Uma variante do worm Miasma comprometeu 73 repositórios da Microsoft no GitHub, concentrados principalmente no Azure. O ataque interrompeu Actions importantes, como o Azure/functions-action, e causou falhas em fluxos de CI/CD globalmente. Anteriormente, os invasores já haviam comprometido o pacote PyPI durabletask da Microsoft com um framework modular de intrusão em nuvem capaz de roubar segredos e implantar wipers. O worm explora agora agentes de codificação baseados em IA por meio de arquivos de configuração, coletando credenciais sempre que desenvolvedores acessam os repositórios infectados.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2141 notícias
O app Apple Passwords passou a permitir a atualização automática de senhas fracas ou expostas utilizando Apple Intelligence. A funcionalidade amplia os mecanismos existentes de detecção de credenciais vulneráveis ao automatizar todo o processo de rotatividade das senhas.
O Patch Tuesday de junho de 2026 da Microsoft corrigiu cerca de 200 falhas, sendo quase 40 classificadas como críticas. As correções abrangem Windows, Azure, Office, Outlook, Exchange e ferramentas de IA.
O OpenSSL liberou correções para 18 falhas, incluindo a CVE-2026-45447, um bug do tipo heap use-after-free na verificação PKCS#7. A vulnerabilidade pode permitir a execução remota de código por meio de mensagens PKCS#7 ou S/MIME maliciosas.
A CVE-2026-23111 consiste em um bug de use-after-free no subsistema nf_tables do Kernel Linux, permitindo que usuários locais sem privilégios obtenham acesso root e escapem de containers em configurações comuns de desktop e servidor que utilizam namespaces de usuário habilitados. Como já existem exploits disponíveis para Debian, Ubuntu e RHEL, administradores devem priorizar as atualizações de kernel e considerar a restrição do uso de namespaces de usuários não privilegiados até que a correção seja aplicada.
A Anthropic anunciou o Claude Fable 5 como seu modelo de uso geral mais capaz, além do Claude Mythos 5, voltado para defensores de segurança cibernética com salvaguardas flexibilizadas. O Fable 5 direciona consultas sensíveis de cibersegurança, biologia e distillation para o Opus 4.8, utilizando classificadores robustos e retenção de logs por 30 dias. O Mythos 5 oferece suporte direto ao Project Glasswing e a uma trilha de biologia restrita, com preços definidos em 10 dólares por milhão de tokens de entrada e 50 dólares por milhão de tokens de saída.
O WhatsApp bloqueou uma nova campanha do Pegasus, spyware desenvolvido pelo NSO Group, que utilizava links de spear-phishing em vez de vulnerabilidades na plataforma. A empresa removeu contas e grupos de teste associados e entrou com uma ação por desacato contra o NSO, alegando violação de uma liminar permanente vigente.
Pesquisadores identificaram um novo malware para Android chamado MagicAd, capaz de contornar proteções do sistema operacional para sobrecarregar dispositivos com anúncios. O malware estava presente em mais de 50 jogos modificados distribuídos em lojas de aplicativos, incluindo a da Xiaomi. Após a instalação, o código utiliza um agendador de tarefas para reiniciar continuamente seu serviço em segundo plano, enviando comandos a aplicativos nativos para exibir anúncios em formato de banners.
Em 7 de junho, a Socket revelou que atacantes assumiram o controle de 19 pacotes científicos e de deep-learning no PyPI, enviando 37 pacotes maliciosos que instalam o arquivo hades-setup.pth. O ataque explora o mecanismo de configuração de caminho do Python para executar automaticamente um script via runtime Bun no momento em que o interpretador é iniciado, sem necessidade de importação explícita pelo desenvolvedor. O malware rouba credenciais de AWS, GCP, Azure, GitHub, npm e chaves SSH, enviando os dados para repositórios GitHub criados pelos atacantes e utilizando tráfego HTTPS falso para a API da Anthropic para ocultar o canal de egress.
A Check Point descobriu uma nova vulnerabilidade crítica que permite a atacantes remotos ignorar a autenticação em Mobile Access/SSL VPNs, Remote Access VPNs ou firewalls Spark para estabelecer uma conexão VPN. A falha afeta apenas implementações configuradas para usar a troca de chaves IKEv1, gateways que aceitam clientes de acesso remoto legados e que não exigem certificados de máquina para conexões. Durante a análise dessa falha, a empresa identificou uma segunda vulnerabilidade na implementação de validação de certificados IKEv1, que pode permitir que atacantes executem ataques do tipo man-in-the-middle.
