A GoDaddy identificou cerca de 1.980 sites WordPress infectados com um malware que utiliza comentários em perfis da comunidade Steam como infraestrutura C2 do tipo dead-drop. Os ataques codificam payloads em seis caracteres Unicode invisíveis que, ao serem decodificados, revelam uma URL responsável por entregar arquivos JavaScript disfarçados de bibliotecas legítimas. O processo culmina na instalação de um backdoor PHP, ativado pelo cookie de autenticação tEcaKKXEsb.
CEVIU News
As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
15894 notícias encontradas
Em resposta a ataques recentes à supply chain, a AWS divulgou recomendações baseadas em defesa em profundidade. A empresa sugere o uso de credenciais de curto prazo e MFA para reduzir o impacto de credenciais comprometidas, centralização de dependências em repositório de artefatos e implementação de assinatura de artefatos. Equipes de desenvolvimento devem integrar ferramentas de escaneamento de dependências em todo o ciclo de vida do software, com monitoramento contínuo e alertas configurados adequadamente.
Um pesquisador da Permiso identificou uma falha de prompt injection no ChatGPT: o modelo interpreta instruções em Markdown presentes em páginas web como se fossem comandos internos. Um exploit demonstrado em repositório no GitHub induziu o modelo a exibir links e QR codes maliciosos para usuários. A OpenAI recebeu o relatório em 29 de abril, mas inicialmente o classificou como não reprodutível e, depois, como duplicado.
O pesquisador Asim Manizada revelou o CIFSwitch, uma vulnerabilidade de lógica no cliente CIFS do kernel Linux e no cifs-utils presente desde 2007. A falha permite que processos sem privilégios explorem chamadas request_key para elevar permissões até root, manipulando namespaces de montagem e configurações de NSS. Até a adoção dos patches, as mitigações recomendadas são: bloquear o módulo cifs, remover o cifs-utils quando desnecessário e substituir regras específicas de request-key.
O gerenciador de senhas Dashlane suspendeu temporariamente contas de usuários após sistemas automatizados de proteção identificarem tentativas repetidas de registrar novos dispositivos e inserir tokens de autenticação. O acesso às contas e ao 2FA foi brevemente interrompido e, em seguida, restaurado. Usuários relataram logins suspeitos originados da Coreia e da Rússia, além de confusão causada por e-mails de suspensão com logotipo desatualizado da empresa.
O Atlas Menu, plataforma de cheats para Grand Theft Auto V, sofreu uma violação de dados que expôs e-mails, nomes de usuário, senhas com hash, IPs e tickets de suporte de cerca de 64 mil usuários. O atacante publicou as informações no GitHub, alegando ter como alvo um golpista. O site permanece fora do ar. Quem reutilizou senhas em outros serviços corre risco elevado e deve redefinir credenciais e monitorar acessos suspeitos.
O Pathfinding Labs é uma coleção open-source com mais de 100 ambientes AWS intencionalmente vulneráveis, cobrindo escalação de privilégios, configurações incorretas e combinações tóxicas. Via CLI em Go, equipes implantam laboratórios em sandbox usando módulos Terraform com scripts demo_attack.sh para validar exploits de ponta a ponta. Blue teams detectam lacunas no CSPM; red teams testam ferramentas contra grafos de ataque. Atenção: os labs criam roles permissivas, buckets S3 públicos e Lambdas expostas, use apenas em ambientes isolados e destrua os recursos ao finalizar.
O pesquisador RyotaK descobriu que falhas no GitHub Actions do Claude Code, combinando bypass de permissões e prompt injection, permitiam a atacantes executar workflows em repositórios públicos, ler variáveis de ambiente via /proc/self/environ e exfiltrar credenciais OIDC para obter tokens com acesso de escrita. A cadeia de exploração partia de um simples issue e chegava ao controle total do repositório, incluindo o código da claude-code-action da Anthropic. A empresa corrigiu o gatilho do GitHub App, restringiu o uso do gh, desabilitou resumos de workflow por padrão e passou a ignorar edições em issues após o disparo. Equipes devem auditar permissões e evitar expor segredos em fluxos que processam entradas não confiáveis.
Um relatório do inspetor-geral do Departamento de Comércio dos EUA apontou falhas graves de gestão no National Vulnerability Database (NVD) do NIST. A auditoria revelou que analistas gastam cerca de 80% do tempo recalculando pontuações de severidade e identificando produtos afetados, informações que já constam nas próprias submissões de vulnerabilidades. O resultado: duplicação de esforços, desperdício de recursos e um backlog crescente de CVEs sem análise.
