As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
14381 notícias encontradas
O Grafana Cloud introduziu uma nova API unificada para gerenciar allowlists, adotando um formato JSON estruturado e sensível à região. Essa atualização substitui as configurações legadas de allowlists por produto. Usuários devem, imperativamente, atualizar e validar a automação de seus firewalls, pois os endpoints antigos serão desativados em 31 de janeiro, garantindo a continuidade e segurança no acesso aos serviços da plataforma.
A Datadog ressalta a eficácia do método Single Step Instrumentation como a abordagem preferencial para implementar distributed tracing, simplificando significativamente a configuração. No entanto, a empresa também esclarece cenários em que a instrumentation manual ou personalizada se faz indispensável, como em ambientes não suportados por integrações prontas ou quando se busca uma visibilidade mais granular e aprofundada sobre o comportamento das aplicações.
A adoção de microservices é frequentemente vista como uma evolução técnica para substituir monólitos, mas sua principal contribuição reside na criação de fronteiras organizacionais. Essa abordagem permite que equipes assumam a propriedade e a entrega independente de componentes, promovendo autonomia. Contudo, essa liberdade acarreta complexidades inerentes a sistemas distribuídos, como duplicação de infraestrutura, dificuldades na depuração e aumento dos custos de coordenação. Portanto, a arquitetura de microservices é mais benéfica quando a escala organizacional justifica tais trade-offs, alinhando as equipes com a responsabilidade de ponta a ponta.
A Tachyon expôs acidentalmente credenciais "canary" para AWS, Anthropic e Postgres em um repositório público do GitHub. Embora o GitHub tenha detectado os segredos em segundos, sem alertas por e-mail, a AWS aplicou rapidamente a política AWSCompromisedKeyQuarantineV3. Contudo, essa política falhou em revogar as chaves ou impedir acessos a segredos. Em apenas sete minutos após a publicação, um atacante, utilizando TruffleHog e Boto3, conseguiu acessar o Secrets Manager. O tráfego posterior incluiu IPs da OVH, Tor e Gigahost, com tentativas de login no Postgres e leitura de tabelas isca. Apesar da rápida intrusão, os segredos coletados não foram utilizados e o propósito do acesso – ataque ou varredura defensiva – permanece inconclusivo, visto que os logs não indicam se alguma IA foi empregada na triagem.
O grupo BlueNoroff implementou uma nova e perigosa tática: links de reunião fraudulentos enviados via contatos sequestrados no Telegram. Ao clicar, vítimas são direcionadas a páginas falsas do Zoom ou Teams que, além de ativar webcams, coletam dados de carteiras de navegador via EIP-6963 e enumeram carteiras Solana. Um falso prompt de atualização de SDK aproveita o sequestro da área de transferência para executar um carregador PowerShell, instalando um VBScript. A JUMPSEC analisou o código, identificando um Trojan.NukeSped para Windows que desabilita o Windows Defender, varre o WMI, enumera extensões como MetaMask e extrai sessões do Telegram. A versão macOS emprega droppers Mach-O com ofuscação LLVM para exfiltrar credenciais via CLI de segurança e bots do Telegram. Recomenda-se vigilância contra exclusões do Defender, uso de PowerShell via clipboard, acesso a IndexedDB e domínios de C2.
Uma avaliação conjunta do UK AISI e CAISI sobre o modelo Kimi K3 da Moonshot AI, lançado em julho e com previsão de versão open-weight, posicionou-o significativamente atrás dos modelos de ponta dos EUA, mas à frente do GLM-5.2. O Kimi K3 atingiu 32% no ExploitBench da Carnegie Mellon e alcançou a etapa 17 no cyber range "The Last Ones", em contraste com os 76,2% e 28,5 etapas dos líderes americanos. Embora a lacuna diminua em certas métricas, o modelo não conseguiu execução arbitrária de código nas 41 amostras testadas. No entanto, completou o cyber range uma vez em dez tentativas, indicando capacidade autônoma contra redes corporativas mal defendidas. É crucial notar que as salvaguardas do Kimi K3 não impediram tentativas de exploits, e a avaliação mede a capacidade bruta, não a experiência do usuário final, uma distinção importante para a cibersegurança.
Uma falha grave na plataforma telemática My Eicher da VE Commercial Vehicles, utilizada por frotas de caminhões e ônibus indianas, expôs APIs internas sem autenticação. Essa brecha permitia o acesso a dados sensíveis de centenas de milhares de clientes, usuários, veículos e códigos OTP. Pesquisadores identificaram endpoints abertos que retornavam registros de usuários, senhas criptografadas e o histórico completo de OTPs desde 2021. A vulnerabilidade possibilitava a tomada de controle de contas, correlação de números de celular com OTPs e até redefinição de senhas via API, conferindo controle remoto e rastreamento de frotas inteiras. Cerca de 76.000 documentos de identidade foram expostos antes da correção em novembro de 2025, após múltiplas tentativas de divulgação.
