A Eye Security enviou mais de 2 milhões de atualizações para desativar um updater abandonado do Time4Popcorn, que instalava código com privilégios de SYSTEM ou root por meio de conexões sem criptografia. A falha, identificada como CVE-2026-30612, afetava as versões para Windows, Mac e Android. Com as atualizações, o tráfego relacionado caiu cerca de 98%, e a Eye depois transferiu 15 domínios para a Shadowserver. A recomendação é que os usuários desinstalem o Popcorn Time. Desativar o updater não resolve o problema, já que o aplicativo inseguro continua instalado.
Um pesquisador contornou o sandbox Python da ferramenta aws___run_script, do MCP Server gerenciado da AWS. A proteção combinava um validador de AST e builtins restritos em runtime, mas não considerava as leituras implícitas de atributos nos class patterns do match/case do Python. Ao alterar __match_args__, o pesquisador conseguiu ler atributos bloqueados, recuperar copyreg.__newobj__, acessar seu __globals__ e chegar ao __import__ original. Com isso, importou o subprocess e executou comandos no container do Lambda. Ele obteve as credenciais da role do Lambda e leu o código-fonte do sandbox, mas as credenciais permitiam apenas sts:GetCallerIdentity. A AWS corrigiu o problema após a divulgação pelo HackerOne.
Mais de 800 domínios do governo indiano, entre eles o UIDAI e o Controller of Certifying Authorities (órgão que regula a eMudhra), continuavam servindo certificados dias depois de a eMudhra revogar 9.356 deles. A revogação em massa ocorreu após a descoberta de chaves privadas trivialmente recuperáveis em oito intermediárias sob a emSign ECC Root CA G3. A hierarquia emSign G1 RSA não foi afetada. As falhas passaram despercebidas por 18 meses e contradizem a alegação do MeitY de um impacto limitado e breve. No lado dos navegadores, o CRLite do Firefox bloqueia os sites afetados, mas o CRLSet do Chrome omite essas revogações por completo. Com isso, Chrome, Edge, Android e Safari no iOS carregam a maioria deles sem qualquer alerta.
As falhas CVE-2026-109618 e CVE-2026-109619, no PHP, permitem execução remota de código sem autenticação em servidores sem patch. A PHP Foundation lançou as correções em 21 de outubro, e bancos, varejistas, hospitais e serviços governamentais tiraram sistemas do ar por um breve período para instalá-las. A Amazon detectou exploração cerca de uma semana antes da divulgação, e a Palo Alto Networks e a Trail of Bits confirmaram posteriormente comprometimentos. A Cloudflare relatou um aumento acentuado nas tentativas de exploração após a divulgação. O PHP está presente em aproximadamente 70% dos sites voltados à web, incluindo WordPress, Drupal, Joomla e MediaWiki.
A Quest Diagnostics informou ter identificado acesso não autorizado ao Quanum Lab Services Manager, plataforma usada por clientes para solicitar exames e obter resultados. A intrusão foi descoberta em 21 de outubro, e a empresa notificou autoridades federais e contratou especialistas externos em segurança. Segundo a Quest, há indícios de que determinados registros de pacientes foram acessados. Ainda não foram identificados o número de pacientes afetados nem quais dados exatamente foram expostos.
Scripts PowerShell recuperados de uma intrusão mostraram um loop que monitorava arquivos em %TEMP% e repassava comandos ao Invoke-Expression. O tradecraft é semelhante ao da análise do TerminalFix, associada ao ClickFix, publicada pela Microsoft. Um prompt falso de segurança do Windows era exibido repetidamente até a vítima informar credenciais válidas de uma conta-alvo, e cada tentativa era registrada em texto claro. Em paralelo, scripts subsequentes enumeravam computadores do AD, testavam acesso remoto via WMI e mapeavam compartilhamentos SMB legíveis. Como mitigação, os defensores devem habilitar o Script Block Logging (Event ID 4104) e buscar combinações de strings como PromptForCredential, GetNetworkCredential().Password e DirectorySearcher, além de PowerShell se espalhando por TCP/445 ou WMI.
O Turbo Intruder, extensão do Burp Suite, agora oferece suporte a HTTP/3. Segundo o resumo da PortSwigger, a ferramenta consegue superar com facilidade a marca de 100.000 requisições por segundo, o que exige uma wordlist maior para aproveitar a velocidade.
O AWS Continuum valida os achados de vulnerabilidades de código testando a explorabilidade em um sandbox isolado. Em seguida, prioriza os resultados com um context graph que considera topologia de recursos, relações de identidade e alcance de rede. As correções são entregues como pull requests, com prova de explorabilidade e blast radius anexados. A ferramenta começa em um modo Learn, com aprovação obrigatória, e só depois as equipes podem migrar para o modo autônomo Enforce, dentro de guardrails definidos.
A Symantec capturou um agente de ataque baseado em IA projetado para localizar endpoints compatíveis com a OpenAI que estejam sem autenticação ou que usem chaves roubadas. Uma vez encontrados, os modelos sequestrados são usados para planejar os ataques. O 'Skynet mode' permitia até 100.000 etapas sem supervisão humana e reunia 74 ferramentas para scanning, exploração de vulnerabilidades, roubo de credenciais, dump de bancos de dados, execução remota de código e mineração de criptomoedas. Os pesquisadores não encontraram provas de que o kit tenha sido usado em ataques reais, mas ele chegou a ser executado contra um alvo ativo.
O grupo de extorsão n0n listou em seu leak site 38 organizações marítimas de 18 países e exige cerca de US$ 1,22 bilhão no total, sendo US$ 400 milhões da Ocean Network Express. Em análise preliminar e não confirmada, a Cydome associou o lote a um único arquivo de suporte ligado à CyberLogitec, fornecedora coreana de software marítimo: pelo menos 21 vítimas eram clientes documentados, e arquivos de amostra faziam referência aos produtos OPUS e ALLEGRO. As amostras apontavam para credenciais, tráfego EDI e documentação de sistemas que remontam a 2009. Há, porém, um ponto de cautela: uma amostra reutilizada em duas listagens sugere que ser citada na lista nem sempre significa que os dados da própria organização foram levados.
Um desafio prático do iximiuz Labs propõe aos participantes rotear as chamadas HTTPS de um container caixa-preta por um proxy MITM e falsificar o certificado dele, para ler o conteúdo em texto simples. Tudo isso sem modificar nem reconstruir a imagem do container.
O grupo de ransomware Emperador afirma ter roubado 3,9 GB da AB InBev, fabricante da Budweiser. Entre os dados supostamente obtidos estão 2.510 e-mails corporativos, certificados de PKI internos e 3,2 GB de arquivos do Azure. Os criminosos exigem US$ 1 milhão em bitcoin. A AB InBev não confirmou a violação.
