O Bitwarden CLI foi brevemente comprometido depois que atacantes carregaram um pacote npm malicioso contendo um stealer de credenciais. Esse stealer tentou roubar uma ampla gama de credenciais de desenvolvedores, incluindo tokens npm, tokens GitHub, chaves SSH e credenciais de cloud. A Bitwarden confirmou que os atacantes usaram uma GitHub Action comprometida da Checkmarx e que a própria Bitwarden não foi comprometida.
CEVIU News
As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
16837 notícias encontradas
A Microsoft lançou uma correção urgente para a falha CVE-2026-40372 no Microsoft.AspNetCore.DataProtection. Esta vulnerabilidade permite que atacantes não autenticados forjem payloads de autenticação com suporte HMAC e obtenham acesso em nível de SYSTEM em implementações do ASP.NET Core que não rodam em Windows. Administradores devem atualizar para a versão 10.0.7, rotacionar o DataProtection key ring e, em seguida, rotacionar quaisquer tokens ou segredos de longa duração emitidos enquanto os sistemas estavam vulneráveis, pois esses artefatos podem persistir mesmo após a aplicação da correção.
Após a instalação, o Claude Desktop se pré-autoriza a acessar diversos navegadores para operação automatizada. Ele faz isso utilizando Native Messaging e pré-autoriza os navegadores sem qualquer permissão do usuário, mesmo que eles ainda não estejam instalados. Este comportamento viola as leis de privacidade da União Europeia.
A Rituals sofreu uma violação de dados que expôs nomes de clientes, detalhes de contato, gênero e datas de nascimento (mas sem senhas ou informações de pagamento).
Dados de 500.000 voluntários do UK Biobank foram encontrados listados para venda no Alibaba por uma fonte desconhecida. Aparentemente, o incidente ocorreu após três instituições de pesquisa chinesas terem baixado bulk datasets em desacordo com as regras contratuais. Em resposta, o UK Biobank revogou o acesso dessas instituições, suspendeu todo o acesso à plataforma, limitou o tamanho dos arquivos de exportação e irá implantar verificações automatizadas nas exportações de dados. Os campos expostos incluem dados demográficos, status socioeconômico, estilo de vida e marcadores biomédicos detalhados, elevando o risco de re-identificação, mesmo sem identificadores explícitos.
A página "Press Lounge" da Seiko USA foi desfigurada com um aviso de ransomware, onde os atacantes afirmam ter invadido seu banco de dados Shopify e roubado informações de clientes, histórico de pedidos e dados de envio, mas sem dados financeiros.
O Amazon CloudWatch agora inclui Container Insights com métricas OpenTelemetry para Amazon EKS, fornecendo métricas enriquecidas de alta cardinalidade e capacidades de consulta flexíveis via PromQL com dashboards pré-configurados. A solução suporta implantação facilitada, detecção automática de hardware e publicação dual de métricas, oferecendo observability aprimorada sem custo durante o período de preview.
O AWS DevOps Agent agora se integra ao MCP Server do Salesforce para investigar automaticamente incidentes de infraestrutura quando casos de suporte ao cliente são criados, reduzindo o tempo médio de resolução de horas para minutos ao eliminar transferências manuais entre as equipes de suporte e engenharia. A integração utiliza a automação do Salesforce Flow para disparar investigações autônomas que analisam logs, identificam as causas-raiz e geram planos de mitigação, publicando as descobertas diretamente no caso do cliente sem exigir intervenção de um engenheiro DevOps.
Uma vulnerabilidade SSRF crítica no LMDeploy, um toolkit de serviço de modelos de IA com 7.798 estrelas no GitHub, foi explorada apenas 12 horas e 31 minutos após sua divulgação pública. Atacantes utilizaram o carregador de imagem de visão-linguagem para realizar port-scan em serviços de metadados da AWS, Redis, MySQL e outros alvos internos em uma sessão de oito minutos. A rápida exploração ocorreu sem nenhum código de prova de conceito público, destacando como avisos de segurança detalhados agora servem como blueprints para exploits na era da codificação assistida por IA. Isso é particularmente irônico, visto que a vulnerabilidade mirou um framework de serviço de LLM.
A PagerDuty.org anunciou uma nova coorte de impacto com oito organizações globais de saúde e resposta a crises, fornecendo financiamento, ferramentas orientadas por IA e suporte operacional para escalar serviços, melhorar o acesso à saúde e fortalecer a resiliência em comunidades carentes em todo o mundo.
A CNCF migrou seus serviços Kubernetes de ingress-nginx para a Gateway API, utilizando o Envoy Gateway. Essa mudança visa melhorar a flexibilidade e a arquitetura, ao mesmo tempo em que endereça desafios como gerenciamento de certificados, balanceamento de carga e configuração TLS. A transição reflete o movimento em direção a alternativas de ingress escaláveis e multi-camadas, após o fim do suporte a ingress-nginx.
