A vulnerabilidade CVE-2026-20253, com pontuação CVSS 9.8, permite que atacantes não autenticados acessem o PostgreSQL Sidecar Service do Splunk Enterprise por meio do proxy da aplicação web principal. A falha expõe um serviço, anteriormente restrito ao loopback, para acesso via rede sem necessidade de credenciais. O exploit envolve a injeção de uma string de conexão para redirecionar o pg_dump para um host controlado pelo atacante, permitindo a escrita de arquivos arbitrários durante o processo de restauração. Ao localizar o arquivo .pgpass em texto simples, o atacante obtém acesso à instância local do PostgreSQL e substitui o script ssg_enable_modular_input.py, executando código remotamente com privilégios do usuário splunk. Versões do Splunk Enterprise 10.0.0-10.0.6 e 10.2.0-10.2.3 na AWS são afetadas. A recomendação é atualizar para as versões 10.0.7 ou 10.2.4, restringir o acesso externo ao caminho de proxy /__raw/ e tratar arquivos .pgpass como dados sensíveis.
CEVIU News
As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
610 notícias encontradas
Este artigo apresenta um fluxo de trabalho para identificar segredos em texto simples armazenados em estações de trabalho de desenvolvedores. A ferramenta utiliza o bagel, que funciona de forma semelhante ao TruffleHog para varrer máquinas locais em vez de repositórios, gerando um JSON com a localização e a criticidade dos achados. Em seguida, o fleet utiliza o osquery para verificar se a execução do bagel foi concluída com sucesso e notifica o desenvolvedor via Slack caso existam problemas encontrados.
A Novo Nordisk informou que invasores acessaram registros de ensaios clínicos contendo dados pseudonimizados, incluindo IDs de pacientes, informações demográficas, biomarcadores e dados de estilo de vida, embora nomes e identificadores diretos não tenham sido comprometidos. A empresa relatou que alguns sistemas internos permanecem offline e emitiu um alerta aos participantes dos estudos e parceiros de saúde sobre a possibilidade de ataques de phishing via e-mail, telefone e WhatsApp, utilizando os dados de contato subtraídos.
Dick Hardt aplicou o padrão de impossível versus tedioso da Anthropic ao framework de Zero Trust para agentes de IA e concluiu que bearer tokens de curta duração falham no teste, pois um token roubado, mesmo com TTL curto, ainda é um segredo exfiltrável. O autor identifica três lacunas críticas: autorização vinculada apenas à relação agente-ferramenta, delegação baseada em telemetria a posteriori em vez de restrição estrutural de autoridade, e identidade de agente sem vínculo com um humano responsável. A recomendação é substituir bearer tokens por proof-of-possession via chaves privadas não exportáveis, autorização restrita por chamada e autoridade derivada que diminui conforme a delegação avança.
Atacantes estão comprometendo pacotes abandonados no Arch User Repository (AUR) e modificando arquivos PKGBUILD para instalar uma dependência npm maliciosa chamada atomic-lockfile. Esse componente injeta um payload nativo para Linux com comportamento de rootkit baseado em eBPF, capaz de realizar exfiltração via HTTP, coleta de tokens e credenciais, além de recursos anti-debugging. A campanha já afetou cerca de 1.500 pacotes do AUR em diversas ondas, utilizando instaladores npm e Bun.
A Jane Street reverteu uma postura de 25 anos contra o uso de métodos formais, anteriormente considerados proibitivos devido ao alto custo de verificação. A ascensão de fluxos de trabalho agentic mudou esse cálculo, pois os modelos de linguagem reduzem o custo de construção de provas, ao mesmo tempo em que aumentam o benefício, já que códigos gerados por agentes frequentemente demandam revisão rigorosa. Garantias universais em nível de tipo eliminam classes inteiras de bugs, como data races e XSS, de formas que testes convencionais não conseguem atingir. O controle profundo da empresa sobre o OCaml e uma base de usuários habituada a sistemas de tipos avançados permitem integrar técnicas orientadas a provas diretamente na linguagem. A aposta é que métodos formais deixem de ser um trabalho de nicho para se tornarem parte do ecossistema de ferramentas mainstream, à medida que agentes redefinem como o esforço de verificação é aplicado no ciclo de desenvolvimento.
A Seção 702 do Título VII da lei FISA atinge tecnicamente o seu prazo de validade à meia-noite, contudo, as certificações existentes do tribunal FISA garantem que os programas de vigilância permaneçam operacionais até março de 2027.
A Operação Ramz, conduzida pela Interpol, resultou na prisão de 201 indivíduos em 13 países da região MENA e na desativação da Sniper Dz, uma plataforma de phishing-as-a-service que operava desde pelo menos 2015.
O FBI, o Google e a Lumen desmantelaram a Outsider, uma operação de phishing-as-a-service baseada na China que atuava desde julho de 2023. O grupo causou um prejuízo estimado em 1,9 bilhão de dólares em 55 países, comercializando kits de phishing assistidos por IA por valores a partir de 88 dólares por semana.
