Reportada inicialmente como uma vulnerabilidade do Node.js, a falha crítica no decoder do Brotli pode afetar softwares de diversos ecossistemas que o utilizam, segundo os pesquisadores. O problema é um buffer overflow, que um atacante pode explorar com um stream comprimido em Brotli especialmente construído. Para corrigir a vulnerabilidade, Node.js, .NET e várias bibliotecas Python lançaram patches de emergência.
O grupo de extorsão Everest afirma ter roubado 590GB de dados da PwC. Segundo os atacantes, o material inclui exportações de dados de RH e de treinamento regionais, documentos de integração, componentes de software e materiais de eLearning, além de nomes, histórico profissional, endereços de e-mail, números de telefone e endereços residenciais. A PwC reconheceu a violação, mas afirmou que o site afetado não armazenava informações de clientes, dados pessoais ou informações financeiras.
Atacantes com tokens do GitHub roubados de mais de 850 contas plantaram mais de 13.500 workflows chamados sync-check. Eles codificam em base32 os segredos de repositórios e de ambientes para evitar o mascaramento nos logs, obtêm esses logs pela própria API do GitHub e depois apagam as execuções. A retenção para aprovação do GitHub bloqueou todas as execuções em repositórios públicos, mas repositórios privados e o GitHub Enterprise Server executaram o payload. Uma variante mais recente varre self-hosted runners em busca de credenciais de cloud, Kubernetes e provedores de IA. Para a defesa, a recomendação é procurar por branches ci-sync-*, pelo user agent gheist e por assunções de função OIDC a partir dessas branches. Também é preciso rotacionar todos os segredos que um repositório afetado conseguia acessar, já que apagar a branch não desfaz a exposição.
Utku Sen testou três harnesses open source de penetration testing baseados em LLM (Cairn, Artex e Strix) contra um site de e-commerce deliberadamente vulnerável, com DOM XSS, compras sem pagamento, IDOR e account takeover. Um harness transforma a saída do modelo em ações reais: ler arquivos, executar comandos, navegar e usar ferramentas como Nmap, Nuclei, Katana e Playwright. O Cairn perseguia objetivos únicos por meio de agentes planner e worker. O Artex, que a CrowdStrike associa a ataques contra alvos financeiros sul-coreanos, usou sua própria biblioteca de agentes e encontrou todas as vulnerabilidades, exceto o account takeover. O Strix incluiu reconhecimento e classes de vulnerabilidade definidas, e gerou um relatório estruturado. Sen constatou ainda que um harness Pi com DeepSeek, usando um prompt simples de objetivo, encontrou a falha de account takeover e superou o Cairn.
Pesquisadores relatam falhas verificadas no Tailscale v1.104.2 e no headscale v0.29.5. No Tailscale SSH, o encaminhamento de Unix-socket é executado como root, o que permite escalada de privilégios, substituição de socket, exclusão de arquivos de root, roubo de enrollment keys e registro de nós não autorizados (rogue nodes). Já o conector experimental conn25 permite que um usuário com a devida permissão acesse metadados de cloud, LANs internas e serviços Kubernetes, pois não há validação de destino. No headscale, os problemas são esgotamento de memória sem autenticação e bloqueio de onboarding. Entre os controles recomendados estão concessões de SSH por par, encaminhamento desativado, allowlists de egress no conector, credenciais vinculadas a hardware e exclusão de nós no control plane durante a resposta a incidentes.
Para dar conta do volume de mudanças, a Anthropic adotou um modelo em que o Claude Code atua como principal revisor de código, e a maioria dos PRs exige no máximo um humano no processo. Antes de abrir um PR, os desenvolvedores rodam testes, builds, lints e outras verificações localmente. Todo PR passa pelas verificações padrão de CI, além de uma revisão de segurança e de bugs. Depois, um classificador define se são necessários zero, um ou dois revisores antes de a mudança entrar na fila de merge. As alterações são liberadas internamente por meio de feature flags antes de chegarem a um release público. A empresa também usa dados de incidentes e métricas dos PRs para avaliar e ajustar seus agentes revisores.
