Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Pesquisadores de segurança identificaram a CVE-2026-19410, uma vulnerabilidade crítica no controle de comentários de gatilho do GitHub no Google Cloud Build. Com pontuação CVSS 9.4, a falha poderia permitir que um atacante remoto burlasse a autorização e executasse código não revisado no ambiente de build por meio de supressão de webhook.

A boa notícia é que o Google já corrigiu o problema em 24 de junho de 2026 e nenhuma ação do cliente é necessária. Ainda assim, o caso reforça a importância de manter pipelines de CI/CD seguros e monitorar atividades suspeitas de webhooks.

Falha crítica no Google Cloud Build pode permitir execução de código não revisado via supressão de webhook

#cybersecurity #infosec #vulnerability #cve #cloud-security #google-cloud-build #webhook #cve-2026-19410

Ver detalhe →

Uma falha recém-divulgada, rastreada como CVE-2026-82635, afeta versões do Pake anteriores à 3.13.1 com um grave bug de path traversal. O comando Tauri download_file junta um nome de arquivo controlado pelo invasor diretamente ao diretório Downloads do usuário, então um nome malicioso como ../Library/LaunchAgents/com.evil.plist pode escapar da pasta. O conteúdo remoto é baixado e gravado em qualquer local gravável, incluindo pastas de inicialização automática no Windows, macOS e Linux.

Com pontuação CVSS 8.8 e exploração remota confirmada, este é um alerta crítico para desenvolvedores e usuários de apps desktop baseados em Pake. Atualize para o Pake 3.13.1 ou mais recente imediatamente, sanitize nomes de arquivo e revise qualquer comando Tauri que lide com downloads.

Vulnerabilidade crítica no Pake permite invasores sequestrarem PCs com download malicioso

#cybersec #vulnerability #cve #path-traversal #pake #code-execution

Ver detalhe →

Uma vulnerabilidade crítica de execução remota de código não autenticada foi encontrada no plugin Sigma Forms Pro para WordPress, afetando todas as versões até a 1.4.5. Registrada como CVE-2026-14494 com pontuação CVSS 9.8, a falha permite que atacantes não autenticados enviem arquivos maliciosos e executem código em servidores vulneráveis.

A exploração é facilitada por vários templates padrão — incluindo Job Application, Support Ticket e Wholesale Application — que já vêm com campos de upload sem restrição de tipos de arquivo. O plugin também concede a capacidade unfiltered_upload durante o envio de formulários e ignora a validação MIME quando allowed_file_types não está configurado.

Atualize o Sigma Forms Pro para a versão 1.4.6 imediatamente, restrinja os tipos de upload permitidos e revise as capacidades de usuários após o patch. Enquanto protege seu site, considere também proteger seu próprio tráfego com uma VPN confiável.

RCE crítica não autenticada descoberta no plugin Sigma Forms Pro para WordPress — atualize agora

#cybersecurity #infosec #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Uma vulnerabilidade recém-descoberta no Klever-Go, a implementação Go da blockchain Klever, transformou a mecânica de royalties em uma máquina de criar tokens. Quando um royalty de transferência é configurado com split de exatamente 100%, o código pula o débito da conta de origem e ainda paga o valor total ao destinatário. O contador de supply nunca é atualizado, o que permite inflar KDA sem qualquer registro.

Registrada como CVE-2026-55763, a falha afeta versões anteriores à 1.7.19 e já tem correção disponível. Uma configuração específica é necessária para explorar, mas o impacto econômico pode ser devastador. Quem usa essa blockchain deve atualizar imediatamente para evitar inflação ilimitada de tokens e recuperar a confiança no ecossistema.

Falha crítica no Klever-Go permite criar KDA do nada — atualize agora

#fintech #security #vulnerability #cve #crypto #blockchain #klever #kda

Ver detalhe →

Uma falha crítica no módulo Cosmos EVM está sendo explorada ativamente. A Cosmos Labs confirmou que atacantes drenaram fundos de seis blockchains entre 20 e 25 de agosto, usando um estouro de saldo não verificado para cunhar e queimar tokens em uma única transação.