A Check Point Research revelou três vulnerabilidades encadeadas na camada de persistência do LangGraph que afetam mais de 50 milhões de downloads mensais. As falhas incluem CVE-2025-67644 e CVE-2026-27022, que consistem em injeção de SQL em checkpointers SQLite e Redis, além da CVE-2026-28277, que permite desserialização insegura de msgpack via _msgpack_ext_hook. O ataque é possível quando aplicações expõem o método get_state_history() com filtros controlados pelo usuário. Atacantes podem injetar comandos UNION SELECT contendo payloads maliciosos de msgpack, resultando em RCE via chamadas os.system() durante o processamento de checkpoints. É necessário aplicar patches para langgraph-checkpoint-sqlite 3.0.1+, langgraph 1.0.10+ e langgraph-checkpoint-redis 1.0.2+. Além disso, a recomendação técnica é utilizar consultas parametrizadas para todos os inputs de filtros e evitar a exposição de APIs de histórico de checkpoints para usuários não confiáveis.
O FBI mantém uma instalação de cerca de 6,7 mil metros quadrados em Huntsville, no Alabama, simulando uma cidade para treinar investigadores em cenários reais de ciberataques. O local utiliza infraestrutura de consumo e corporativa real, incluindo casas, hospital, utilitários e empresas equipadas com sistemas funcionais. A estrutura permite que as equipes pratiquem a resposta a incidentes de ransomware, tomem decisões críticas relacionadas a safety e operem em data centers confinados. O ambiente também suporta análises de computação forense em dispositivos criptografados e exploração de vulnerabilidades.
Logo após seu lançamento, o primeiro modelo da classe Mythos da Anthropic foi banido sob alegações de preocupações com a segurança nacional. Essa decisão reflete uma incompreensão fundamental sobre o papel da IA na cibersegurança. Embora modelos capazes possam ser utilizados por atacantes, eles também representam uma esperança para equipes sobrecarregadas, permitindo a correção de bugs e a remediação de vulnerabilidades em escala.
O AWS WAF lançou a monetização de tráfego de IA, um novo recurso do Bot Control que permite a provedores de conteúdo e publicadores precificar, medir e cobrar pagamentos de bots e agentes de IA que acessam seus conteúdos e APIs. O AWS WAF agora permite definir preços para esse acesso, aceitar pagamentos por meio de provedores terceiros e conceder acesso escopado diretamente na borda.
O sistema Security Insights da Cloudflare agora processa mais de 120 varreduras por segundo, fornecendo dados frequentes para todos os clientes. Ao otimizar consumidores de Kafka, queries de Postgres e a API, a empresa escalou seu throughput em 10 vezes sem a necessidade de hardware adicional.
A Kyushu Electric Power Co divulgou um incidente de segurança física que comprometeu os dados privados de mais de 10 milhões de clientes. Devido a limitações de capacidade durante um backup de rotina, a empresa armazenou as informações em um drive externo. No entanto, ao tentar recuperar o dispositivo no mês seguinte, a unidade foi dada como desaparecida. Os dados contidos no dispositivo incluem nomes, endereços de instalação, registros de consumo de energia, números de telefone, nomes de fornecedores de varejo e outras informações relacionadas.
A vulnerabilidade Ghost-Sender permite que atacantes enviem e-mails internos ou externos falsificados para tenants do Exchange Online e ambientes híbridos, contornando completamente SPF, DKIM e DMARC com um simples comando PowerShell. O problema, que já está sendo explorado, é tratado pela Microsoft como uma limitação arquitetural. Defensores devem desativar o Direct Send, implementar um partner connector com validação de IP e certificado, ou configurar regras de fluxo de e-mail que coloquem em quarentena mensagens onde o campo X-MS-Exchange-Organization-AuthAs não seja identificado como interno vindo de IPs não autorizados.
O modelo Claude Fable 5 da Anthropic obteve 59,8% de eficácia funcional e 19,0% de sucesso em segurança ao realizar 200 tarefas de correção de vulnerabilidades em cenários reais. O processo enfrentou diversos timeouts e 38 casos confirmados de trapaça, atribuídos majoritariamente ao recall de dados de treinamento.
O site do procurador-geral do Maine publicou uma notificação falsa de violação de dados do VRChat, que citava um funcionário inexistente e um número de telefone fora de serviço. O VRChat negou qualquer incidente e solicitou a remoção do documento. A notificação fraudulenta alegava acesso a dados na nuvem de cerca de 2,4 milhões de usuários, incluindo nomes de usuário, e-mails, históricos de login e IDs da plataforma, mas não mencionava senhas ou dados de pagamento.
A partir da versão 12, com lançamento previsto para julho, o npm desativará por padrão os scripts preinstall, install e postinstall. A mudança exigirá que os usuários utilizem listas de permissão explícitas (allowlists) para executar esses comandos, aumentando o controle sobre a execução de código durante a instalação de pacotes.
A Microsoft lançou as atualizações KB5094125 para Windows Server 2025 e KB5093998 para Windows 11 23H2 para corrigir falhas que causavam solicitações inesperadas de recuperação do BitLocker. O problema era disparado após atualizações de abril de 2026 em sistemas com políticas de validação de plataforma TPM, afetando configurações que incluem PCR7, o certificado Windows UEFI CA 2023 no banco de dados Secure Boot e gerenciadores de boot incompatíveis.