Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma falha recém-divulgada no serviço CalDAV e CardDAV do cPanel é tão grave quanto uma vulnerabilidade de servidor pode ser: qualquer titular de conta de hospedagem logado pode executar código como root e assumir o controle total da máquina. Em hospedagem compartilhada, isso significa que um único cliente pagante, ou qualquer pessoa que consiga o login de um cliente, alcança todas as contas daquele servidor.

E tem mais. Um segundo bug no plugin WP Toolkit permite que um usuário logado do cPanel altere bancos de dados de outras contas, e uma terceira falha expõe silenciosamente eventos de calendário e contatos de outros usuários a qualquer usuário local da máquina. O cPanel já liberou correções para as três, registradas como CVE-2026-87899, CVE-2026-87900 e CVE-2026-68490, e avisa que não existe solução temporária para servidores que não podem atualizar imediatamente.

O cPanel não confirmou se as falhas foram exploradas em ataques reais, e nenhum dos avisos oferece uma forma de verificar se um servidor foi atingido antes do patch. Se você roda cPanel ou WP Toolkit, atualizar não é opcional. Aproveite para blindar suas contas com uma conexão protegida.

Falha crítica no cPanel permite que qualquer cliente de hospedagem execute código como root e domine o servidor inteiro

#cybersecurity #vulnerability #privilege-escalation #patch #cve #cpanel #hosting

Ver detalhe →

O GitLab lançou correções de segurança para uma vulnerabilidade de autorização de alta severidade identificada como CVE-2026-79708. A falha afeta versões do GitLab Enterprise Edition 19.0 até 19.1.7, 19.2 até 19.2.5 e 19.3 até 19.3.1, permitindo que um usuário autenticado com permissões de desenvolvedor execute pipelines de teste de políticas e acesse variáveis protegidas de CI/CD que deveriam ser restritas a cargos de maior privilégio.

O problema vem de validação de escopo insuficiente e é explorável remotamente. O GitLab pede que administradores atualizem para 19.1.8, 19.2.6 ou 19.3.2 o quanto antes. Com pontuação CVSS 8.5, é um alerta sério de que segredos de CI/CD são alvos valiosos.

Se você gerencia GitLab, revise as permissões de pipeline e aplique a correção agora.

GitLab corrige falha de autorização que expunha variáveis protegidas de CI/CD

#cybersecurity #vulnerability #patch #cve #devops #gitlab #ci-cd

Ver detalhe →

Uma vulnerabilidade de severidade máxima no N-able N-central está sendo explorada ativamente na natureza. Registrada como CVE-2026-86218 e com pontuação CVSS perfeita de 10.0, essa falha de execução remota de código antes da autenticação permite que atacantes injetem código estático e assumam o controle de servidores sem precisar de credenciais válidas. A CISA incluiu a falha em seu catálogo de vulnerabilidades exploradas conhecidas e deu prazo até 11 de setembro para que agências federais apliquem a correção.

A urgência aumentou depois que a Huntress iniciou uma investigação sobre um ambiente de produção do N-central totalmente atualizado que foi comprometido. A N-able já lançou o hotfix 2026.3 HF4 para corrigir o problema e alertou clientes sobre a exploração ativa. Outras duas vulnerabilidades relacionadas, CVE-2026-86206 e CVE-2026-86207, podem ser combinadas para criar contas de administrador controladas pelo atacante. Se a sua organização usa o N-central, atualize agora — os invasores contam com a demora.

Falha crítica de RCE no N-able N-central está sob exploração ativa: atualize seus servidores já

#cybersecurity #rce #vulnerability #patch #cisa #cve-2026-86218 #n-central #n-able

Ver detalhe →

Depois de 17 anos, a Riot Games finalmente vai adicionar chat de voz para o time inteiro em League of Legends. A partir do Patch 26.20, jogadores da América do Norte e da Oceania poderão conversar com todos os aliados durante a partida, e não apenas com o grupo pré-formado.

