Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

A Red Hat acabou de confirmar uma falha de severidade máxima no Quay, o registro de contêineres que sustenta inúmeros pipelines internos e do OpenShift. Rastreado como CVE-2026-123710, com nota 9.8 no CVSS, o problema permite que um atacante que apenas consiga alcançar o registro injete sua própria chave de assinatura confiável, sem data de expiração, e depois emita tokens válidos para qualquer repositório da instância.

Na prática, imagens privadas ficam legíveis, segredos embutidas nelas são expostos e imagens podem ser sobrescritas, fazendo a versão envenenada se espalhar para todo sistema que fizer pull depois. A chave plantada sobrevive a reinicializações e continua funcionando mesmo após trocas de senha, e a Red Hat é direta: desligar o acesso anônimo não protege ninguém.

Uma segunda falha, CVE-2026-110697, com 9.9, permite que qualquer usuário capaz de criar um namespace roube tokens de robot accounts de outros tenants por meio de um curinga SQL não escapado e injete imagens maliciosas direto no CI/CD. Existem builds corrigidos para oito ramificações do Quay 3, então a ordem é bloquear o endpoint /keys, caçar chaves de serviço aprovadas sem expiração, rotacionar tokens de robot e atualizar agora.

Falha crítica no Red Hat Quay permite ler e sobrescrever todas as imagens privadas de contêineres

#cybersec #open-source #vulnerability #cve #devops #red-hat-quay #container-security

Ver detalhe →

O ManageEngine M365 Manager Plus está no centro do alerta CVE-2026-12591, uma falha crítica de escalonamento de privilégios com nota 9.9 no CVSS. O problema está na interface de administração delegada, onde um técnico autenticado pode explorar a validação insuficiente de permissões para ultrapassar o escopo permitido.

A exploração pode evoluir para execução remota de código durante o processamento administrativo, transformando uma ferramenta de gestão confiável em um risco sério. Atualize para a versão 4818 ou superior o quanto antes e revise as permissões de acesso delegado.

Falha crítica de nota 9.9 no ManageEngine M365 Manager Plus permite execução remota de código

#cybersecurity #vulnerability #privilege-escalation #patch #cve #remote-code-execution #manageengine

Ver detalhe →

Uma vulnerabilidade crítica no módulo HTTP/2 do Apache HTTP Server, rastreada como CVE-2026-119618, permite que atacantes não autenticados executem código remotamente e assumam o controle total dos servidores afetados. A falha tem pontuação CVSS 9.8 de 10 e afeta as versões 2.4.55 a 2.4.70, com correção disponível na versão 2.4.71.

Pesquisas públicas demonstraram um exploit confiável contra configurações padrão com o mod_http2 habilitado, embora nenhum ataque em massa tenha sido relatado ainda. Administradores devem atualizar imediatamente ou desativar o HTTP/2 removendo h2 e h2c da diretiva Protocols. A Red Hat já lançou correções para suas distribuições Enterprise Linux, mas usuários de Debian e Amazon Linux continuam expostos até que os patches cheguem.

Fique seguro aplicando atualizações rapidamente e use ferramentas de segurança confiáveis como o ProtonVPN para proteger sua vida digital.

Falha crítica no Apache HTTP/2 expõe milhões de servidores a execução remota de código

#cybersecurity #vulnerability #patch #cve #remote-code-execution #apache #http2

Ver detalhe →

Uma vulnerabilidade recém-divulgada, registrada como CVE-2026-126785, foi encontrada no Thermalright TR-VISION HOME versão 2.0.5, mais precisamente no driver WFanManager.sys, responsável por tratar requisições IOCTL no Windows. A falha é classificada como permissões padrão incorretas (CWE-276 e CWE-266) e permite que um usuário local com privilégios baixos alcance funcionalidades que jamais deveriam estar expostas, com pontuação CVSS 4.0 chegando ao crítico 9.3.

O ponto mais grave é o silêncio. O pesquisador entrou em contato com o fabricante antes da publicação e não recebeu nenhuma resposta, o que significa que o driver pode continuar rodando em máquinas com as mesmas configurações permissivas. Qualquer software que instala um driver em nível de kernel assume uma responsabilidade enorme, e ignorar uma divulgação coordenada não é um padrão aceitável.

A correção prática é atualizar o WFanManager.sys para uma versão corrigida e revisar as permissões padrão do manipulador IOCTL, além de auditar quais contas conseguem de fato acessar o dispositivo. Enquanto não houver patch confirmado, mantenha o utilitário fora de sistemas compartilhados ou multiusuário e trate todo driver empacotado com hardware como parte da sua superfície de ataque, não como um instalador inofensivo.

Falha crítica no software do Thermalright TR-VISION HOME entrega controle total a atacantes locais

#cybersecurity #privacy #vulnerability #cve #windows #drivers #thermalright

Ver detalhe →

Uma falha séria de segurança no Universal-modder, kit de modding de código aberto usado para conectar Minecraft a outros jogos, finalmente foi corrigida. Registrada como CVE-2026-125358 com pontuação de severidade alta, a vulnerabilidade estava na classe HostLink dos mods de exemplo do tipo passthrough, que não validava a origem das conexões WebSocket.

Na prática, qualquer página aberta no navegador do jogador podia se conectar silenciosamente ao WebSocket local sem autenticação e enviar mensagens cmd, que o WorldBridge.command() executava com autoridade total de operador. Sem download de malware, sem login, sem aviso: bastava um site malicioso e o jogo rodando.

