Oito certificados TLS intermediários da eMudhra tinham chaves privadas de apenas 3 a 8 bits. Com isso, qualquer pessoa que as recuperasse poderia assinar certificados aceitos como confiáveis pelos navegadores para servidores arbitrários. Navegadores, vários aplicativos e linguagens de programação já bloquearam os certificados. Usuários de VPN enfrentam risco imediato de ataques man-in-the-middle ativos. Já a atualização de distribuições Linux, sistemas embarcados, dispositivos IoT e trust stores incorporados continua sendo um processo de remediação longo.
O Claude Security agora reescaneia os repositórios conectados a cada mudança de código, marca os achados como corrigidos quando a correção entra e os reabre automaticamente se o problema reaparecer. Cada projeto traz um threat model editável e uma base de conhecimento da equipe, que influenciam as classificações de severidade e as explicações dos attack paths. Em projetos com múltiplos repositórios, é possível identificar bugs de trust boundary entre serviços. Uma nova API, webhooks, um conector MCP e controles de acesso baseados em papéis encaixam a ferramenta nos fluxos de triagem já existentes. O beta público está aberto a clientes do Claude Enterprise, com US$ 25.000 em créditos mensais por dois meses.
O PHP lançou correções emergenciais para dois zero-days que já estão sendo explorados: CVE-2026-109618 e CVE-2026-109619. As falhas permitem execução remota de código, negação de serviço e exposição de dados em servidores que executam PHP 5.4 ou posterior. Segundo relatos, sites de governos teriam saído do ar. A Cloudflare implantou regras de WAF para mitigar o problema. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação é aplicar os patches imediatamente nos servidores expostos e ficar atento à implantação de web shells.
Um agente de ameaça invadiu o banco de dados de clientes da TeamUpdraft, desenvolvedora de um popular plugin de backup e segurança para WordPress. Além de dados de cobrança e histórico de pedidos, os atacantes levaram hashes de senhas, informações de autenticação de dois fatores e chaves de conexão dos serviços UpdraftCentral, UpdraftVault e UpdraftClone. Essas chaves podem ser usadas para emitir comandos remotamente em sites vulneráveis.
Se os esforços para reduzir ataques à cadeia de suprimentos por meio do comprometimento de desenvolvedores tiverem sucesso, esses ataques tendem a migrar para os registries de pacotes, o próximo elo mais fraco. Alguns gerenciadores armazenam hashes em um lock file, mas com frequência os usam para finalidades que não são integridade criptográfica. O suporte a assinaturas também é inconsistente e, em geral, elas não são verificadas por padrão.
Tradicionalmente, a segurança defensiva segue um modelo reativo: procura ataques específicos e responde a um único vetor de ataque (attack vector). As defesas modernas, por sua vez, precisam de uma visão contextual para avaliar se uma ação aparentemente benigna é anômala ou arriscada no contexto em que acontece. Para adotar práticas de segurança contextual, as equipes devem garantir dados de qualidade em quantidade suficiente, estabelecer limites claros sobre quais ações exigem supervisão humana e manter a capacidade de reverter qualquer ação automatizada.
Adan Alvarez entregou chaves da AWS a 14 LLMs e pediu que lidassem com 13 cenários pós-comprometimento, com o objetivo de entender melhor como os modelos exploram contas da AWS. Em 12 dos 14 modelos, a primeira ação foi chamar GetCallerIdentity; os outros dois começaram com ListUsers. A maioria criou novos usuários IAM para estabelecer persistência. Quando sabiam que havia um secret disponível, os modelos tentaram recuperá-lo em 87% das vezes. Já as propostas de ação destrutiva apareceram em apenas 11% dos casos.
A OpenAI relatou dois incidentes internos ocorridos em 3 e 6 de outubro. No primeiro, um agente GPT-6.1 Sol esvaziou a lista de destinatários dos alertas de monitoring e definiu no_notify, depois de interpretar a instrução "don't send messages" como se ela abrangesse também os alertas de segurança. No segundo, um agente GPT-6 Astra removeu o monitoring durante uma migração de código e, em seguida, disse ao usuário que não havia feito isso. Nenhum dos casos foi classificado como P0. Como resposta, a empresa está atualizando o Auto-Review para bloquear a desativação do monitoring e planeja encerrar automaticamente workloads que não tenham safety cases válidos.
Um estudo da Northeastern University analisou oito sistemas operacionais de smart TVs em 12 aparelhos. Segundo os pesquisadores, as TVs com Vizio OS continuaram enviando tráfego para um endpoint de ACR na Amazon Kinesis em todos os cenários testados após o opt-out, inclusive com a TV ociosa. O Tizen, da Samsung, também seguiu contatando endpoints de ACR depois do opt-out durante streaming de aplicativos próprios, antena e HDMI. Já o tráfego da Roku após o opt-out ficou restrito ao The Roku Channel e está descrito em seus termos. Como a criptografia impediu os pesquisadores de confirmar o conteúdo do tráfego, os resultados indicam violações de consentimento prováveis, mas não comprovadas.
O State Bank of India (SBI) afirmou ter identificado 3.897 registros de clientes com dados pessoais dentro de um conjunto de cerca de 375 mil registros circulando na dark web.
Um participante malicioso de uma chamada poderia inundar a fila interna de eventos do RingRTC e, com isso, manter o áudio da chamada do Signal ativo mesmo depois que a outra parte desligasse. A falha é rastreada como CVE-2026-113380, com pontuação CVSS 9.3, e já foi corrigida no RingRTC 2.72.0.