As plataformas cloud atuais apresentam falhas fundamentais, são excessivamente restritivas, ineficientes (especialmente em armazenamento e rede), e baseadas em abstrações que tornam tarefas computacionais simples desnecessariamente complexas.
O Kubernetes v1.36, codinome "Haru", foi lançado com 70 melhorias, incluindo 18 funcionalidades que avançaram para `stable`, como autorização de API do kubelet granular, user namespaces para isolamento de containers e snapshots de grupo de volumes para backups crash-consistent em múltiplos volumes. O `release` também descontinuou o campo `externalIPs` nas specs de Service, vulnerável à segurança (com remoção prevista para v1.43), e desabilitou permanentemente o tipo de volume `gitRepo` para prevenir exploits críticos de nível root. Além disso, foram introduzidas funcionalidades `alpha` como HPA `scale-to-zero` e suporte nativo a histogramas para `monitoring` de alta resolução.
Ataques DDoS recentes em Bluesky e Mastodon evidenciam que a "descentralização" por si só não garante resiliência. O que realmente importa é como os sistemas são efetivamente operados e mantidos na prática. Atualmente, o fediverso demonstra maior resiliência devido a uma vasta rede de servidores operados independentemente, impulsionada por usuários. O futuro das redes sociais abertas, portanto, depende menos de seus protocolos e mais da disposição de pessoas e organizações em construí-las e sustentá-las ativamente.
Pyroscope 2.0 é um banco de dados de profiling contínuo open source que elimina a replicação do write-path e reduz o armazenamento de símbolos em até 95%, tornando sua operação em escala significativamente mais econômica. Sua nova arquitetura, que já processou 19.5PB de dados na Grafana Cloud desde abril de 2025, inclui queriers stateless com escalabilidade elástica e suporte nativo para o sinal alpha Profiles do OpenTelemetry.
O Datadog Governance Console centraliza o gerenciamento de observability ao oferecer visibilidade em toda a organização, insights em nível de produto e controles automatizados para aplicar padrões. A ferramenta ajuda a reduzir desperdícios, prevenir o drift de configuração, melhorar a segurança e escalar a governança de forma eficiente por meio de monitoramento proativo e aplicação das políticas.
O ‘imposto da mesmice’ é a penalidade invisível que os sistemas de IA aplicam a conteúdos genéricos e repetitivos. Quando o conteúdo carece de originalidade ou de uma perspectiva distinta, ele é filtrado ou absorvido em uma única resposta resumida, frequentemente sem atribuição. Como resultado, a identidade da marca desaparece, o conteúdo é tratado como de baixo valor, e o trabalho pode até informar as saídas da IA sem gerar visibilidade ou tráfego.
Agora é possível construir dashboards com as estatísticas de performance do seu site ou outros dados de busca, utilizando o novo recurso de live artifacts no Claude Cowork.
Para otimizar a aquisição e retenção de clientes no Google Ads, é essencial carregar dados de clientes primários (first-party customer data) para criar listas de Customer Match e identificar clientes de alto valor. Utilize essas listas no Google Ads para definir ajustes de lance mais altos para aquisição, revisando as sugestões do Google antes de aplicá-las. Garanta que as listas sejam suficientemente grandes e enriquecidas com identificadores como e-mail, telefone e endereço para melhorar as taxas de correspondência (match rates). Separe as campanhas por estágio do ciclo de vida do cliente, pois as regras de lance e a comunicação (messaging) diferem para clientes novos, recorrentes e inativos. Para retenção, crie listas de clientes inativos ou de alto valor que já compraram e utilize o Performance Max para aplicar lances mais altos e segmentação de reengajamento. Monitore os relatórios cuidadosamente, pois o Google pode adicionar um uplift no valor de conversão, o que pode inflar os números de ROAS.
Com a IA tornando a criação de software rápida e econômica, a diferenciação migra para o design, que se torna o principal impulsionador de atenção e sucesso do produto. Ferramentas como Canva e Figma ilustram essa mudança: não-designers representam cerca de 66% dos usuários do Figma, e o Canva atinge 265 milhões de usuários mensais com aproximadamente $4 bilhões em ARR. Embora as ferramentas de design com IA possam gerar resultados utilizáveis em menos de 60 segundos, esses resultados muitas vezes parecem genéricos e sem personalidade. Isso cria uma necessidade estratégica para um design com um ponto de vista claro, que reflita uma identidade distinta e atraia um público específico. A vantagem de marketing agora advém da construção de produtos que pareçam distintos e memoráveis, em vez de apenas amplamente funcionais.