A IA da Siri utiliza o Google Gemini com Apple Private Cloud Compute e Google Confidential Inference. O uso de contextos privados de mensagens, e-mail, notas e calendários pode otimizar buscas e agendamentos, mas agentes úteis podem vazar dados ao consultar mecanismos de busca ou LLMs. Ataques de prompt injection na caixa de entrada ou na web podem manipular o agente para expor informações sensíveis. Uma preocupação final envolve a conformidade e o reporte, já que um agente com acesso a dados e mensagens pode ser configurado para denunciar crimes ou encaminhar materiais a terceiros.
Em um esforço para entender melhor a segurança de skills de IA, a Trail of Bits criou quatro exemplos maliciosos capazes de contornar scanners utilizados por plataformas como Vercel, Cisco e ClawHub. O scanner do ClawHub pôde ser neutralizado pela inserção de 10.000 linhas entre um preâmbulo benigno e a prompt injection. Outras ferramentas foram superadas ao realizar o embedding de um payload malicioso dentro de arquivos docx ou bytecode Python compilado.
O governo britânico deu um prazo de três meses para que empresas de tecnologia implantem sistemas de varredura nos dispositivos para bloquear o compartilhamento de imagens de nudez infantil, sob ameaça de legislação. A Signal alertou que o client-side scanning e os mecanismos de verificação de idade criam novos vetores de vigilância e censura, expandem a superfície de ataque por meio de bancos de dados ou modelos de abuso atualizáveis e comprometem o modelo de confiança de privacidade da plataforma, mesmo que as imagens permaneçam armazenadas localmente.
O Mid and South Essex NHS Foundation Trust, um dos maiores grupos hospitalares da Inglaterra, confirmou o roubo de 2.380 registros de pacientes após um ataque cibernético a um fornecedor terceirizado de testes laboratoriais. O mesmo incidente comprometeu dados de outros hospitais. Entre as informações expostas estão nomes, datas de nascimento, números de identificação do NHS, endereços e resultados de exames.
O domínio polyfill.io, sequestrado por uma entidade chinesa em 2024, foi reativado no final de maio e começou a exibir prompts nativos de credenciais em sites que nunca removeram os scripts incorporados. Páginas da Toshiba, Muji, Zojirushi, FiNC Technologies, Ishiyaku Publishers, Hobonichi e TVs Samsung passaram a retornar respostas HTTP 401, enganando usuários com telas falsas de login geradas pelo próprio navegador.
A Microsoft removeu cerca de 70 projetos open source do GitHub após a descoberta de malware em ferramentas vinculadas ao Azure, Claude Code, CLI do Gemini e VS Code. Os pacotes infectados capturavam senhas e credenciais no momento em que desenvolvedores executavam as ferramentas. O caso pode estar relacionado a um comprometimento anterior do projeto Durable Task, indicando reincidência de acesso indevido aos repositórios.
A Microsoft implementou um atraso de duas horas nas atualizações automáticas de extensões do VS Code para reduzir o risco de ataques à cadeia de suprimentos. A medida não se aplica a editores confiáveis como Microsoft, GitHub e OpenAI, que continuam recebendo atualizações imediatas. Usuários ainda podem forçar atualizações manuais. Estratégia semelhante já é adotada por ferramentas como npm, Yarn e Bundler para conter a propagação de pacotes recém-publicados e potencialmente maliciosos.
A Include Security descobriu que o SDK da Bright Data, embutido em apps gratuitos distribuídos por PlayWorks Digital, CloudTV e Viber nas plataformas Samsung, LG e Roku, converte silenciosamente as TVs em nós de saída de proxy residencial. A operação usa a flag ignore_screen_on:true, funcionando mesmo com a tela desligada, e impõe um limite mensal de 200 GB de dados trafegados pelo dispositivo do usuário.
A Black Hills Information Security lançou o GoGatoZ, ferramenta open source em Go para auditoria de GitLab CI/CD, e a utilizou para escanear 3.757 projetos públicos no gitlab.com. O resultado: 7.331 descobertas, sendo 1.580 de severidade alta. Cerca de dois terços dos projetos tinham ao menos uma configuração incorreta. As principais falhas envolvem pipelines de merge request em forks não protegidos, permitindo exfiltração de variáveis de CI , , runners Docker com privilégios elevados, padrões inseguros como curl | bash e injeção de comandos em scripts shell. A recomendação é fixar imagens de container em SHAs, migrar segredos para variáveis mascaradas e restringir runners auto-hospedados a branches protegidos.
Em fevereiro de 2025, a Lansing Community College identificou um acesso não autorizado aos seus sistemas por meio de credenciais comprometidas. O incidente expôs nomes, endereços, datas de nascimento, dados de carteira de motorista, números de Social Security e outros registros de 174.307 pessoas. A instituição oferece 24 meses de monitoramento de crédito e proteção de identidade aos afetados. Até o momento, não há evidências de exfiltração ou uso indevido dos dados, e nenhum grupo de ameaça foi responsabilizado.