Pesquisadores da ReliaQuest revelam uma nova e engenhosa campanha de phishing que tem como alvo usuários corporativos. Cibercriminosos comprometem configurações de DNS em redes Wi-Fi de hotéis, redirecionando as tentativas de login do Microsoft 365 para páginas fraudulentas controladas por eles. A tática emprega um fluxo de código de dispositivo, solicitando aprovação do usuário para a requisição de login e, assim, contornando a proteção de autenticação multifator (MFA). A ação visa o roubo de credenciais e a tomada de controle de contas, representando um risco significativo para a segurança corporativa.
As funções de administrador de Gerenciamento de Dispositivos Móveis (MDM) representam um ponto cego perigoso na segurança cibernética, equiparando-se ou superando a criticidade dos Administradores de Domínio. Elas permitem a execução de scripts arbitrários, configuração de perfis, wipes remotos e gerenciamento de certificados, expondo organizações a vulnerabilidades significativas. Infelizmente, a maioria das empresas falha em implementar controles de segurança robustos, como contas dedicadas, elevação de privilégios just-in-time e aprovações multifatoriais, além de conceder acesso excessivo à Graph API. Para mitigar esses riscos, é urgente corrigir as falhas nas políticas de segurança, restringir a implantação de scripts, fortalecer o registro de dispositivos e implementar alertas proativos para atividades de alto risco. A negligência dessas funções pode resultar em comprometimentos graves e perdas irreparáveis para as organizações.
Um banco de dados desprotegido, vinculado ao Tribeca Film Festival, foi descoberto pelo pesquisador Jeremiah Fowler, expondo informações sensíveis de mais de 163.000 usuários e milhares de contatos da indústria cinematográfica. Entre os dados comprometidos, encontravam-se endereços de e-mail, nomes, localizações do Facebook, endereços físicos, IPs e até hashes de senha bcrypt de inúmeras celebridades e figuras importantes, evidenciando a fragilidade na proteção de dados mesmo em eventos de grande visibilidade.
Pesquisadores da Zenity Labs identificaram e reportaram uma vulnerabilidade séria, batizada de 'AgentForger', no ChatGPT Workspace Agent Builder. A falha permitia que parâmetros de URL aceitassem estados de inicialização (como `template_name` e `initial_assistant_prompt`), submetendo automaticamente prompts ao carregar a página. Essa brecha possibilitava que cibercriminosos, através de um simples link de phishing enviado a um usuário logado e com conectores pré-autorizados, criassem silenciosamente um agente malicioso. Este agente poderia se conectar a integrações existentes (Outlook, Gmail, Slack, Drive, SharePoint e Teams) e alterar permissões de escrita de 'Sempre perguntar' para 'Nunca perguntar' sem a necessidade de uma nova tela de consentimento OAuth. O agente implantado, executado a cada cinco minutos, verificaria a caixa de entrada do invasor por mensagens com a tag 'TASK', exfiltrando dados e facilitando ataques de Business Email Compromise (BEC). A OpenAI corrigiu a vulnerabilidade em 8 de junho, e a recomendação é auditar agentes Workspace e desconfiar de deep links.
O GitHub concedeu uma recompensa de US$100.000 ao pesquisador @sagitz_, uma das maiores do seu programa de Vulnerability Reward. A quantia foi paga pela descoberta da CVE-2026-3854, uma vulnerabilidade crítica de execução remota de código (RCE) que permitia a exploração sem autenticação através da manipulação de URLs de repositório forjadas. Esta descoberta ressalta a importância de programas de recompensa para a segurança contínua de plataformas críticas como o GitHub, mitigando riscos significativos antes que sejam explorados por atores maliciosos.
O GitHub e o PyPI anunciaram a implementação de novas defesas temporizadas visando mitigar ataques à cadeia de suprimentos de software. Agora, por padrão, o Dependabot do GitHub reterá as pull requests de atualização de versão por um período de 72 horas. Essa medida estratégica permite que pacotes maliciosos, que porventura sejam sinalizados logo após sua publicação, possam ser removidos antes de serem integrados aos repositórios dos projetos, aumentando a resiliência contra ameaças e protegendo o ecossistema de desenvolvimento.
