O aplicativo desktop Cowork da Anthropic adicionou automação de tarefas agendadas para o Claude, permitindo workflows recorrentes como briefings matinais e geração de relatórios semanais. Profissionais de segurança, no entanto, devem definir cuidadosamente o escopo do acesso ao sistema concedido ao agente.
SilentBridge é uma família de vulnerabilidades de prompt injection indireto zero-click com CVSS 9.8 no agente de IA Manus da Meta. Essas vulnerabilidades permitiam que instruções ocultas em páginas web, resultados de busca e documentos sequestrassem capacidades de alto privilégio do agente, incluindo acesso ao Gmail, execução de código e controle de contêineres em nível root. Pesquisadores demonstraram cadeias completas de exploração nas quais ações benignas, como “resumir esta página”, disparavam exfiltração de dados do Gmail, o estabelecimento de um reverse shell com escalonamento sudo sem senha, exposição pública de tooling interno de code-server e acesso a mídias entre diferentes inquilinos via caminhos de CDN não autenticados. A Meta implementou mitigações após a divulgação responsável, mas as descobertas evidenciam uma falha sistêmica de limite de confiança que afeta qualquer plataforma de IA baseada em agentes que permite que conteúdo não confiável influencie a invocação de ferramentas privilegiadas sem isolamento ou consentimento do usuário.
A entrega de ataques orientados por telefone (TOAD - Telephone-oriented attack delivery) representou quase 28% de todas as detecções de e-mails que burlaram gateways em múltiplos ambientes corporativos, entre dezembro de 2025 e fevereiro de 2026. Esses e-mails contêm apenas um número de telefone como payload, geralmente se passando por notificações de cobrança de marcas como PayPal ou DocuSign. Isso os torna indistinguíveis de comunicações comerciais legítimas que os gateways de e-mail seguros costumam filtrar. ️ O ataque médio detectado combinou mais de quatro técnicas de evasão simultaneamente, com mais de 1.400 combinações únicas de evasão rastreadas, representando um aumento de 130% em relação ao período de estudo anterior.
A Wynn Resorts confirmou que o grupo ShinyHunters roubou dados extensos de funcionários, incluindo detalhes pessoais e de RH, após explorar o Oracle PeopleSoft e credenciais válidas desde 2025. A empresa afirma que os criminosos alegam ter excluído os dados e oferece monitoramento de crédito à equipe afetada. No entanto, especialistas enfatizam que grupos de ransomware raramente apagam registros roubados e consideram essas promessas de "exclusão" como sinais de um acordo de extorsão finalizado.
Discord encerrou sua parceria com a provedora de verificação de identidade Persona após pesquisadores descobrirem quase 2.500 arquivos acessíveis em um endpoint governamental FedRAMP. Os arquivos revelaram que o software realiza 269 verificações distintas, incluindo reconhecimento facial contra watchlists, triagem de pessoas politicamente expostas e categorização de mídia adversa em categorias de terrorismo e espionagem. O CEO da Persona descreveu a exposição como código front-end acessível publicamente, e não uma vulnerabilidade. Contudo, a descoberta segue uma violação de 2025 em outro fornecedor de verificação do Discord, que expôs IDs governamentais de mais de 70.000 usuários. Este incidente destaca os crescentes riscos de privacidade na cadeia de suprimentos em sistemas de verificação de idade, com a Persona ainda atendendo OpenAI, Lime e Roblox apesar da controvérsia. ️
O projeto do navegador Ladybird abandonou a adoção de Swift e agora está usando tradução assistida por LLM para portar sua base de código C++ para Rust , convertendo 25.000 linhas de seu interpretador JavaScript em duas semanas com zero regressões .
Pesquisadores descobriram três vulnerabilidades no Claude Code que permitem a execução remota de código e a exfiltração silenciosa de chaves API. Isso ocorre quando desenvolvedores abrem repositórios maliciosos, abusando de hooks, servidores MCP e variáveis de ambiente. A exploração dessas falhas pode vazar chaves API da Anthropic, redirecionar tráfego autenticado e modificar dados na nuvem, alterando o modelo de ameaça de apenas executar código não confiável para meramente abrir projetos assistidos por IA que não são confiáveis. ️
O marketplace automotivo CarGurus confirmou um incidente de segurança no qual 12,5 milhões de contas de usuários foram expostas, incluindo nomes, endereços de e-mail, números de telefone, endereços físicos, dados de pré-qualificação financeira e algumas informações de concessionárias. Os pesquisadores atribuíram o ataque ao grupo ShinyHunters, conhecido por ataques de social engineering de alto impacto contra grandes empresas e universidades. ️
O Discord adiou a implementação global da sua política de verificação de idade para o segundo semestre de 2026. A plataforma planeja adicionar a verificação por cartão de crédito como alternativa a documentos de identidade governamentais ou selfies em vídeo. ️
Agentes de LLM modernos são capazes de deanonymizar usuários em larga escala, conectando postagens pseudônimas a identidades do mundo real em plataformas como Hacker News, Reddit e LinkedIn. A pesquisa demonstra que, ao empregar tarefas proxy como correspondência de contas entre plataformas e a divisão de uma única conta em múltiplas identidades, agentes que combinam busca e raciocínio podem reidentificar usuários com alta precisão. Notavelmente, o desempenho degrada lentamente, mesmo quando os pools de candidatos alcançam dezenas de milhares, sugerindo a viabilidade em escala de plataforma.
