O BGP continua vulnerável a sequestros de rotas e vazamentos de caminho, comprometendo a integridade do tráfego global. Embora o RPKI ofereça proteção parcial, ele não impede caminhos forjados que iniciam com um ASN inválido. A Cloudflare passou a impor, de forma prática e escalável, que o primeiro AS no atributo AS_PATH seja o proprietário legítimo do prefixo, uma camada adicional de validação simples, eficaz e compatível com a infraestrutura existente.
CEVIU News
As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
610 notícias encontradas
O grupo de ransomware ShinyHunters afirmou ter roubado e divulgado 234 GB de dados da DentaQuest, operadora de benefícios odontológicos, depois que a empresa se recusou a pagar o resgate exigido. Os dados expostos incluem e-mails, nomes, telefones, documentos de identidade, informações de planos de saúde, datas de nascimento e gênero. O serviço Have I Been Pwned confirmou o incidente, apontando 2,6 milhões de registros comprometidos, dos quais 66% já estavam em sua base.
Pesquisadores da Token Security descobriram uma cadeia de ataque crítica no ambiente sandbox Python do Zapier: o comando os.system executava livremente, permitindo scraping de tokens STS órfãos do heap Lambda com permissões para ECR e repositórios privados. Imagens foram extraídas via API direta do ECR, contornando o monitoramento do Docker. Tokens NPM de alto privilégio também foram vazados via ARG/ENV em build, viabilizando takeover de contas. A mitigação exige validação de permissões IAM, isolamento de código não confiável, uso de BuildKit secrets, rotação de tokens NPM de CI e monitoramento de egress.
A Push Security identificou uma campanha de malvertising que abusa do recurso de compartilhamento de conversas do ChatGPT. Páginas falsas simulam alertas de suporte da Apple com notificações de falsa interrupção de serviço, induzindo o usuário a baixar um suposto app desktop. O clique redireciona para um site de phishing que imita o portal legítimo e instala um infostealer na máquina da vítima.
Um incidente de segurança ocorrido em 2025 na Universidade Columbia comprometeu 1,8 milhão de números de seguridade social (SSNs), atingindo inclusive pessoas sem qualquer relação com a instituição. A causa: registros de recrutamento e testes armazenados em uma base legada esquecida durante o processo de saneamento de dados. A universidade levou meses para responder aos afetados e agora enfrenta ação coletiva e escrutínio regulatório pela retenção prolongada e indevida de informações pessoais sensíveis.
Pesquisador testou modelos open-weight e o Opus 4.7 na detecção da vulnerabilidade crackaddr em quatro variantes. Com o harness do Claude Code, apenas Opus 4.7 e GLM-5.1 identificaram todas consistentemente. Outros modelos performaram melhor com o IronCurtain, harness desenvolvido para testes de segurança. O salto do GLM-5 para o GLM-5.1 evidencia o papel decisivo do post-training na eficácia dessas ferramentas para pesquisa de vulnerabilidades.
O preview Mythos da Anthropic identificou uma vulnerabilidade RCE antiga no FreeBSD. O framework AISLE reproduziu a falha em modelos open-weight como Gemma e GPT-OSS, varrendo o subsistema sys/rpc. Modelos detectam o stack overflow em arquivos isolados, mas análises amplas geram falsos positivos. Uma etapa de reachability, filtrando caminhos controláveis pelo atacante, preserva a CVE real e transforma saídas ruidosas em listas tratáveis para revisão humana.
A CVE-2026-23479, falha de use-after-free na função unblockClientOnKey() do Redis, afeta todas as versões stable desde a 7.2.0 e foi classificada com severidade 7.7 (High). O bug permite que atacantes autenticados encadeiem heap leak via Lua, despejo forçado e sobrescrita GOT de strcasecmp() pela function system(), resultando em execução remota de código com privilégios do daemon. Ambientes auto-hospedados devem atualizar imediatamente para as versões 7.2.14, 7.4.9, 8.2.6, 8.4.3 ou 8.6.3, ou restringir comandos CONFIG, @scripting e stream.
A SafeBreach descobriu o ataque 'Fake Context Alignment': notificações de WhatsApp, Slack e SMS eram usadas para injetar instruções ocultas que o Gemini processava silenciosamente. O exploit permitia controlar dispositivos Google Home, iniciar chamadas no Zoom, falsificar contatos e corromper a memória de longo prazo do assistente. O Google corrigiu a falha em meados de novembro de 2025 com melhorias nos classificadores de segurança.
Um ataque à supply chain da versão Windows do Hola Browser resultou na inclusão de um minerador de Monero não assinado (me.exe). O malware adiciona uma exclusão ao Windows Defender, copia-se para a pasta Program Files como HolaMonitorService.exe e se registra como serviço de inicialização automática (hola_monitor_svc), ativando a mineração sempre que a máquina fica ociosa.
A Disruption Week reuniu forças de segurança e big techs para desativar mais de 1,4 milhão de contas fraudulentas, incluindo páginas, contas Microsoft e kits Starlink, vinculadas a esquemas no Camboja, Laos e Birmânia. As operações envolviam tráfico de trabalhadores forçados a aplicar golpes de investimento em criptomoedas. Resultado: 63 prisões e bloqueio de US$ 3,8 milhões em ativos digitais.
A Ultrahuman, fabricante de wearables de saúde, notificou clientes sobre uma violação de dados em seu sistema de análise interno. Invasores acessaram informações como contatos, detalhes de contas, histórico de pedidos e transações. A empresa confirmou que dados financeiros e de saúde não foram comprometidos no incidente.
