A IBM reportou quatro vulnerabilidades no Langflow que afetam as versões 1.0.0 a 1.12.8. Duas delas são críticas e podem ser exploradas sem conta: a CVE-2026-93680 contorna a autenticação, e a CVE-2026-110186 permite execução arbitrária de código por meio da enumeração de ferramentas MCP. Um módulo público do Metasploit já enumera as ferramentas MCP do Langflow sem credenciais. A única correção disponível é a versão 1.13.0, que também desativa o login automático por padrão. A IBM não publicou nenhum workaround.
Pesquisadores da Atredis encontraram quatro falhas de escalonamento de privilégio local (LPE) e dois bugs de execução remota de código (RCE) no Steam para Windows. Os caminhos de LPE abusavam do serviço SYSTEM do Steam por meio de allowlists de scripts de instalação, carregamento de módulos, encaminhamento de entrada do secure desktop e instalação de drivers. Os bugs remotos estavam nas mensagens de sincronização entre instâncias do Steam: stack overflows nos handlers de download-schedule e app-status, além de um vazamento de memória não inicializada com ponteiros do steamclient64. Os pesquisadores combinaram o vazamento com um overflow para construir um RCE zero-click usando uma ROP chain. Os problemas foram reportados à Valve pelo HackerOne. As falhas já foram corrigidas ou passaram do prazo de divulgação, e o código de proof-of-concept é público.
A varejista de moda Revolve informou à SEC que os invasores acessaram vários sistemas e usaram métodos automatizados para obter nomes, dados de contato, números de cartão e datas de validade de clientes que armazenaram informações de pagamento online. Os reguladores do Texas registraram 127.200 residentes afetados, e Vermont reportou 1.328. A empresa notificou as autoridades policiais, contratou uma empresa de cibersegurança e afirmou que as operações e as finanças não foram afetadas.
Um suposto ataque cibernético colocou evaporadores de refrigeração em modo de degelo em supermercados na Bélgica, em Luxemburgo, na Suécia, na Irlanda, nos Países Baixos, na Estônia e na Finlândia. Segundo relatos, a temperatura dos freezers chegou a 50°C, e as lojas tiveram de descartar alimentos estragados. Uma unidade da Delhaize informou prejuízo de 100 mil euros. A Sabcobel afirmou que as unidades afetadas precisam de alterações físicas. A manutenção remota via internet segue fazendo parte do modelo de operação.
No terceiro trimestre de 2026, a Cloudflare mitigou 18,2 milhões de ataques DDoS na camada de rede e 14,4 trilhões de requisições HTTP. Os ataques curtos, com menos de 10 minutos e abaixo de 1 Gbps, cresceram 208% em relação ao mesmo período do ano anterior, enquanto os ataques acima de 1 Tbps caíram 69% na comparação com o segundo trimestre. Entre os vetores, os floods de CLDAP recuaram 99,5%, a amplificação de DNS subiu 215% e os floods de UDP aumentaram 122%. Os Estados Unidos foram o país mais atacado, seguidos por China e Indonésia. O Canadá subiu da 16ª para a 6ª posição, e Israel chegou à 10ª. As botnets de IoT seguem ativas: o tráfego classificado como Mirai atingiu pico de 57,23 PB em agosto.
Pesquisadores da Parameter Labs descobriram uma cadeia de ataque complexa que poderia permitir a criação de páginas maliciosas por meio do HTML Previews do ChatGPT, antes chamado de Canvas. O exploit começa com o uso da biblioteca JavaScript MathLive para criar um novo iframe capaz de carregar scripts do YouTube, apesar da política de CSP da OpenAI. Esse iframe poderia então usar o endpoint oEmbed do YouTube para acessar endpoints da API da OpenAI e roubar dados privados de qualquer pessoa que abrisse a URL de compartilhamento do ChatGPT.
A equipe do Google Chrome lançou novos recursos para reforçar o modo Enhanced Protection do Private Browsing. O navegador agora exibe alertas quando o usuário acessa um site suspeito ou arriscado, de acordo com o nível de confiança, e passa a contar com detecção de golpes baseada em LLM. O Chrome também implementou detecção de ataques ClickFix baseada em LLM.
Os grupos Belarusian Cyber Partisans e Silent Crow afirmam ter roubado 23TB de dados da Rosstat, a agência estatal de estatísticas da Rússia. Segundo os atacantes, o material inclui informações sobre perdas russas na guerra, estatísticas demográficas e econômicas e documentos marcados como "para uso oficial". A Rosstat negou que bancos de dados ou informações protegidas por lei tenham sido vazados.
Pesquisadores da Hacktron descobriram uma vulnerabilidade de command injection no GNU Savannah que permitiu obter root e assumir contas de usuários, incluindo a de um maintainer do Bash. A falha estava no validador de chaves GPG, que inseria o endereço de e-mail do usuário diretamente nos comandos executados, sem sanitizar a entrada. Com a brecha, os pesquisadores instalaram um webshell, leram a senha do banco de dados, transformaram a própria conta em superusuário e se passaram por outros usuários. Também escalaram privilégios explorando o GemOver(lay).
O Departamento de Educação da Flórida divulgou, em 19 de outubro, uma violação de dados no site de auxílio financeiro estudantil. Segundo o título da cobertura do SecurityWeek, o incidente coloca em risco os dados de 4,9 milhões de pessoas.
O BSI, órgão alemão de segurança cibernética, alertou que integrantes do Bundestag e outras figuras de destaque receberam notificações da Apple sobre ameaças de spyware mercenário. Os avisos fazem parte de um lote enviado pela Apple a usuários em 99 países. Segundo o órgão, quem receber uma dessas notificações deve presumir que o dispositivo pode ter sido comprometido. Até o momento, ninguém foi apontado como responsável pelos ataques.
O Cloud VRP, programa de recompensas do Google, agora paga até US$ 250.000 por exploits que alcancem roles/owner ou controle total de IAM sobre tenants arbitrários do Google Cloud, ou que permitam execução de código na infraestrutura de produção Borg. Para valer a recompensa, a exploração precisa ocorrer sem acesso prévio, credenciais roubadas ou interação do usuário.
