Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Google acaba de lançar uma atualização emergencial do Chrome para fechar mais um zero-day explorado em ataques reais, o oitavo caso do tipo corrigido no navegador desde o início do ano.

A falha, identificada como CVE-2026-125350, é um use-after-free no componente XML do Chrome que pode permitir corrupção de memória e execução de código malicioso. A correção já está sendo distribuída para Windows, macOS e Linux no canal Stable Desktop; atualize o navegador imediatamente e permita que o Chrome instale o patch na próxima inicialização.

Google corre para corrigir oitavo zero-day do Chrome explorado em ataques neste ano

#cybersecurity #exploit #google-chrome #zero-day #browser-security #security-patch

Ver detalhe →

O Google liberou uma atualização de segurança urgente para o Chrome depois de confirmar que a CVE-2026-125350, uma falha de use-after-free de alta gravidade no componente XML do navegador, já está sendo explorada ativamente. Este é o oitavo zero-day do Chrome explorado em 2026, um alerta direto sobre como a segurança do navegador virou linha de frente.

A correção chega nas versões 157.0.8103.50/.51 para Windows e macOS e 157.0.8103.50 para Linux. Se você usa Chrome ou um navegador baseado em Chromium, reinicie agora, verifique atualizações e trate esse patch como obrigatório.

Google corrige oitavo zero-day do Chrome explorado ativamente em 2026

#cybersecurity #google-chrome #active-exploitation #zero-day #browser-security #update-now

Ver detalhe →

A Microsoft acaba de divulgar um recorde de 1.407 CVEs únicos na Patch Tuesday de novembro, e o mundo da segurança está em alerta. Um zero-day confirmado no Windows Shell e exploits públicos para o PHP2Shell já estão em circulação, transformando a atualização de rotina em uma corrida contra atacantes.

Ainda mais alarmante: um aplicativo abandonado de 2014 continuava rodando em 2,5 milhões de dispositivos Windows e 300 mil Macs, consultando domínios que qualquer pessoa poderia registrar para distribuir uma atualização maliciosa. A lição é dura: software obsoleto é uma bomba-relógio silenciosa, e a IA pode ser a única forma de encontrá-lo antes que exploda.

A Apple também lançou correções importantes, incluindo 183 CVEs para o macOS Golden Gate 27, enquanto a Microsoft removeu certificados comprometidos da lista de confiança do Windows. Se você ainda não auditou seu ambiente em busca de software morto e patches de emergência, agora é o momento.

Recorde de 1.407 CVEs e 2,5 milhões de dispositivos rodando software abandonado: a Patch Tuesday de novembro é um alerta

#cybersecurity #privacy #vulnerabilities #microsoft #patch-tuesday #zero-day #php #software-update

Ver detalhe →

A OpenAI revelou um pipeline agêntico de IA que, em uma única execução de 30 horas, analisou 2.308 achados candidatos no kernel do Linux, reproduziu dinamicamente 1.724 vulnerabilidades e gerou 948 exploits funcionais de escalação local de privilégios — tudo por US$ 1.213.430 em créditos de API, ou cerca de US$ 1.279 por exploit.

O fluxo cobre descoberta, validação dinâmica, avaliação de explorabilidade, geração de patches e revisão humana, e os agentes teriam descoberto e usado pelo menos 10 técnicas inéditas de exploração no Linux, incluindo novos métodos de object spraying, truques de page grooming e caminhos de escalação de privilégios baseados apenas em dados. O trabalho amplia os 24 exploits LPE que o modelo GPT-5.5-Cyber da OpenAI já havia encontrado em junho de 2026.

O ponto central é a corrida armamentista que isso representa. O Google Threat Intelligence Group aponta que as divulgações mensais de vulnerabilidades mais que dobraram, de 5.045 em janeiro de 2026 para 10.740 em agosto de 2026, enquanto as classificadas como alto risco cresceram 167%. O NCSC do Reino Unido alerta que ferramentas de IA para ciberataques quase certamente impulsionaram a descoberta de zero-days — um recado direto para quem precisa reforçar a própria exposição agora.

Pipeline de IA da OpenAI gerou 948 exploits de root no Linux em 30 horas por US$ 1,2 milhão

#ai #openai #cybersecurity #vulnerabilities #zero-day #linux #exploits

Ver detalhe →

A Ivanti lançou correções de emergência para duas novas falhas de alta severidade no gateway de acesso remoto Connect Secure, ambas encadeadas em ataques zero-day desde pelo menos 1º de outubro. As vulnerabilidades, identificadas como CVE-2026-111357 e CVE-2026-118527, foram exploradas junto com um bypass de autenticação que a Ivanti corrigiu no mês passado.

Os atacantes usaram as falhas para obter execução de código root não autenticado em dispositivos totalmente corrigidos e depois adulteraram logs para evitar a detecção. A CISA adicionou a principal vulnerabilidade ao seu catálogo de exploração ativa e ordenou que agências federais corrijam até sexta-feira. Com mais de 5.000 instâncias expostas, este é um alerta crítico para todas as organizações que usam Ivanti.

Ivanti corre para corrigir dois novos zero-days no Connect Secure explorados em ataques

#cybersecurity #vulnerability #exploit #patch #cisa #zero-day #ivanti

Ver detalhe →

Uma falha crítica no Cisco Catalyst SD-WAN, identificada como CVE-2026-20127 e com pontuação CVSS máxima de 10,0, foi explorada para instalar o malware KeyDrift nos sistemas que controlam redes corporativas. Segundo a Cisco Talos, os atacantes usaram o backdoor para copiar silenciosamente chaves de criptografia AES-256 que protegem o tráfego entre filiais, expondo comunicações sensíveis mesmo após a invasão.

