Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

O governo do Reino Unido apresentou um plano amplo para proteger os cabos e dutos submarinos que transportam a maior parte dos dados internacionais e da energia do país. Pela proposta, danificar intencionalmente a infraestrutura submarina pode render até 14 anos de prisão, enquanto proprietários de navios podem enfrentar multas sem limite por causar danos.

O documento também cria novas obrigações de segurança e resiliência para operadoras de cabos de telecomunicações submarinos, além de poderes de direção de segurança nacional para o governo intervir quando os riscos forem considerados graves. Autoridades citam atividade russa suspeita nas águas britânicas como parte do motivo para o endurecimento.

Uma consulta pública de 12 semanas está aberta, e o governo pede que indústria e especialistas ajudem a moldar as regras finais. O plano também trata da tecnologia de sensoriamento por fibra óptica instalada nos cabos, capaz de detectar atividades no mar, mas que levanta preocupações de segurança nacional se dados sensíveis vazarem.

Reino Unido propõe penas de 14 anos para sabotagem de cabos submarinos

#cybersecurity #national-security #critical-infrastructure #uk #undersea-cables #sabotage

Ver detalhe →

Um conjunto de vulnerabilidades críticas no PHP, a linguagem de código aberto que sustenta cerca de 70% dos sites do mundo, obrigou governos e empresas a retirarem páginas do ar para evitar invasões. As falhas permitiam que criminosos assumissem o controle de servidores sem precisar de login ou senha. A atualização de correção já existe, mas o estrago na confiança é grande: no Brasil, a Anatel e tribunais suspenderam por precaução o acesso ao SEI.

O detalhe mais incômodo é o tempo. A Fundação PHP afirma que os primeiros sinais surgiram ainda em 2024, durante uma auditoria externa de segurança, e mesmo assim a correção ficou parada por meses. Os motivos escancaram a fragilidade do modelo de código aberto do qual todo mundo depende: dificuldade de decisão na equipe de segurança, ausência de uma forma conhecida de explorar a falha e a sobrecarga dos poucos desenvolvedores que realmente entendem o funcionamento do PHP, quase todos financiados por fundações ou atuando como voluntários.

Empresas de segurança confirmaram as falhas de forma independente e encontraram novas formas de explorá-las, usando modelos de IA para revelar brechas que passaram mais de uma década sem resposta. A lição é direta: a infraestrutura que roda Facebook, Wikipedia e WordPress não pode continuar dependendo de um punhado de voluntários exaustos. Financiar a manutenção do código aberto deixou de ser caridade e virou questão de segurança global.

Falha crítica no PHP tirou sites do ar no mundo todo, e a correção levou dois anos

#ai #cybersec #open-source #cybersecurity #vulnerability #infrastructure #php

Ver detalhe →

eMudhra está saindo do mercado global de certificados SSL/TLS após o comprometimento das chaves privadas de oito autoridades certificadoras intermediárias. A empresa oferecerá certificados emitidos pela Sectigo como alternativa e manterá os serviços de revogação e status até que todos os certificados afetados expirem ou sejam substituídos.

O caso acende um alerta para a infraestrutura de confiança que vai além dos navegadores: keystores Java, contêineres, VPNs, balanceadores de carga e dispositivos embarcados podem tomar decisões de confiança próprias. Equipes de segurança precisam mapear essas dependências agora, definir prazos de migração e não tratar uma CA de transição como destino final.

O Mozilla já removeu da sua trust store a raiz que assinou os intermediários comprometidos, e a remoção no Chrome deve chegar a todos os dispositivos até o fim de outubro. A mensagem é clara: higiene de certificados e verificação independente de confiança não são opcionais.

eMudhra deixa mercado global de certificados TLS após comprometimento de chaves de assinatura

#cybersec #cyberattack #data-privacy #tls #chrome #certificates #sectigo

Ver detalhe →

O Pillow, biblioteca de imagens presente em incontáveis projetos Python, carrega uma falha crítica de segurança que pode transformar um arquivo EPS manipulado em execução remota de código. A vulnerabilidade, registrada como CVE-2026-112900, explora o modo como o Pillow repassa nomes de arquivos ao Ghostscript e afeta versões da 2.6.0 até a 12.3.0. Com cerca de 436 milhões de downloads mensais, o alcance do problema é gigantesco.

Os mantenedores lançaram o Pillow 13.0.0 com correções para essa e outras falhas graves, incluindo problemas de corrupção de memória em JPEG e TIFF. Ainda não há ataques ativos conhecidos, mas equipes devem atualizar imediatamente e reconstruir containers ou imagens base que empacotem versões antigas. Mantenha o Ghostscript fora de hosts que processam uploads não confiáveis e nunca passe nomes de arquivos controlados pelo usuário para Image.open().

Falha crítica no Pillow permite execução de código via imagens manipuladas

#security #open-source #cybersecurity #vulnerability #python #pillow #ghostscript

Ver detalhe →

Uma nova ferramenta de ataque está transformando modelos de IA expostos em cúmplices. O honeypot da Symantec capturou um agente que varre a internet em busca de endpoints de modelos desprotegidos e usa a capacidade computacional de outra pessoa para planejar invasões, explorar frameworks web, roubar bancos de dados e credenciais e instalar mineradores de criptomoedas, tudo sem pedir aprovação humana. Os operadores empurram a conta para as vítimas e permanecem anônimos.

Durante o monitoramento, foram registradas mais de 127 mil requisições externas, incluindo chaves de API roubadas e sondagens por arquivos de configuração expostos. O prompt do agente usava um jailbreak para colher segredos e um modo 'Skynet' para continuar atacando sozinho, com até 100 mil etapas. Se você opera um serviço de IA, gateway de modelos ou servidor MCP, assuma que ele será encontrado. Proteja seus endpoints antes que seu modelo vire arma nas mãos de criminosos.

