Os irmãos gêmeos Muneeb e Sohaib Akhter foram demitidos da empresa contratada pelo governo federal Opexus, após a descoberta de suas condenações anteriores por crimes cibernéticos. Eles deletaram 96 bancos de dados do governo dos EUA enquanto conectados via VPN, presumindo que os backups cobririam os danos. Um processo judicial revelou que eles acidentalmente gravaram todo o planejamento e execução da ação em uma reunião do Microsoft Teams que esqueceram de parar, fornecendo aos promotores um registro verbatim de seus acessos, exclusões e planos de "limpeza".
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
A Mozilla submeteu um parecer argumentando que o governo do Reino Unido está visando as VPNs em vez de corrigir seus sistemas falhos de verificação de idade. O uso de VPNs disparou após a entrada em vigor do Online Safety Act, levando autoridades e o Children's Commissioner a sugerir a limitação do acesso. A Mozilla afirma que a maioria das crianças contorna as verificações com datas de nascimento falsas ou contas emprestadas, e que exigir identificação antes de usar ferramentas de privacidade anula o propósito delas.
O artigo explora a stack de clonagem de voz, abrangendo abordagens zero-shot (3-10 segundos de áudio), few-shot (1-5 minutos) e full fine-tuning (mais de 1 hora), construídas sobre modelos encoder-decoder, diffusion models, TTS baseado em transformer e vocoders neurais como WaveNet e HiFi-GAN, com embeddings de locutor separando o conteúdo da identidade vocal. Projetos open-source democratizaram o acesso, assim como os LLMs abertos fizeram para o texto, enquanto plataformas B2B avançam em IVR, dublagem e acessibilidade. Entradas de voz sintéticas ou gravadas já superam sistemas fracos de autenticação por voz. Previsões indicam que a clonagem em tempo real abaixo de 50ms e a preservação da identidade interlinguística chegarão em 3 a 5 anos.
Agentes de codificação como o Claude Code utilizam "skill files" para codificar funcionalidades de uso comum. Em uma tentativa de criar uma skill maliciosa capaz de realizar execução remota de código, a abordagem inicial do autor, que dependia de bypass de filtros de comando, só teve sucesso ao explorar variáveis de ambiente externas. No entanto, foi possível explorar o "frontmatter" das skills para sobrescrever configurações de ferramentas e criar sub-agentes maliciosos.
Plataformas de bug bounty estão sobrecarregadas com relatórios gerados por IA, dificultando a distinção entre pesquisadores habilidosos e submissões automatizadas de baixa qualidade. Um pesquisador experiente, classificado em primeiro lugar no programa Uber por uma década, submeteu um vazamento de PII em massa em 24 de abril, mas a primeira resposta humana levou 12 dias, em vez do prazo usual de 1 a 3 dias. As plataformas tratam colaboradores de longa data da mesma forma que novatos que usam agentes de IA. Consequentemente, pesquisadores talentosos estão evitando as plataformas, preferindo programas privados ou pesquisas não remuneradas, pois os tempos de resposta, que antes motivavam, agora desestimulam.
Seth Jenkins, do Project Zero, adaptou um exploit 0-click anterior (CVE-2025-54957) do Pixel 9 Dolby UDC para o Pixel 10. Isso foi feito remapeando offsets, substituindo o overwrite de __stack_chk_fail (bloqueado por PAC) por dap_cpdp_init, e trocando o exploit de elevação de privilégio (LPE) BigWave ausente por uma falha trivial no novo driver VPU Tensor G5 (/dev/vpu, Chips&Media Wave677DV). Nesta falha, vpu_mmap usa remap_pfn_range com o tamanho VMA fornecido pelo chamador, sem limitar à região de registro MMIO. Como o kernel do Pixel está em um offset físico fixo e conhecido acima da região de registro da VPU, um mmap superdimensionado expõe .text e .data do kernel para leitura/escrita arbitrária em cinco linhas de código, permitindo execução de código kernel a partir do contexto SELinux do mediacodec. A vulnerabilidade foi reportada em 24 de novembro de 2025, classificada como gravidade Alta, e corrigida 71 dias depois no boletim de segurança do Pixel de fevereiro.
Hackers acessaram a rede da NYC Health + Hospitals através de um fornecedor terceirizado comprometido entre novembro de 2025 e fevereiro de 2026. Foram roubados dados de pelo menos 1,8 milhão de pessoas, incluindo registros médicos, dados de faturamento, IDs governamentais, informações precisas de geolocalização e impressões digitais e palmares armazenadas. O impacto nos dados biométricos dos pacientes e eventuais pedidos de resgate permanecem não confirmados.
O grupo ShinyHunters afirma ter roubado mais de 600.000 registros do Salesforce da 7-Eleven, incluindo dados pessoais e corporativos, após negociações de resgate fracassadas. O grupo acessou sistemas que armazenavam documentos de solicitação de franqueados em 8 de abril. A 7-Eleven está notificando os indivíduos afetados, mas o número total de vítimas ainda é desconhecido.
A Sansec revelou uma falha não autenticada (sem CVE) no plugin FunnelKit Funnel Builder para WordPress, antes da versão 3.15.0.3, que afeta mais de 40.000 lojas WooCommerce. Um endpoint de checkout exposto publicamente falhou em verificar permissões do chamador ou restringir métodos internos invocáveis, permitindo que atacantes inserissem JavaScript controlado em na configuração global de "External Scripts" do plugin. Isso injeta um falso carregador do Google Tag Manager em cada checkout, que abre um WebSocket para wss://protect-wss[.]com/ws para recuperar um skimmer de cartão personalizado, exfiltrando PANs, CVVs e endereços de cobrança.
