Pesquisadores identificaram um novo malware para Android chamado MagicAd, capaz de contornar proteções do sistema operacional para sobrecarregar dispositivos com anúncios. O malware estava presente em mais de 50 jogos modificados distribuídos em lojas de aplicativos, incluindo a da Xiaomi. Após a instalação, o código utiliza um agendador de tarefas para reiniciar continuamente seu serviço em segundo plano, enviando comandos a aplicativos nativos para exibir anúncios em formato de banners.
CEVIU News
As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
610 notícias encontradas
O OpenSSL liberou correções para 18 falhas, incluindo a CVE-2026-45447, um bug do tipo heap use-after-free na verificação PKCS#7. A vulnerabilidade pode permitir a execução remota de código por meio de mensagens PKCS#7 ou S/MIME maliciosas.
A CVE-2026-23111 consiste em um bug de use-after-free no subsistema nf_tables do Kernel Linux, permitindo que usuários locais sem privilégios obtenham acesso root e escapem de containers em configurações comuns de desktop e servidor que utilizam namespaces de usuário habilitados. Como já existem exploits disponíveis para Debian, Ubuntu e RHEL, administradores devem priorizar as atualizações de kernel e considerar a restrição do uso de namespaces de usuários não privilegiados até que a correção seja aplicada.
O governo britânico deu um prazo de três meses para que empresas de tecnologia implantem sistemas de varredura nos dispositivos para bloquear o compartilhamento de imagens de nudez infantil, sob ameaça de legislação. A Signal alertou que o client-side scanning e os mecanismos de verificação de idade criam novos vetores de vigilância e censura, expandem a superfície de ataque por meio de bancos de dados ou modelos de abuso atualizáveis e comprometem o modelo de confiança de privacidade da plataforma, mesmo que as imagens permaneçam armazenadas localmente.
Uma variante do worm Miasma comprometeu 73 repositórios da Microsoft no GitHub, concentrados principalmente no Azure. O ataque interrompeu Actions importantes, como o Azure/functions-action, e causou falhas em fluxos de CI/CD globalmente. Anteriormente, os invasores já haviam comprometido o pacote PyPI durabletask da Microsoft com um framework modular de intrusão em nuvem capaz de roubar segredos e implantar wipers. O worm explora agora agentes de codificação baseados em IA por meio de arquivos de configuração, coletando credenciais sempre que desenvolvedores acessam os repositórios infectados.
O app Apple Passwords passou a permitir a atualização automática de senhas fracas ou expostas utilizando Apple Intelligence. A funcionalidade amplia os mecanismos existentes de detecção de credenciais vulneráveis ao automatizar todo o processo de rotatividade das senhas.
O Patch Tuesday de junho de 2026 da Microsoft corrigiu cerca de 200 falhas, sendo quase 40 classificadas como críticas. As correções abrangem Windows, Azure, Office, Outlook, Exchange e ferramentas de IA.
A Anthropic anunciou o Claude Fable 5 como seu modelo de uso geral mais capaz, além do Claude Mythos 5, voltado para defensores de segurança cibernética com salvaguardas flexibilizadas. O Fable 5 direciona consultas sensíveis de cibersegurança, biologia e distillation para o Opus 4.8, utilizando classificadores robustos e retenção de logs por 30 dias. O Mythos 5 oferece suporte direto ao Project Glasswing e a uma trilha de biologia restrita, com preços definidos em 10 dólares por milhão de tokens de entrada e 50 dólares por milhão de tokens de saída.
A Check Point descobriu uma nova vulnerabilidade crítica que permite a atacantes remotos ignorar a autenticação em Mobile Access/SSL VPNs, Remote Access VPNs ou firewalls Spark para estabelecer uma conexão VPN. A falha afeta apenas implementações configuradas para usar a troca de chaves IKEv1, gateways que aceitam clientes de acesso remoto legados e que não exigem certificados de máquina para conexões. Durante a análise dessa falha, a empresa identificou uma segunda vulnerabilidade na implementação de validação de certificados IKEv1, que pode permitir que atacantes executem ataques do tipo man-in-the-middle.
A IA da Siri utiliza o Google Gemini com Apple Private Cloud Compute e Google Confidential Inference. O uso de contextos privados de mensagens, e-mail, notas e calendários pode otimizar buscas e agendamentos, mas agentes úteis podem vazar dados ao consultar mecanismos de busca ou LLMs. Ataques de prompt injection na caixa de entrada ou na web podem manipular o agente para expor informações sensíveis. Uma preocupação final envolve a conformidade e o reporte, já que um agente com acesso a dados e mensagens pode ser configurado para denunciar crimes ou encaminhar materiais a terceiros.