Hackers estão sequestrando modelos de IA expostos para lançar ciberataques autônomos

#ai #hacking #cybersecurity #privacy #llmjacking #symantec

Ver detalhe →

As equipes de segurança acabam de receber uma nova leva de ferramentas feitas para acelerar a defesa sem abrir mão dos controles. O Virtual Patching da Sweet Security promete proteção com um clique para workloads de nuvem e IA em execução, permitindo blindar vulnerabilidades conhecidas enquanto a correção definitiva ainda está em desenvolvimento.

O NexusAI da ThreatModeler leva modelagem de ameaças com IA para a plataforma Nexus; o PolicyArc da IDENTOS oferece acesso segmentado e com prazo limitado para agentes de IA; e os controles ampliados de zero trust da AppGate para OT adicionam monitoramento de sessões em tempo real e o poder de encerrar sessões de risco. A mensagem é clara: automação e governança de acesso estão se tornando partes centrais da defesa moderna.

Esta semana em infosec: patch instantâneo na nuvem, threat modeling com IA e controle de acesso mais rígido

#cybersecurity #infosec #cloud-security #zero-trust #threat-modeling

Ver detalhe →

A Capcom confirmou um incidente de segurança de grande porte no Capcom ID, com 11,7 milhões de registros de e-mails expostos em todo o mundo. A empresa afirma que senhas e dados de cartão de crédito não foram comprometidos, mas 196 contas tiveram alterações não autorizadas de senha.

Jogadores devem ficar atentos a mensagens fraudulentas que se passam pela equipe da Capcom, em uma semana já caótica para a segurança na web. O caso reforça a importância de proteger contas e reforçar a privacidade em serviços de games.

Vazamento no Capcom ID expõe 11,7 milhões de e-mails

#gaming #cybersecurity #privacy #data-breach #capcom #account-security

Ver detalhe →

$Uma grande reviravolta na confiança da web está abalando o sistema de certificados. A eMudhra, autoridade certificadora indiana, está saindo do negócio global de SSL/TLS depois que um pesquisador recuperou as chaves privadas de oito certificados intermediários de CA. As chaves deveriam ser números aleatórios enormes, mas todas as oito ficaram abaixo de 256, tornando-as trivialmente adivinháveis. Chrome e Firefox agiram rápido para parar de confiar na raiz afetada, e o Google está dizendo aos operadores de sites que instalem novos certificados TLS de outra hierarquia de PKI imediatamente. Cerca de 30.800 certificados não expirados estavam encadeados à raiz em 21 de outubro, com 99,9% emitidos via InCommon para a comunidade de ensino superior. A eMudhra afirma que seus sistemas não foram invadidos e que as chaves fracas nunca foram usadas para emitir certificados de sites, mas as consequências já forçam milhares de detentores de certificados a migrar. O episódio levanta questões difíceis sobre supervisão de autoridades certificadoras, automação e a fragilidade da confiança na internet. Cornell está recomendando certificados RSA em vez de ECC, algumas organizações miram o Let's Encrypt, e a Mozilla ainda avalia a confiança na raiz G1 da eMudhra. Para quem se preocupa com privacidade e segurança, é um lembrete forte de que a confiança online depende de gestão rigorosa de chaves e escrutínio independente.$

eMudhra deixa negócio global de SSL/TLS após oito chaves intermediárias de CA facilmente adivinháveis exporem crise de confiança

#cybersecurity #infosec #privacy #tls #certificate-authority #firefox #chrome #ssl

Ver detalhe →

O resumo de ameaças desta semana revela uma onda implacável de ataques contra redes sociais, infraestrutura em nuvem e sistemas corporativos. Mais de 4.500 contas do Bluesky foram comprometidas em uma campanha de phishing que prometia pagamento do governo, enquanto golpes com malware para Android em Singapura causaram perdas de quase S$ 1 milhão.

Equipes de segurança também correm para conter o roubo de credenciais que afetou clientes de infraestrutura de IA, uma invasão aos sistemas internos de CRM e aprendizagem da Genesys e 20 vulnerabilidades no Roundcube. O destaque é uma falha no NVIDIA AIStore com nota 10,0 que pode permitir a tomada de hosts Kubernetes, um alerta urgente para reforçar patches e defesas de privacidade.

Ameaças cibernéticas em alta: vazamento de credenciais de IA, falha 10.0 no Kubernetes e 4.500 contas Bluesky comprometidas

#cybersecurity #privacy #vulnerabilities #data-breach #phishing #kubernetes

Ver detalhe →

Reino Unido propõe penas de 14 anos para sabotagem de cabos submarinos

Falha crítica no PHP tirou sites do ar no mundo todo, e a correção levou dois anos

eMudhra deixa mercado global de certificados TLS após comprometimento de chaves de assinatura

Falha crítica no Pillow permite execução de código via imagens manipuladas

Hackers estão sequestrando modelos de IA expostos para lançar ciberataques autônomos

Esta semana em infosec: patch instantâneo na nuvem, threat modeling com IA e controle de acesso mais rígido

Vazamento no Capcom ID expõe 11,7 milhões de e-mails

eMudhra deixa negócio global de SSL/TLS após oito chaves intermediárias de CA facilmente adivinháveis exporem crise de confiança

Ameaças cibernéticas em alta: vazamento de credenciais de IA, falha 10.0 no Kubernetes e 4.500 contas Bluesky comprometidas

Meta é condenada a pagar US$ 25 bilhões por 43 milhões de violações de privacidade

1Password permite que agentes de IA usem seus logins sem nunca ver suas senhas

Capcom confirma vazamento de dados que afeta 11,7 milhões de contas e alerta para risco de phishing