A vulnerabilidade, registrada como GHSA-7g4w-cg88-2cq2, foi corrigida nas versões 0.6.2 e 0.7.2, mas o patch foi distribuído de forma silenciosa depois que a equipe já sabia que todas as chains Cosmos EVM estavam afetadas. Operadores devem atualizar imediatamente ou interromper a produção de blocos.

Com cerca de US$ 2,87 milhões em ativos vendidos em exchanges descentralizadas e mais US$ 2,85 milhões estimados em exchanges centralizadas, o incidente mostra que a segurança de infraestrutura blockchain crítica precisa de respostas mais rápidas e transparentes.

Falha crítica no Cosmos EVM é explorada e drena milhões de seis blockchains

#cybersecurity #infosec #vulnerability #exploit #blockchain #cosmos #evm

Ver detalhe →

Alerta urgente para todos os sites WordPress que usam GiveWP: uma vulnerabilidade crítica de execução remota de código, registrada como CVE-2026-82222, foi encontrada nas versões até 4.16.7.1. A falha é causada pela desserialização insegura de dados não confiáveis, permitindo que atacantes não autenticados injetem objetos e potencialmente executem código arbitrário no seu servidor. Isso é um 10 perfeito na escala CVSS e exige ação imediata.

GiveWP é um dos plugins de doação mais populares do WordPress, o que torna esse risco ainda mais grave para ONGs e campanhas online. Se você usa, atualize para a versão corrigida agora mesmo, remova plugins suspeitos e revise os logs em busca de sinais de comprometimento. Fique protegido e não deixe um plugin desatualizado transformar sua causa em vítima.

Falha crítica no plugin GiveWP permite executar código em sites WordPress

#cybersecurity #infosec #rce #vulnerability #patch #wordpress #givewp #cve-2026-82222

Ver detalhe →

A PaperCut confirmou que uma vulnerabilidade zero-day está sendo explorada ativamente, afetando todas as versões dos softwares de gerenciamento de impressão PaperCut NG e PaperCut MF. Se a sua organização usa esses servidores, este é o momento crítico para agir: um patch de emergência foi liberado para as versões 25 e 26, e os administradores devem bloquear imediatamente o acesso externo às instâncias expostas.

Os invasores já estão atacando ambientes confirmados de clientes, com indicadores que incluem atividade suspeita do processo 'pc-app.exe', arquivos de log adulterados e erros estranhos de banco de dados. Os detalhes técnicos completos ainda não foram divulgados, mas a ameaça é urgente. Revise sua exposição, restrinja o acesso a IPs confiáveis e atualize agora para reduzir o risco de ataques de ransomware.

Zero-day do PaperCut é explorada em ataques ativos: patch de emergência para NG e MF

#cybersecurity #infosec #vulnerability #zero-day #enterprise-security #papercut

Ver detalhe →

Um alerta urgente de segurança acaba de ser divulgado para o Wazuh, uma das plataformas de segurança open-source mais populares do mercado. Uma falha crítica (CVE-2026-61800) no processo de sincronização de arquivos do cluster permite que qualquer pessoa com a chave do cluster grave, sobrescreva ou apague arquivos arbitrários em /var/ossec nos nós workers — resultando em execução remota de código como root.

A parte mais assustadora? Essa é uma correção incompleta para uma vulnerabilidade já corrigida anteriormente, o que significa que invasores podem continuar comprometendo sistemas. A boa notícia: a correção já está disponível na versão 4.14.7. Se você usa Wazuh, atualize imediatamente e revise a segurança da sua chave de cluster.

Falha crítica no Wazuh permite invasão total de servidores — atualize agora

#security #rce #vulnerability #patch #cve #siem #wazuh #xdr

Ver detalhe →

O GitLab lançou correções urgentes para uma vulnerabilidade de alta gravidade de Server-Side Request Forgery (SSRF) no AI Gateway. Registrada como CVE-2026-75871, a falha permite que um usuário autenticado com acesso ao Duo Agent Platform redirecione requisições de modelos para um endpoint controlado pelo atacante, manipulando a configuração de fluxo inline e sobrescrevendo o cabeçalho HTTP Host.