O chat de voz terá um requisito de Honra: só quem alcançar o nível 3 ou superior poderá falar. A Riot também prepara as 'voice skins', que mudam sua voz no chat, além de melhorias no cancelamento de ruído e uma próxima fase do jogo focada em música.

League of Legends finalmente ganha chat de voz em equipe depois de 17 anos

#gaming #multiplayer #patch #esports #riot-games #league-of-legends #voice-chat

Ver detalhe →

O CVE-2026-73315 é uma grave vulnerabilidade de server-side request forgery no manipulador de webhooks PayPal REST do XenForo, afetando versões anteriores à 2.3.13. Atacantes não autenticados podem enviar uma requisição de webhook manipulada com uma URL de certificado maliciosa e forçar o servidor a fazer chamadas HTTP para destinos arbitrários, incluindo serviços internos.

Em ambientes de nuvem, esse caminho pode alcançar endpoints de metadados e expor credenciais IAM, transformando uma falha de fórum em um potencial comprometimento de conta na nuvem. O XenForo corrigiu o problema na versão 2.3.13. Administradores devem atualizar imediatamente, revisar os logs de webhook e restringir o tráfego de saída sempre que possível.

Falha no webhook do PayPal no XenForo abre porta para ataques SSRF: credenciais em risco

#cybersecurity #patch #vulnerabilities #cve #cloud-security #ssrf #xenforo

Ver detalhe →

A N-able lançou um hotfix de emergência para a CVE-2026-86218, uma vulnerabilidade crítica de execução remota de código no N-central, sua plataforma de monitoramento e gerenciamento remoto usada por MSPs. A falha permite que atacantes não autenticados executem código no servidor N-central, colocando ambientes gerenciados em sério risco.

Enquanto o comunicado público afirma que não há exploits confirmados, um aviso urgente enviado a clientes admite que o zero-day já foi observado sendo explorado. A Huntress também alertou para duas falhas graves de bypass de autenticação corrigidas no fim de semana. Instalações on-premises devem atualizar para N-central 2026.3 HF4 imediatamente e revisar contas de usuário em busca de acessos inesperados.

N-able libera hotfix de emergência para zero-day do N-central explorado ativamente

#rce #patch #cyber-security #zero-day #cve-2026-86218 #n-central #n-able

Ver detalhe →

Foi revelada uma falha de gravidade máxima no N-able N-central que já está sendo explorada ativamente, e a empresa liberou um hotfix de emergência para conter o problema. Registrada como CVE-2026-86218, a vulnerabilidade de execução remota de código não autenticada permite que invasores executem código malicioso em servidores N-central expostos com ataques de baixa complexidade.

A Huntress classificou a brecha como um possível zero-day, junto com duas outras vulnerabilidades altas de bypass de autenticação corrigidas no mesmo fim de semana. Com quase 1.500 servidores de gerenciamento expostos na internet, principalmente nos EUA e na Europa, a N-able recomenda que MSPs e equipes de TI apliquem o N-central 2026.3 Hotfix 4 imediatamente.

Esse incidente reforça que plataformas de gerenciamento remoto são alvos de alto valor. Reforce o controle de acesso, revise instâncias expostas e priorize atualizações de segurança emergenciais.

N-able libera hotfix de emergência para RCE gravíssimo no N-central em meio a ataques ativos

#security #cybersecurity #rce #vulnerability #patch #zero-day #msp #n-central

Ver detalhe →

Uma nova CVE colocou usuários do Bifrost em alerta: versões do transporte HTTP anteriores à 2.0.0 contêm uma falha de execução remota de código não autenticada. Como a autenticação de gerenciamento vem desabilitada por padrão, qualquer pessoa pode acessar o endpoint /api/plugins e enviar um plugin malicioso hospedado via HTTP.

O ataque não é trivial em todos os cenários. Em builds com linkagem dinâmica, o carregamento do plugin pode ter sucesso e dar execução de código dentro do processo do Bifrost. Na imagem Docker estática oficial, a mesma solicitação fica limitada a server-side request forgery, mas isso ainda é perigoso para redes internas.