A atividade foi ligada com alta confiança a uma infraestrutura que se sobrepõe à rede Silent Train, associada pelo Lumen ao grupo Volt Typhoon, patrocinado pelo Estado chinês. A Cisco liberou versões corrigidas e alerta que não há workaround: organizações com implantações afetadas, locais ou em nuvem, precisam aplicar o patch imediatamente e restringir o acesso às portas de gerenciamento.

Falha zero-day no Cisco SD-WAN é explorada para roubar chaves de criptografia com malware KeyDrift

#cybersecurity #patch #cisco #encryption #malware #zero-day #sd-wan #volt-typhoon

Ver detalhe →

Uma vulnerabilidade silenciosa acaba de se transformar em uma das histórias de espionagem cibernética mais inquietantes do ano. A CISA incluiu a CVE-2026-41709 em seu catálogo de vulnerabilidades exploradas após a CrowdStrike confirmar que o Warp Panda, grupo ameaça ligado à China, usou a falha no VMware ESX como zero-day para reduzir a visibilidade das trilhas de auditoria e desaparecer dos logs.

O modus operandi é paciente e calculado. O grupo ataca dispositivos de borda expostos à internet, avança para ambientes vCenter, instala malwares próprios como BRICKSTORM e SharpStorm, coleta tokens de sessão na nuvem para invadir o Microsoft 365 e até registra dispositivos MFA fraudulentos para manter o acesso mesmo após a troca de senha. A lista de alvos é um pesadelo para o setor jurídico: comunicações com clientes, materiais de fusões e aquisições e estratégias de litígios em andamento.

Agências federais civis dos EUA têm até 11 de novembro de 2026 para aplicar as correções. Para todo mundo, a lição é dura e direta: se o seu log pode ser desligado por um administrador, ele pode ser desligado por um invasor. Atualize as versões do VMware indicadas, revise quem tem privilégios de admin e pare de tratar silêncio nos registros como prova de segurança. Uma VPN focada em privacidade e controles de acesso rígidos deixaram de ser extras.

Hackers ligados à China apagaram rastros dentro do VMware ESX com um zero-day, e agências dos EUA acabam de receber um prazo duro

#cybersecurity #privacy #cisa #data-breach #zero-day #espionage #vmware

Ver detalhe →

$Prepare-se, porque essa notícia de segurança mexe com qualquer pessoa que usa navegador: pesquisadores da Xbow USA gastaram apenas US$ 40 mil em tempo de computação de IA e seis dias de trabalho para montar uma cadeia completa de exploração contra o Google Chrome, capaz de, em tese, dar controle sobre cerca de 1 bilhão de máquinas Windows. Eles começaram dentro do sandbox do motor JavaScript V8, escaparam dele, furaram o sandbox de processos do sistema operacional e ainda conseguiram abrir um aplicativo Windows a partir de uma página web maliciosa. O detalhe mais impressionante é a ferramenta usada. Em vez de um modelo especializado em segurança, a equipe apontou o GPT-5.6 Sol, da OpenAI, para o código-fonte do Chrome, usando a IA para caçar pontos fracos, testar hipóteses e escrever provas de conceito, enquanto os humanos definiam a estratégia e conferiam o resultado. O Google já corrigiu as falhas, e o trabalho rendeu US$ 250 mil de recompensa, a primeira paga sob as novas regras de 2026. A lição não é que a IA substituiu pesquisadores de segurança, mas que modelos públicos derrubaram o custo de encontrar falhas graves. Ou seja, quem defende precisa correr na mesma velocidade. Atualize o Chrome agora, reforce a configuração do navegador e trate sua navegação diária como um ambiente hostil. Para colocar uma camada de privacidade na sua rotina, o Proton VPN criptografa seu tráfego e mantém sua conexão longe de mãos erradas. E se você quer entender o que esses modelos de fronteira fazem nos seus próprios projetos, o Abacus.AI entrega acesso prático a LLMs e ferramentas de IA modernas.$

Google corre para corrigir oitavo zero-day do Chrome explorado em ataques neste ano

Google corrige oitavo zero-day do Chrome explorado ativamente em 2026

Recorde de 1.407 CVEs e 2,5 milhões de dispositivos rodando software abandonado: a Patch Tuesday de novembro é um alerta

Pipeline de IA da OpenAI gerou 948 exploits de root no Linux em 30 horas por US$ 1,2 milhão

Ivanti corre para corrigir dois novos zero-days no Connect Secure explorados em ataques

Falha zero-day no Cisco SD-WAN é explorada para roubar chaves de criptografia com malware KeyDrift

Hackers ligados à China apagaram rastros dentro do VMware ESX com um zero-day, e agências dos EUA acabam de receber um prazo duro

Gastaram US$ 40 mil em computação de IA para abrir o Chrome e poderiam ter sequestrado 1 bilhão de PCs Windows

BeyondTrust corrige zero-day que deu acesso root a invasores por dois meses

Hackers ligados à China exploraram um zero-day da BeyondTrust para sequestrar servidores de suporte remoto

Palo Alto Networks corre para corrigir zero-day crítico no PAN-OS já explorado em ataques

Cisco alerta para ataques ativos em falha crítica 9.8 do Secure Email Gateway