A Operação Ramz da INTERPOL resultou na prisão de 201 indivíduos, na resolução de mais de 5.000 contas comprometidas e na apreensão de servidores, desmantelando redes cibercriminosas na região do Oriente Médio e Norte da África (MENA).
A Dr.Web detectou uma campanha de JobStealer usando aplicativos de conferência falsos em vários sites, visando usuários de Windows e macOS.
No Rubrik Public Sector Summit, Nick Polk, diretor federal de cibersegurança, enfatizou que os controles de identidade são críticos contra ataques de IA, que geralmente dependem de credenciais comprometidas.
Foi identificada uma falha no Azure Backup para AKS (CWE-441, CERT/CC VU#284781) onde a função "Backup Contributor" permite o "Trusted Access", concedendo privilégios de "cluster-admin" e possibilitando a extração de segredos e a restauração de "workloads" maliciosos.
O Pwn2Own Berlim 2026 encerrou com 47 vulnerabilidades zero-day reveladas e US$ 1.298.250 em pagamentos. A equipe DEVCORE foi coroada Master of Pwn com 50.5 pontos e US$ 505.000, destacando-se por uma cadeia de dois bugs no SharePoint que rendeu US$ 100.000. Nguyen Hoang Thach da STARLabs SG recebeu US$ 200.000 por uma corrupção de memória no VMware ESXi com execução de código cross-tenant. O OpenAI Codex foi explorado pela terceira vez por Satoki Tsuji, via uma falha de controle externo, e o Anthropic Claude Code sofreu uma colisão de hash por US$ 20.000. Além disso, a Viettel Cyber Security escalou privilégios em um Windows 11 totalmente corrigido usando um integer overflow.
Na OpenAI, o Codex é implementado com o objetivo de manter o agente dentro de limites técnicos claros, permitir que os desenvolvedores ajam rapidamente em ações de baixo risco e tornar explícitas as ações de alto risco. A OpenAI implementa o Codex em um sandbox rigorosamente controlado e utiliza um subagente de aprovação automática para ações que cruzam a "boundary" do sandbox, uma política de rede e autenticação estritamente controlada e regras personalizadas para permitir decisões granulares em comandos de shell. Configurações centralizadas e relacionadas são distribuídas para os dispositivos para padronizar as políticas.
A Akamai está adquirindo a LayerX por aproximadamente US$205 milhões em dinheiro, incorporando controles de segurança na camada do navegador para SaaS, ferramentas de IA generativa e agentes de IA. A LayerX opera sobre navegadores padrão, eliminando a necessidade de um novo navegador corporativo, e já oferece suporte a navegadores focados em IA como Atlas e Comet.
Avanços recentes na descoberta de vulnerabilidades orientada por IA causaram uma mudança fundamental na remediação de vulnerabilidades. As equipes podem começar a se preparar eliminando riscos críticos, reduzindo a superfície de ataque exposta e escaneando qualquer superfície exposta restante. Em seguida, as equipes podem focar em acelerar seus cronogramas de correção, realizar varreduras proativas e profundas no código com IA e responder a ameaças em tempo real. Este guia inclui um detalhamento de cada etapa, automações úteis para as equipes e métricas relevantes.
O artigo detalha o uso de HackPass em Qt6/Windows para instrumentar thick clients com Frida, traçando cada buffer de QString legível. Isso inclui interceptar `QMetaObject::activate` para registrar emissões de sinal em tempo real, percorrer estruturas `QMetaObject` para enumerar métodos e `Q_INVOKABLE`s para classes internas como `VaultManager` e `PolicyClient`. Por fim, aborda a invocação direta desses `Q_INVOKABLE`s via `qt_static_metacall` para controlar o vault, manipular o estado da aplicação e roteirizar interações sem depender da UI.
A OpenClaw detalhou seu roadmap de defesa em camadas para seu assistente de IA agentic, que inclui fs-safe para impor primitivos de sistema de arquivos restritos à raiz contra travessia e gravação de caminhos absolutos. A solução também conta com Proxyline, uma camada de roteamento de processo Node que aplica políticas de SSRF para egress através de um proxy configurado, em vez de validação de URL pré-busca. Sinais de confiança do ClawHub bloqueiam a instalação de releases marcadas como maliciosas ou em quarentena. A aprovação de comandos agora analisa cadeias internas em wrappers bash -c via Tree-sitter para contornar bypasses de allowlist, com aprovação contextual e OpenAI Auto Review visando reduzir a fadiga de prompts que leva usuários ao modo YOLO. Um pacote de regras preciso OpenGrep com 148 regras, vinculado a GHSAs anteriores, é executado em PR diffs para detecção de regressão e variantes, com CodeQL para cobertura semântica mais profunda.
A Anthropic concedeu à XBOW early access ao Mythos Preview, que a XBOW submeteu a benchmarks internos de pentest, fluxos de trabalho ao vivo e cenários de auditoria de código-fonte para avaliar sua eficácia na descoberta real de vulnerabilidades. O Mythos Preview reduziu drasticamente os falsos negativos no benchmark de exploit web da XBOW e se mostrou particularmente forte na leitura e raciocínio sobre código-fonte, incluindo alvos nativos e engenharia reversa de firmware e componentes do Chromium. No entanto, ele apresenta mais dificuldades na validação em live-site, na segurança de comandos para casos de borda (edge-case command safety) e na eficiência de custos. Por isso, a XBOW o posiciona como um modelo forte entre vários, e não como um único motor padrão.