Com pontuação CVSS 8.2 e exploração remota, o ataque pode expor credenciais do Google Cloud Vertex e chaves privadas de assinatura. A recomendação é clara: atualize o GitLab AI Gateway para a versão corrigida imediatamente, valide as configurações de fluxo e restrinja o acesso ao Duo Agent Platform.

Vulnerabilidade SSRF no AI Gateway do GitLab expõe credenciais da nuvem — atualize já

#cybersec #vulnerability #cve #ai-gateway #cloud-security #gitlab #ssrf

Ver detalhe →

Pesquisadores da Universidade de Toronto revelaram o GPUThor, um novo ataque de Rowhammer que contorna as proteções ECC em GPUs workstation da NVIDIA. O exploit mira a memória GDDR6 das placas RTX A4000, A4500, A5000 e A6000 e usa hammering não uniforme para corromper dados, vencendo a defesa que a NVIDIA indicava como principal mitigação. O resultado é escalonamento de privilégios até o root no host.

Com o ECC ativado, o GPUThor ainda conseguiu gerar erros duplos e corrupção silenciosa de dados, algo que mudou a visão de que ECC era suficiente. Em testes, a RTX A5000 chegou a sofrer 377.552 bit flips por gigabyte. A NVIDIA publicou um aviso de segurança, mas uma correção completa depende de ECC mais forte e de novas defesas na memória para futuras GPUs.

O código do ataque deve ser divulgado em novembro na ACM CCS, o que reforça a necessidade de repensar o compartilhamento de GPUs e a execução de cargas de trabalho não confiáveis em ambientes de alto risco.

Ataque GPUThor quebra proteção ECC da NVIDIA e obtém acesso root no host

#nvidia #cybersecurity #vulnerability #exploit #gputhor #rowhammer #ecc #gpu

Ver detalhe →

Hackers estão explorando ativamente uma falha crítica de injeção de código no Gitea, um popular serviço Git auto-hospedado, segundo a CISA. Registrada como CVE-2026-60004, a vulnerabilidade permite que atacantes executem comandos arbitrários em servidores vulneráveis apenas enviando patches maliciosos — e instalações padrão com registro aberto facilitam ainda mais o ataque.

Com quase 5.000 instâncias do Gitea expostas na internet e relatos de mineradores de criptomoedas sendo instalados em servidores sem correção, a urgência é grande. A CISA ordenou que agências federais dos EUA apliquem a correção em até três dias. Se você usa Gitea, atualize para a versão 1.27.1 agora mesmo e restrinja o registro de novas contas.

Enquanto os administradores corrigem seus servidores, proteger cada ponto da sua vida digital é essencial. Uma VPN confiável adiciona uma camada extra de privacidade às suas conexões — conheça a ProtonVPN para navegar com mais segurança.

Falha crítica no Gitea está sendo explorada ativamente — 5.000 servidores expostos

#hacking #cybersecurity #infosec #vulnerability #cisa #cve #gitea

Ver detalhe →

A CISA dos EUA confirmou que uma vulnerabilidade crítica no Gitea, CVE-2026-60004, está sendo explorada ativamente. Com pontuação CVSS 9.8, essa falha de execução remota de código permite que qualquer pessoa com permissão de escrita em um repositório execute comandos arbitrários no servidor — e como o Gitea permite registro aberto por padrão, atacantes podem criar uma conta e um repositório para acionar o exploit.

Pesquisadores já observaram a falha sendo usada para instalar um payload semelhante a um minerador de criptomoedas, sequestrando a CPU para criptojacking. Se você administra uma instância do Gitea, atualize para a versão 1.27.1 ou superior imediatamente e desative o registro aberto. Agências federais devem corrigir até 28 de agosto de 2026, mas todo administrador deve tratar isso como uma emergência crítica. Proteja sua infraestrutura e comunicações com uma VPN confiável como a ProtonVPN enquanto reforça seus serviços.

RCE Crítico no Gitea Sob Ataque Ativo: Criptojackers Exploram Falha CVSS 9.8

#cybersecurity #infosec #rce #vulnerability #cisa #cryptojacking #gitea

Ver detalhe →