Charlie Eriksen, da Aikido Security, descobriu que o pacote npm codexui-android exfiltrava credenciais da OpenAI, access_token, id_token e refresh_token permanente, desde a versão 0.1.82. O código malicioso chunk-PUR7OUAG.js existe apenas no pacote publicado, ausente no repositório GitHub. Os dados eram enviados ao domínio sentry.anyclawstore, disfarçado de telemetria Sentry. O mesmo operador distribui apps Android que contornam a Play Store para instalar o pacote via PRoot. Recomenda-se revogar tokens afetados e tratar divergências entre pacote publicado e repositório como sinal crítico de ataque à cadeia de suprimentos.
Cibercriminosos estão explorando técnicas de prompt injection contra o assistente de suporte de IA do Instagram para sequestrar contas. O ataque combina uso de VPN para falsificar a localização geográfica da vítima com instruções maliciosas ao assistente, induzindo-o a vincular um novo e-mail ao perfil e disparar um link de redefinição de senha para o endereço controlado pelo atacante, resultando em acesso indevido à conta.
Chrome, Safari e Firefox podem vazar URLs completas pelo cabeçalho Referer quando uma injeção de HTML define uma política de referenciador permissiva e aciona redirecionamentos, mesmo sob CSP estrita. O ataque consiste em injetar um formulário falso de login, deixar o gerenciador de senhas preencher as credenciais, enviá-las via GET e usar tags meta referrer e refresh para transmitir e-mail e senha a um servidor malicioso. Com um único clique da vítima, os três navegadores são vulneráveis a esse vetor.
O inaugural Critical Security Patch Update da Oracle corrige 35 vulnerabilidades, entre elas 11 classificadas como críticas. O destaque é a CVE-2026-46840, uma falha de desvio de gateway sem autenticação no Oracle REST Data Services com pontuação CVSS máxima de 10.0, o mais alto grau de severidade possível, exigindo atenção imediata de equipes de segurança.
Novas pesquisas apontam que empresas estão menos dispostas a contratar recém-formados para vagas que podem ser exercidas remotamente. O dado contraria a narrativa de que a IA seria a principal responsável pela exclusão desses profissionais, e coloca o modelo de trabalho no centro do debate.
A Coalizão para Inovações em Preparação para Epidemias (CEPI) destinou mais de US$ 60 milhões para acelerar três candidatas a vacinas contra o ebolavírus Bundibugyo (BDBV). Embora existam duas vacinas licenciadas para Ebola, ambas cobrem cepas diferentes. A lacuna de proteção complica o controle da doença na República Democrática do Congo, onde conflitos armados, alta mobilidade populacional e carência humanitária agravam ainda mais a situação.
A Intel quer reconquistar espaço no mercado de IA com o Crescent Island, sua nova GPU voltada para tarefas de inference. O chip aposta em tecnologias de memória e refrigeração mais acessíveis para entregar desempenho competitivo com custo menor do que as soluções oferecidas por Nvidia e AMD.
A Nvidia revelou protótipos de uma nova geração de computadores desenvolvidos especificamente para rodar agentes de IA. Os dispositivos usarão chips de IA redesenhados pela própria empresa. A iniciativa conta com cerca de 30 modelos de notebooks e 10 de desktops de fabricantes como Dell, Lenovo, Microsoft, HP, Asus e MSI, com foco no segmento premium.
Uma série de sequestros de contas no Instagram explorou uma brecha surpreendentemente simples: atacantes usavam VPN em locais próximos à vítima e pediam à IA de suporte da Meta que a conta havia sido hackeada, solicitando códigos de verificação para um e-mail diferente. O sistema não verificava se o e-mail informado pertencia ao dono real da conta. As contas tomadas eram vendidas ou usadas para propaganda. A falha aparentemente já foi corrigida.
A plataforma de lançamento da Blue Origin danificada em explosão pode levar até 2028 para ser completamente restaurada, segundo declarações do administrador da NASA, Jared Isaacman. O incidente terá impacto direto nos planos de clientes estratégicos da empresa, incluindo NASA, Amazon e AST SpaceMobile.
A BYD planeja introduzir baterias de estado sólido em seus veículos elétricos até 2027, tecnologia que promete autonomias superiores a 1.000 km por carga. Os primeiros modelos devem chegar pelas submarcas de luxo da montadora antes de alcançar o mercado de massa. A corrida tecnológica também envolve concorrentes como SAIC Motor e Changan Automobile, que desenvolvem suas próprias soluções de bateria de próxima geração.