A correção, no commit e88f687, ativa a validação de origem. Atualize para a versão mais recente, reinicie o serviço e fique de olho nas portas locais. É um lembrete de que o ecossistema de mods feito por voluntários anda rápido, e a higiene de segurança precisa acompanhar.

Ferramenta de mods de Minecraft é corrigida após falha crítica permitir que qualquer site execute comandos no jogo

#gaming #cybersecurity #vulnerability #cve #mods #minecraft #websocket

Ver detalhe →

Uma falha crítica de buffer overflow baseado em heap foi descoberta no roteador D-Link DIR-878 (firmware 1.20B05). Rastreada como CVE-2026-124560, a vulnerabilidade está no manipulador HNAP da função GetCAPTCHAsetting, permitindo que atacantes remotos executem código arbitrário com uma única requisição maliciosa. A pontuação CVSS é 9.8, tornando-a uma ameaça severa.

Pior ainda, um exploit de prova de conceito público já está circulando, e a D-Link confirmou que o produto não é mais suportado. Isso significa que não haverá patch oficial. Se você possui este roteador, sua rede está em risco. Substitua-o imediatamente por um modelo suportado e aplique todas as atualizações de firmware disponíveis.

Vulnerabilidade crítica em roteador D-Link expõe milhões a invasão remota

#cybersecurity #vulnerability #exploit #cve #router #dlink #remote-attack

Ver detalhe →

Uma falha de segurança de alta gravidade no UnrealIRCd está exigindo atenção urgente: versões 6.0.0 até 6.2.7.0 não escapam corretamente a tag de mensagem label do IRCv3, abrindo espaço para injeção de comandos entre servidores. A vulnerabilidade é rastreada como CVE-2026-114713 e tem pontuação CVSS 8.6.

Qualquer usuário em uma rede com dois ou mais servidores interligados pode explorar a falha para injetar comandos executados com autoridade de servidor, um risco sério para operadores e comunidades de IRC. A correção está no UnrealIRCd 6.2.7.1, então administradores devem atualizar imediatamente e reiniciar o serviço.

Com exploração remota confirmada, não é caso de esperar. Aplique o patch agora, verifique os servidores vinculados e trate o caminho de tratamento da label como prioridade na revisão de segurança.

UnrealIRCd corrige falha grave de injeção de comandos que pode comprometer servidores interligados

#cybersecurity #vulnerability #patch #cve #unrealircd #irc

Ver detalhe →

Pesquisadores de segurança divulgaram uma vulnerabilidade de alta severidade no Treeio, um agregador de feeds de notícias baseado em Django. A falha, identificada como CVE-2026-124318, permite que usuários staff autenticados executem código Python arbitrário armazenando um payload pickle malicioso em campos editáveis pelo admin.

Com pontuação CVSS de 7,2 (e 8,6 no CVSS 4.0), essa falha de desserialização insegura é explorável remotamente e pode levar ao comprometimento total do servidor. As versões do Treeio até a 2.0 são afetadas.

Os usuários devem atualizar para a versão mais recente imediatamente. Como mitigação temporária, evite carregar dados pickle não verificados e sanitize todas as entradas antes da desserialização.

Vulnerabilidade crítica de RCE no Treeio: atualize agora para evitar execução remota de código

#cybersecurity #rce #vulnerability #patch #cve #treeio #django

Ver detalhe →

$O projeto rsync lançou a versão 3.5.2, corrigindo uma falha perigosa que permitia a qualquer cliente conectado esgotar a CPU de um servidor. Registrada como CVE-2026-119741, a vulnerabilidade explora o loop de verificação de checksums em hash_search(), inundando o emissor com checksums fracos que colidem e checksums fortes que nunca correspondem—forçando cálculo infinito e consumindo todos os recursos da máquina. Com pontuação 8.7 no CVSS 4.0, é uma ameaça séria de disponibilidade para quem opera um módulo rsync público. Não é necessário ter conta para acioná-la. A atualização também traz as opções --nice e --no-nice para colocar transferências grandes no final da fila de CPU e disco, mantendo o sistema responsivo durante sincronizações pesadas. Se você usa rsync para backups ou espelhamento, aplique o patch agora.$

Falha crítica no Red Hat Quay permite ler e sobrescrever todas as imagens privadas de contêineres

Falha crítica de nota 9.9 no ManageEngine M365 Manager Plus permite execução remota de código

Falha crítica no Apache HTTP/2 expõe milhões de servidores a execução remota de código

Falha crítica no software do Thermalright TR-VISION HOME entrega controle total a atacantes locais

Ferramenta de mods de Minecraft é corrigida após falha crítica permitir que qualquer site execute comandos no jogo

Vulnerabilidade crítica em roteador D-Link expõe milhões a invasão remota

UnrealIRCd corrige falha grave de injeção de comandos que pode comprometer servidores interligados

Vulnerabilidade crítica de RCE no Treeio: atualize agora para evitar execução remota de código

Falha crítica no rsync corrigida: atualize para 3.5.2 agora e evite ataques de esgotamento de CPU

Falha 9.8 em plugin WordPress permite que atacantes sem login apaguem arquivos e tomem conta de sites

Falha crítica em roteador Wavlink leva nota máxima e o exploit já está público

Falha crítica 9.4 no openEQUELLA permite executar qualquer comando, atualize agora