A Unit 42 rastreou a Operação FlutterBridge, uma campanha com motivação financeira que distribui o backdoor FlutterShell para macOS por meio de anúncios verificados pelo Google, veiculados por empresas de fachada. Os payloads, como PodcastsLounge e PDF-Brain, possuem notarização da Apple e não apresentam detecções no VirusTotal. O FlutterShell utiliza uma ponte JavaScript-to-native via WebView para buscar comandos de runtime, realiza fingerprinting de hosts pelo IOPlatformUUID e sequestra buscas no Chrome. Versões recentes também exfiltram documentos sob o pretexto de funcionalidades de IA para resumo de texto. Defensores devem monitorar domínios C2 como atsheisdomestic[.]org, etoftheappyrince[.]org e healightejustb[.]org, além de verificar hashes SHA256 e comportamentos suspeitos no Chrome. Ressalta-se que a notarização da Apple não deve ser considerada uma garantia de safety.
O Programa Mundial de Alimentos (WFP) confirmou que investiga uma violação de dados que expôs informações de 600 mil famílias em Gaza. A exposição ocorreu por meio de uma falha na sua aplicação de autorregistro (SRA), utilizada por palestinos na região. Um denunciante anônimo apontou que a organização levou duas semanas para notificar os indivíduos afetados por meio do Telegram.
Após o pesquisador Nightmare Eclipse publicar PoCs para diversas vulnerabilidades não corrigidas da Microsoft, incluindo RedSun CVE-2026-41091, UnDefend CVE-2026-45498, BlueHammer CVE-2026-33825, YellowKey CVE-2026-45585, além de GreenPlasma e MiniPlasma, a empresa enfrentou críticas severas. Uma referência feita pela Microsoft em 27 de maio à sua Digital Crimes Unit foi interpretada como uma ameaça legal devido a uma disputa de disclosure. Em resposta, a companhia esclareceu em 1º de junho que não tomará medidas contra a pesquisa de segurança legítima.
A Microsoft anunciou o Coreutils para Windows durante a conferência Build 2026. Trata-se de um pacote instalável via WinGet, construído sobre o projeto uutils baseado em Rust, que disponibiliza utilitários Linux como cat, cp, find, grep, ls e rm por meio de um único binário coreutils.exe com hardlinks NTFS. Comandos com dependências POSIX, como chmod, chown, kill e whoami, foram omitidos nesta implementação.
Durante a conferência Build 2026, a Microsoft anunciou o lançamento do Scout, definido como seu primeiro agente do tipo Autopilot. Desenvolvido sobre o OpenClaw, o Scout será integrado ao Microsoft 365 para levar a tecnologia a um público empresarial. A solução está disponível em preview privado e exige configuração de política no Intune, atestação de opt-in e uma licença do GitHub Copilot.
A Anthropic expandiu sua iniciativa de busca por vulnerabilidades via IA, o Project Glasswing, incluindo mais 150 empresas focadas em infraestruturas críticas como energia, água, saúde, comunicações e hardware. A estimativa é que ataques bem-sucedidos em bases de código desses setores possam impactar mais de 100 milhões de pessoas por parceiro. Embora a iniciativa ajude na descoberta de bugs, analistas alertam que o gargalo real está na execução, já que fornecedores e SOCs já enfrentam dificuldades para validar, priorizar e aplicar patches em falhas conhecidas, aumentando o risco de transformar problemas de visibilidade em crises operacionais. Pesquisadores também apontam lacunas de confiança em relação aos requisitos de segurança para novos participantes e na precisão de patches gerados por IA, além de preocupações sobre a exposição de modelos que já registraram episódios de vazamento.
A CISA adicionou a CVE-2024-21182, uma falha no Oracle WebLogic Server com pontuação CVSS 7.3, ao seu catálogo de vulnerabilidades exploradas conhecidas. A brecha permite que atacantes não autenticados acessem dados críticos, e administradores federais têm até a próxima quinta-feira para aplicar as correções nas versões 12.2.1.4.0 e 14.1.1.0.0. Embora o bug tenha sido corrigido no Critical Patch Update de julho de 2024, pesquisadores apontam que a adição tardia ao catálogo KEV reflete um padrão comum, onde a demora na aplicação de patches expõe organizações a riscos significativos. Considerando que atacantes frequentemente exploram vulnerabilidades poucas horas após a divulgação, o prazo médio de 60 dias para correção é insuficiente. Especialistas reforçam que a pontuação moderada do CVSS subestima o risco real do cenário atual, sendo essencial tratar a atualização como uma prioridade imediata para mitigar a exploração ativa do ambiente.
A Calif divulgou uma vulnerabilidade denominada HTTP/2 Bomb, um ataque remoto de negação de serviço que afeta nginx, Apache httpd, Microsoft IIS, Envoy e Cloudflare Pingora em suas configurações padrão. Identificada com o auxílio do Codex da OpenAI, a falha encadeia duas técnicas antigas: uma bomba de referência indexada HPACK, onde cada referência de 1 byte força alocações de 70 a 4.000 bytes, e um travamento de janela de controle de fluxo que retém essa memória. Isso permite que um único cliente consuma cerca de 32 GB em Apache httpd ou Envoy em apenas 20 segundos. O problema decorre de uma interpretação falha na RFC 7541, que ignorou o risco de pinning de memória via HTTP/2, resultando na mesma classe de bug em diversas implementações.