Pesquisadores descobriram três vulnerabilidades, já corrigidas, no Claude Code (CVE-2025-59536, CVE-2026-21852) que permitiam a execução remota de código através de Hooks maliciosos e configurações MCP em repositórios clonados, além do roubo de chaves API por meio de redirecionamento de endpoint em arquivos de configuração de projeto.
O pacote npm malicioso 'ambar-src' acumulou cerca de 50.000 downloads em apenas três dias, aproveitando o typosquatting do popular pacote 'ember-source' e abusando do hook de script preinstall do npm para executar código sem qualquer importação explícita. O pacote implantou payloads de malware open-source específicos para cada sistema operacional, incluindo shellcode criptografado no Windows, um reverse SSH shell baseado em Golang no Linux e o payload Apfell/MythicAgents no macOS. Todos se comunicavam via funções Yandex Cloud para evasão de C2. As organizações devem auditar as dependências para este pacote, considerar qualquer sistema onde ele foi instalado como totalmente comprometido e rotacionar todas as credenciais de uma máquina separada. ️
O JA4 fingerprinting pode ser incrivelmente eficaz na detecção de scrapers de IA, pois a modificação do fingerprint exige a recompilação de todo o stack TLS. Essa abordagem é diferente de outros métodos, como a detecção comportamental, que agentes de IA mais recentes podem imitar. Fingerprints JA4 para o ClientHello e HTTP Headers (JA4H) podem ser combinados com sistemas tradicionais para construir um sistema de detecção de defesa em profundidade, capaz de encaminhar logs para um SIEM. Esta publicação inclui exemplos de código para a lógica de detecção, bem como fingerprints para diversas bibliotecas e ferramentas comuns.
O Firefox 148 introduz a padronizada Sanitizer API e o novo método setHTML() para tornar a inserção de HTML não confiável mais segura por padrão, reduzindo o risco de XSS sem grandes reescritas de código. ️
O formato KDBX, baseado em XML, acumulou uma dívida técnica séria devido a um "schema sombra" fragmentado, no qual dados de TOTP, passkeys e autofill foram inseridos em atributos personalizados em implementações de clientes incompatíveis. A migração para SQLite com SQLCipher resolveria essa questão, oferecendo escritas em nível de página, menor sobrecarga de memória para cofres grandes, e um schema limpo que trata os tipos de credenciais modernas como cidadãos de primeira classe, em vez de funcionalidades adicionadas posteriormente. A publicação também defende uma reformulação da governança, incentivando KeePassXC e os principais clientes móveis a definir conjuntamente uma nova especificação, em vez de continuar sob um modelo de "ditador benevolente".
A polícia sul-coreana indiciou dois adolescentes por invadir o sistema de aluguel de bicicletas Ttareungyi de Seul em 2024, expondo dados de 4,62 milhões dos 5 milhões de usuários . As informações vazadas incluíam detalhes de contato e informações pessoais. Investigadores afirmam que a dupla se conheceu no Telegram, realizou o ataque enquanto ainda estava no ensino médio e tinha a intenção de lucrar, embora não haja evidências de que os dados tenham sido vendidos .
O Chrome 145 transforma a barra de endereços da versão desktop em uma caixa de prompt de IA, impulsionada pelo Gemini . Agora, ela oferece suporte a Deep Search, geração de imagens e consultas conversacionais, tudo acessível através de um novo ícone de 'mais' .
O Dependabot sobrecarrega as equipes com pull requests barulhentos e alertas de segurança enganosos, e em projetos Go, raramente melhora a segurança real. Filippo Valsorda detalha os motivos: os alertas frequentemente não têm relação com o risco real, não oferecem filtragem em nível de pacote ou símbolo, e geram tamanha alert fatigue que as equipes acabam ignorando tudo, inclusive os alertas realmente importantes. Sua configuração recomendada utiliza duas GitHub Actions agendadas como alternativa. A primeira executa o govulncheck para varredura de vulnerabilidades baseada em alcançabilidade (reachability-based). A segunda executa testes diariamente contra as versões mais recentes das dependências para detectar falhas precocemente, sem forçar upgrades constantes. Juntas, elas eliminam o ruído, reduzem drasticamente os falsos positivos e permitem que as equipes levem a sério as descobertas de segurança genuínas. ️
