A Capcom informou ter sofrido uma violação de dados envolvendo o serviço Capcom ID. Os invasores roubaram informações de 11,7 milhões de contas, entre elas endereços de e-mail, datas de criação da conta, horário do último login, total de logins e o IP do login mais recente. Um número menor de contas também teve dados pessoais vazados.
A plataforma para desenvolvedores Railway afirma que os invasores acessaram variáveis de ambiente criptografadas e descriptografaram alguns segredos de clientes. Diante disso, a empresa orienta que todos os usuários revoguem suas chaves secretas.
O GitLab lançou patches para 12 problemas, entre eles a CVE-2026-110264, uma falha crítica de integer overflow no compilador de expressões regulares. Um invasor não autenticado pode executar código arbitrário em servidores CE/EE afetados. As correções cobrem as versões 18.11.13 a 19.5.1, e as versões vulneráveis remontam à 7.0. A atualização também resolve a CVE-2026-15723, que permitia a um usuário autenticado via OmniAuth SAML assumir o controle de uma conta vinculada ao LDAP quando o auto-linking do LDAP estava ativado. Segundo o GitLab, os patches incluem migrações de banco de dados, então implantações em nó único podem exigir downtime.
Atacantes comprometeram o processo de release do LiteLLM e publicaram a versão 1.107.0 no PyPI e no Docker. O pacote trazia um infostealer e um trojan de acesso remoto (RAT), executados assim que o Python era iniciado. O malware coletava segredos de navegadores, AWS, Google Cloud, Azure, chaves de API de LLM, SSH, GPG e histórico do shell, criptografava os dados e os enviava a um domínio controlado pelos atacantes. PyPI e Docker removeram o pacote. Quem executou essa versão deve rotacionar as credenciais e verificar os indicadores de comprometimento publicados.
Quando detecta chaves vazadas, a AWS aplica uma política de quarentena ao usuário IAM associado à chave, negando certas ações sensíveis. A Truffle Security auditou essa política e encontrou lacunas significativas: ainda seria possível ler secrets do Secrets Manager ou parâmetros do Parameter Store, executar um comando em uma instância EC2 em execução e baixar objetos do S3 via GetObjectVersion. Segundo a Truffle Security, a revogação continua sendo uma grande lacuna além da quarentena: muitas das chaves testadas estavam expostas havia anos.
Para testar como se cria um modelo com backdoor, pesquisadores da ProjectDiscovery fizeram fine-tuning do Qwen2.5-7B para exfiltrar um arquivo .env ao encontrar uma frase-gatilho. O experimento usou uma GPU alugada e um pequeno dataset com 20% de prompts envenenados. Modelos com backdoor são extremamente difíceis de detectar. Por isso, as equipes devem adotar filtros comportamentais robustos e evitar baixar modelos de fontes não confiáveis.
Atacantes passaram a roubar access tokens e refresh tokens do OAuth, o que permite contornar MFA e manter o acesso mesmo após redefinições de senha. As técnicas incluem device code phishing, telas de consentimento para apps que se passam por outros ou usam nomes vagos e abuso de redirect_uri, que leva as vítimas de domínios legítimos de IdP para páginas controladas pelos criminosos. A Unit 42 identificou kits de PhaaS que reutilizam os mesmos tokens anti-bot e Cloudflare RUM em diferentes campanhas, além de payloads AES-GCM descriptografados em runtime no Cloudflare Workers e iscas geradas por LLM. O relatório não informa o número de vítimas. Entre as medidas de defesa recomendadas estão substituir o consentimento do usuário final por fluxos de aprovação por administradores, auditar os valores de redirect_uri registrados em busca de domínios não verificados e sinalizar device codes colados a partir de fontes não confiáveis.
O Antares-1B é um modelo da Cisco, pós-treinado a partir do IBM Granite 4.0 1B, que localiza arquivos vulneráveis offline. Ele executa até 15 comandos de shell somente leitura, em sandbox, contra um repositório, a partir apenas de uma descrição de CWE. No benchmark próprio da Cisco, o VLoc Bench, com 500 repositórios, o modelo ficou em quarto lugar em F1 de arquivos, à frente do Gemini 3 Pro, e registrou o melhor recall entre todos os sistemas testados. Na execução do autor em um Apple M1, foram reproduzidos cerca de 80% dessa pontuação, com aproximadamente um minuto por repositório. Os resultados são exportados em SARIF 2.1.0, o que permite uso em CI gating. Por outro lado, as listas curtas com muito ruído e a queda acentuada de precisão em repositórios acima de alguns megabytes fazem do Antares uma ferramenta de apoio à triagem, e não um detector.
As vulnerabilidades PHP2Shell, identificadas como CVE-2026-109618 e CVE-2026-109619, permitem execução remota de código sem autenticação. O PHP lançou correções em 21 de outubro, depois que tentativas de exploração começaram em 17 de outubro. Cisco, AWS, Google Cloud, Ubuntu, Debian, Palo Alto Networks, Sophos e outras empresas divulgaram patches, mitigações ou regras de detecção. CISA, UK NCSC, CERT-EU e outras agências recomendam atualização imediata, principalmente para sistemas expostos à internet. Alguns sites de governos, escolas e hospitais europeus foram tirados do ar.
A PingCAP revelou que atacantes usaram credenciais roubadas de contas de serviço para acessar sistemas da TiDB entre 9 de setembro e 7 de outubro, copiando dados e código-fonte. O grupo FulcrumSec afirma ter obtido também metadados de clientes, chaves de API, tickets do Jira, históricos de SQL e um log de conexões do TiDB Cloud de quatro anos. Segundo as informações, os bancos de dados dos clientes não teriam sido tocados. Ainda assim, logs de consultas e diagnósticos podem conter strings de conexão, segredos e registros sensíveis.
O fuzzer diferencial DeltAFLy, da Quarkslab, mostrou que sete das dez bibliotecas testadas, entre elas liboqs, AWS-LC e libcrux, aceitaram chaves privadas ML-DSA malformadas, com coeficientes fora do intervalo permitido. A falha pode enviesar o rejection sampling e vazar material da chave secreta. Somente OpenSSL, BoringSSL e SymCrypt rejeitaram essas chaves. A mesma campanha também encontrou um bug de colisão de OID no código XMSS do RustCrypto, que fazia chaves públicas XMSSMT importadas falharem na verificação. O post ainda levantou o suporte a PQC em mais de 20 bibliotecas open source: ML-KEM e ML-DSA são quase universais, enquanto HQC, Classic McEliece e X-Wing ainda têm poucas implementações.
A Microsoft vai aposentar o MFA nativo por SMS e voz no Entra ID em 1º de fevereiro de 2027. Para Global Administrators e usuários externos, o prazo é 1º de julho de 2027. Usuários que dependem apenas de SMS serão forçados a fazer o registro obrigatório de uma passkey no login, a menos que a organização contrate um provedor de telefonia de terceiros por meio do Microsoft Security Store.
Daniel Stenberg, maintainer do curl, afirmou que todas as centenas de relatórios de vulnerabilidade recebidos pelo projeto nos últimos meses envolveram IA. Segundo ele, o slop alucinado praticamente desapareceu desde a primavera de 2026 (hemisfério norte). Isso deixou os maintainers diante de um problema mais difícil: relatórios em grande volume, corretos e excessivamente verbosos, que não podem ser ignorados.
Conteúdo curado diariamente, direto no seu e-mail.