Em um esforço para entender melhor a segurança de skills de IA, a Trail of Bits criou quatro exemplos maliciosos capazes de contornar scanners utilizados por plataformas como Vercel, Cisco e ClawHub. O scanner do ClawHub pôde ser neutralizado pela inserção de 10.000 linhas entre um preâmbulo benigno e a prompt injection. Outras ferramentas foram superadas ao realizar o embedding de um payload malicioso dentro de arquivos docx ou bytecode Python compilado.
O WhatsApp bloqueou uma nova campanha do Pegasus, spyware desenvolvido pelo NSO Group, que utilizava links de spear-phishing em vez de vulnerabilidades na plataforma. A empresa removeu contas e grupos de teste associados e entrou com uma ação por desacato contra o NSO, alegando violação de uma liminar permanente vigente.
A Include Security descobriu que o SDK da Bright Data, embutido em apps gratuitos distribuídos por PlayWorks Digital, CloudTV e Viber nas plataformas Samsung, LG e Roku, converte silenciosamente as TVs em nós de saída de proxy residencial. A operação usa a flag ignore_screen_on:true, funcionando mesmo com a tela desligada, e impõe um limite mensal de 200 GB de dados trafegados pelo dispositivo do usuário.
Em fevereiro de 2025, a Lansing Community College identificou um acesso não autorizado aos seus sistemas por meio de credenciais comprometidas. O incidente expôs nomes, endereços, datas de nascimento, dados de carteira de motorista, números de Social Security e outros registros de 174.307 pessoas. A instituição oferece 24 meses de monitoramento de crédito e proteção de identidade aos afetados. Até o momento, não há evidências de exfiltração ou uso indevido dos dados, e nenhum grupo de ameaça foi responsabilizado.
O Mid and South Essex NHS Foundation Trust, um dos maiores grupos hospitalares da Inglaterra, confirmou o roubo de 2.380 registros de pacientes após um ataque cibernético a um fornecedor terceirizado de testes laboratoriais. O mesmo incidente comprometeu dados de outros hospitais. Entre as informações expostas estão nomes, datas de nascimento, números de identificação do NHS, endereços e resultados de exames.
Pesquisadores identificaram e reportaram uma vulnerabilidade já corrigida no editor Cursor que permitia execução de código na máquina da vítima apenas com a abertura de um repositório. A falha explorava um sandbox breakout no parser shouldBlockShellCommand, que não bloqueava comandos como export, cd e echo. O ataque comprometia o binário cursor-tunnel e usava a infraestrutura Dev Tunnels da Microsoft para obter acesso shell não autenticado.
O domínio polyfill.io, sequestrado por uma entidade chinesa em 2024, foi reativado no final de maio e começou a exibir prompts nativos de credenciais em sites que nunca removeram os scripts incorporados. Páginas da Toshiba, Muji, Zojirushi, FiNC Technologies, Ishiyaku Publishers, Hobonichi e TVs Samsung passaram a retornar respostas HTTP 401, enganando usuários com telas falsas de login geradas pelo próprio navegador.
A Black Hills Information Security lançou o GoGatoZ, ferramenta open source em Go para auditoria de GitLab CI/CD, e a utilizou para escanear 3.757 projetos públicos no gitlab.com. O resultado: 7.331 descobertas, sendo 1.580 de severidade alta. Cerca de dois terços dos projetos tinham ao menos uma configuração incorreta. As principais falhas envolvem pipelines de merge request em forks não protegidos, permitindo exfiltração de variáveis de CI , , runners Docker com privilégios elevados, padrões inseguros como curl | bash e injeção de comandos em scripts shell. A recomendação é fixar imagens de container em SHAs, migrar segredos para variáveis mascaradas e restringir runners auto-hospedados a branches protegidos.
O Conselho da cidade de York, no Reino Unido, enviou um e-mail a titulares do Blue Badge, documento que garante benefícios a pessoas com deficiência, sem usar o campo CCO. Com isso, centenas de endereços de e-mail ficaram visíveis para todos os destinatários, expondo indiretamente sua condição. O erro configura violação de privacidade sob o GDPR, com riscos reais de discriminação, phishing e uso indevido de dados pessoais. Autoridades exigem investigação imediata e correções estruturais na gestão de comunicações sensíveis.
A Astral introduziu duas funcionalidades de segurança em preview no gerenciador de pacotes Python uv: o 'uv audit', scanner nativo de dependências com desempenho 4–10× superior ao pip-audit graças às resoluções bloqueadas do uv; e uma verificação de malware baseada em OSV, ativada via UV_MALWARE_CHECK=1, que consulta avisos da MAL em cada sincronização para bloquear instalações de pacotes maliciosos. A medida corrige falha crítica em instaladores que permitem carregar distribuições mesmo após sua remoção do PyPI, um risco sério para integridade de lockfiles e cadeias de suprimento.