Corrija rápido: atualize para o Bifrost 2.0.0 ou superior e, mesmo após o patch, ative a autenticação de gerenciamento com governance.auth_config.is_enabled=true. É exatamente o tipo de falha que recompensa uma boa revisão de segurança.

RCE não autenticada encontrada no transporte HTTP do Bifrost: atualize agora

#cybersecurity #infosec #rce #vulnerability #patch #cve #bifrost #http

Ver detalhe →

Uma vulnerabilidade recem-divulgada no N-able N-central esta abalando o mundo da gestao de TI. Registrada como CVE-2026-86218, essa falha de execucao remota de codigo sem autenticacao tem pontuacao CVSS 4.0 perfeita de 10 e nao exige credenciais para ser explorada, tornando-se uma das descobertas mais graves para provedores de servicos gerenciados nos ultimos tempos.

Atacantes podem comprometer remotamente instancias do N-central anteriores a versao 2026.3.1.14, assumindo o controle de sistemas que gerenciam milhares de endpoints. Se voce usa o N-central, atualizar para 2026.3.1.14 ou superior deve ser prioridade imediata. E, enquanto reforca a infraestrutura, considere adicionar uma camada extra de privacidade com o ProtonVPN para proteger seu trafego administrativo.

RCE critica sem autenticacao divulgada no N-able N-central com CVSS 10 perfeito

#cybersecurity #rce #critical #vulnerability #patch #cve-2026-86218 #n-central

Ver detalhe →

Alerta urgente para todos os sites WordPress que usam GiveWP: uma vulnerabilidade crítica de execução remota de código, registrada como CVE-2026-82222, foi encontrada nas versões até 4.16.7.1. A falha é causada pela desserialização insegura de dados não confiáveis, permitindo que atacantes não autenticados injetem objetos e potencialmente executem código arbitrário no seu servidor. Isso é um 10 perfeito na escala CVSS e exige ação imediata.

GiveWP é um dos plugins de doação mais populares do WordPress, o que torna esse risco ainda mais grave para ONGs e campanhas online. Se você usa, atualize para a versão corrigida agora mesmo, remova plugins suspeitos e revise os logs em busca de sinais de comprometimento. Fique protegido e não deixe um plugin desatualizado transformar sua causa em vítima.

Falha crítica no plugin GiveWP permite executar código em sites WordPress

#cybersecurity #infosec #rce #vulnerability #patch #wordpress #givewp #cve-2026-82222

Ver detalhe →

Um alerta urgente de segurança acaba de ser divulgado para o Wazuh, uma das plataformas de segurança open-source mais populares do mercado. Uma falha crítica (CVE-2026-61800) no processo de sincronização de arquivos do cluster permite que qualquer pessoa com a chave do cluster grave, sobrescreva ou apague arquivos arbitrários em /var/ossec nos nós workers — resultando em execução remota de código como root.

A parte mais assustadora? Essa é uma correção incompleta para uma vulnerabilidade já corrigida anteriormente, o que significa que invasores podem continuar comprometendo sistemas. A boa notícia: a correção já está disponível na versão 4.14.7. Se você usa Wazuh, atualize imediatamente e revise a segurança da sua chave de cluster.

Falha crítica no Wazuh permite invasão total de servidores — atualize agora

#security #rce #vulnerability #patch #cve #siem #wazuh #xdr

Ver detalhe →

Agências de segurança estão em alerta máximo, com a CISA ordenando que órgãos federais corrijam em até três dias uma vulnerabilidade do Zimbra Collaboration Suite explorada ativamente. Registrada como CVE-2026-73570, a falha permite execução remota de código por atacantes não autenticados, explorando uma injeção de comandos no componente de monitoramento SNMP.

Com mais de 12.000 servidores Zimbra expostos na internet e ataques já em andamento, é uma corrida contra o tempo. Organizações que usam o ZCS devem aplicar a versão 10.1.20 imediatamente e revisar os logs em busca de atividades suspeitas.

CISA ordena correção urgente de vulnerabilidade do Zimbra explorada ativamente

#cybersecurity #rce #vulnerability #patch #cisa #zimbra #cve-2026-73570

Ver detalhe →