Pesquisadores alertam para uma séria falha no ambiente macOS do Claude Cowork, que permite a escalada de privilégios de uma máquina virtual (VM) desprivilegiada para o nível de root, com acesso direto ao sistema de arquivos do host. A cadeia de ataque explora a funcionalidade de user-namespace, um módulo de controle de tráfego do Linux e um bug recente de kernel, culminando na exploração do CVE-2026-46331 no act_pedit para escrita arbitrária. A persistência dessa ameaça é preocupante, dado o surgimento contínuo de vulnerabilidades semelhantes. Para mitigar o risco, é crucial desativar user namespaces não privilegiados, fortalecer o seccomp, bloquear o carregamento automático de módulos e binários auxiliares, além de restringir ou eliminar o compartilhamento de sistema de arquivos do host, protegendo assim dados sensíveis como chaves SSH.
A Microsoft anuncia o Project Perception, um sistema de segurança agêntico revolucionário, concebido para coordenar equipes virtuais de red team, blue team e green team. Esta plataforma multi-modelo emprega IA para identificar proativamente rotas de ataque, investigar riscos e implementar ações corretivas em identidades, endpoints, aplicações, dados, ambientes de nuvem e sistemas de IA. Com previsão de prévia pública para 3 de agosto, a solução visa otimizar a detecção, priorização e resposta contínua a ameaças, mantendo as equipes de segurança no controle estratégico da defesa cibernética corporativa.
O setor de tecnologia projeta um investimento de US$ 1 trilhão em infraestrutura de IA neste ano, elevando os gastos globais de TI para US$ 6,37 trilhões. Este cenário tem impactado diretamente os custos de hardware, serviços de nuvem e software empresarial. Diretores de TI (CIOs) expressam resistência, pois fornecedores integram a IA em seus produtos e transferem os custos da infraestrutura para os clientes, majoritariamente via modelos de assinatura e preços baseados em uso. A decisão estratégica de como absorver ou repassar esses custos se torna crucial para as empresas.
A Nvidia explora a possibilidade de garantir até US$ 250 bilhões em financiamento para um megaprojeto de data center de 10-gigawatts, com a potencial participação da SB Energy do SoftBank e da OpenAI. Adicionalmente, a empresa estaria buscando financiamento de até US$ 350 bilhões para suas GPUs. Esse movimento estratégico indica uma expansão significativa do boom da infraestrutura de IA, que vai além dos chips e da capacidade de nuvem, introduzindo grandes compromissos de crédito. Tal arranjo pode expor os provedores de tecnologia a riscos consideráveis, caso a demanda ou os retornos financeiros não correspondam às projeções otimistas do mercado.
A Payward, empresa controladora da renomada exchange de criptomoedas Kraken, anunciou a aquisição da divisão de wallets incorporadas da Magic Labs. Esta movimentação estratégica visa fortalecer a infraestrutura de custódia e acesso a ativos digitais. A Magic Labs, que desde 2018 facilitou a criação de mais de 60 milhões de wallets, agora se reposiciona como Newton Labs, direcionando seus esforços para o Newton Protocol, uma camada de autorização financeira on-chain lançada em beta na mainnet em junho. Esta aquisição se alinha à estratégia de expansão da Payward, que já integrou empresas como Bitnomial, Reap Technologies e NinjaTrader.
A Ondo anunciou o lançamento da Ondo Network, uma inovadora camada de execução que substitui a proposta original da Ondo Chain. A plataforma visa equiparar a velocidade das exchanges centralizadas, mas com a segurança da liquidação on-chain não custodial. Para o CEO Ian De Bode, o verdadeiro gargalo para o trading de alta performance não era a liquidação, mas sim a execução. A arquitetura divide a execução da verificação e liquidação, empregando enclaves de hardware seguros e uma rede descentralizada de atestadores para verificar o código aprovado, liquidando transferências de ativos no Ethereum. O Ondo Perps, que oferece futuros perpétuos 24/7 para ações e commodities usando RWAs tokenizados como garantia, é a primeira aplicação a operar na rede, mantendo o token ONDO como o elemento de governança central à medida que a rede evolui para um modelo mais descentralizado.
A Lido, proeminente plataforma de staking, deu o pontapé inicial em sua maior atualização desde 2023, movendo mais de 8 milhões de ETH em staking, avaliados em aproximadamente US$ 16,5 bilhões, para o novo design de validador pós-Pectra do Ethereum. A estratégia visa reduzir o número de validadores em cerca de um terço e diminuir as mensagens de atestação em aproximadamente 29% por época, sem comprometer as taxas de gás ou a velocidade das transações na rede. Essa transição transfere os 34 operadores de nós da Lido para o Curated Module v2, agora exigindo bonds de ETH bloqueado, uma inovação que adiciona uma camada de responsabilidade financeira ao sistema de reputação. Embora a Lido preveja uma redução anual de cerca de 0,28% nas recompensas de staking do protocolo, a medida reforça a segurança e eficiência do ecossistema.