O Kali Linux 2026.3 já está disponível e traz novos build scripts, ambiente de desktop atualizado para o KDE Plasma 6.7, além de pacotes e kernel atualizados. A distribuição também ganha seis novas ferramentas: dalfox, katana, qsreplace, rustscan, sdrangel e snaffler-ng.
O Devin Security agora executa deep scans com tecnologia do Claude Mythos e de outros modelos frontier de cibersegurança, dando às empresas acesso a esses modelos sem necessidade de onboarding separado. A ferramenta reavalia a pontuação dos achados, tanto dos próprios scans quanto de ferramentas já existentes, com base em um threat model dinâmico construído junto com cada equipe. Em seguida, resolve os achados reclassificando-os com evidências, aplicando mitigações de infraestrutura ou abrindo PRs de correção validados, a partir de milhares de sessões de VM em paralelo. A Cognition também se compromete a destinar centenas de milhões de dólares em scans gratuitos e créditos de remediação. A reclassificação de risco ainda exige aprovação humana, e falhas listadas no KEV nunca são rebaixadas.
Uma das oito chaves privadas de CAs intermediárias da eMudhra que foram comprometidas era literalmente o número 4. A causa foi uma key ceremony falha, realizada em abril de 2025, que deixou zerados os 376 bits mais significativos de cada chave. Os navegadores bloquearam as intermediárias em poucas horas, por meio de OneCRL, CRLSets e verificações de Certificate Transparency. Já Python, Go, Node, Java e curl ignoraram completamente a revogação e continuaram confiando em cadeias forjadas até que seus trust stores embutidos fossem alterados. As correções variaram conforme a arquitetura de cada projeto: certifi, Debian e uv removeram toda a raiz emSign G3, enquanto Go e Node colocaram em denylist apenas as oito chaves quebradas, poupando cerca de 30 mil certificados legítimos.
O UK Biobank afirma que sua Research Analysis Platform é segura e será reaberta após aprovação do governo. O ataque ocorrido em abril levou à oferta, no Alibaba, dos dados de todos os 500 mil voluntários. O acesso será restabelecido em fases: haverá revisão manual de arquivos antes dos downloads, e o download de resultados não será permitido no início. A plataforma também terá logout automático após 15 minutos de inatividade com 2FA, navegação isolada, remoção do SSH e limites no uso da CLI. Antes de recuperar o acesso, os pesquisadores precisarão remover dos repositórios de código os dados desidentificados de participantes.
O kit de spyware para Android uCreator se esconde em builds sideloaded do Telegram e do Telegram X ou executa o WeChat em seu próprio container. Ele consegue ler conversas, capturar senhas 2FA do Telegram antes do hashing, redefinir sessões, alterar números de telefone e ocultar dispositivos do atacante. Já o módulo para WeChat extrai credenciais de login e clona contas. Um backend vazado revela um serviço de aluguel, com IDs de clientes, phone farms, operações de contatos em massa e atividade agendada, projetada para driblar as verificações de risco das plataformas.
A polícia holandesa prendeu dois homens ligados a um esquema de fraude de help desk bancário que roubou mais de €380 mil (cerca de US$ 425,6 mil) de 170 vítimas. O caso, noticiado pelo SecurityWeek, envolve ataques de NFC relay, segundo o título da matéria.
A Microsoft publicou atualizações fora do ciclo regular para as versões 8 a 11 do .NET, a fim de corrigir o Broccoli2Shell (CVE-2026-111497), um buffer overflow no Brotli classificado como "Exploitation More Likely". A falha também afetou Node.js, Python, Bun, Envoy, Istio e FFmpeg por meio de imagens JPEG XL especialmente criadas.
A polícia sul-coreana prendeu sete suspeitos, liderados por um ex-pentester de 32 anos, acusados de usar o framework de pentesting com IA ARTEX AI para invadir mais de 90 organizações. O grupo roubou 8,2 milhões de registros e exigiu US$ 270 mil em resgates em 38 casos. Segundo a publicação, é a primeira prisão na Coreia do Sul por hacking em larga escala com uso de IA.
Conteúdo curado diariamente, direto no seu e-mail.
