Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Uma vulnerabilidade crítica de bypass de autenticação foi divulgada no plugin Automation Web Platform para WordPress, afetando versões até 4.8.6. A falha está na função handle_email_otp_return(), que devolve o token secreto de login na resposta de uma requisição OTP pública, em vez de enviá-lo apenas para o e-mail do usuário.

Com pontuação CVSS 9.8, atacantes não autenticados podem entrar como qualquer usuário, incluindo administradores, apenas sabendo o e-mail da vítima. Atualize o plugin imediatamente e revise o fluxo de autenticação OTP antes que a falha seja explorada em larga escala.

Bypass crítico de autenticação no WordPress expõe contas de administrador em plugin Automation Web Platform

#cybersecurity #vulnerability #authentication-bypass #wordpress #cve #plugin #otp

Ver detalhe →

Uma vulnerabilidade crítica de bypass de autenticação (CVE-2026-19490) foi encontrada no Citrix NetScaler ADC e NetScaler Gateway, com pontuação CVSS v4.0 de 9.3. Sob condições específicas, um atacante pode contornar as verificações de login e obter acesso não autorizado a configurações de Gateway, SSL VPN, ICA Proxy, CVPN, RDP Proxy ou servidores virtuais AAA.

A Citrix está pedindo que todos os clientes atualizem os appliances afetados o quanto antes. Uma segunda falha de memory overflow (CVE-2026-19489) pode causar negação de serviço quando o SIP ALG está habilitado. Como produtos Citrix costumam ser alvo rápido após divulgações, times de segurança devem priorizar o patch emergencial e revisar as configurações do NetScaler agora.

Citrix NetScaler com falha crítica de autenticação: atualize agora

#security #cybersecurity #vulnerability #patch #citrix #netscaler #cve-2026-19490

Ver detalhe →

A Microsoft confirmou que uma vulnerabilidade crítica de execução remota de código no Entra ID, registrada como CVE-2026-69836 e avaliada com CVSS 10.0, já está sendo explorada ativamente. A falha acontece por desserialização de dados não confiáveis, permitindo que invasores executem código na rede sem autorização.

A boa notícia? A Microsoft afirma que o problema já foi totalmente mitigado e nenhuma ação é necessária por parte dos clientes. Ainda assim, é um alerta importante sobre segurança em identidade e acesso: até serviços de nuvem confiáveis podem virar alvo.

Para reduzir riscos no dia a dia, vale reforçar sua privacidade com boas práticas e uma VPN confiável, como a ProtonVPN.

Falha de gravidade máxima no Microsoft Entra ID é explorada ativamente: entenda o CVE-2026-69836

#cybersecurity #infosec #rce #vulnerability #microsoft #cloud-security #entraid #cve-2026-69836

Ver detalhe →

Um template de site de apenas US$ 25 ajudou golpistas a criar centenas de bancos falsos feitos para roubar dados pessoais. A pesquisa da Allure Security rastreou mais de 2.200 domínios suspeitos, com quase 1.100 sites ativos e mais de 800 usando o mesmo modelo, combinado com páginas de login, painéis e informações corporativas convincentes.

A técnica, chamada de construção de legitimidade, faz instituições financeiras inventadas parecerem reais o suficiente para sustentar golpes envolvendo falsos corretores, contatos românticos, empréstimos ou serviços de recuperação. Um erro de cópia ainda revelou uma conexão oculta com outro domínio fraudulento, mostrando como uma única frase pode expor toda uma rede de bancos fantasmas.

Um template de US$ 25 revelou centenas de bancos fantasmas criados para golpes

#digital-banking #banking #cybersecurity #fraud #scams #phishing

Ver detalhe →

Novas informações do Google revelam uma onda de campanhas de espionagem ligadas à Rússia usando fluxos legítimos de autenticação para sequestrar contas. Os alvos incluem acadêmicos, diplomatas, profissionais de defesa e think tanks na Europa e nos EUA, com iscas que vão de falsos convites para conferências a páginas falsas de vinculação de dispositivos no WhatsApp.

Os criminosos estão transformando recursos do dia a dia, como códigos de verificação do Google OAuth e o 'vincular dispositivo' do WhatsApp, em armas de invasão. As campanhas também usam infraestrutura na nuvem, malware e até sequestro de DNS em redes Wi-Fi públicas, mostrando como adversários sofisticados estão dispostos a ir para roubar credenciais.

Hackers russos estão sequestrando contas via Google OAuth e vinculação de dispositivos no WhatsApp

#cybersecurity #whatsapp #google #phishing #oauth #hackers #espionage #russia

Ver detalhe →

$O ThreatsDay desta semana está cheio de exploits críticos e histórias de segurança impressionantes. Uma falha de severidade máxima no Gogs permite execução remota de código por meio de Git hooks, enquanto a plataforma de automação n8n pode ser encadeada de poluição de protótipo até RCE total. O servidor MCP do CircleCI também sofre com uma tomada de CI/CD não autenticada, e os pesquisadores continuam provando que ferramentas confiáveis estão se tornando as melhores aliadas dos atacantes. Além dos exploits, o Departamento de Justiça dos EUA acusou 17 iranianos por uma campanha massiva de roubo cibernético contra universidades e empresas, com recompensa de US$ 10 milhões por informações. Funcionários da T-Mobile literalmente cortaram um cabo para impedir uma invasão do Salt Typhoon, e a IA continua mudando o jogo: a OpenAI está testando zero retenção de dados, enquanto um serviço assustador de IA sem filtros chamado Kriminal AI vende conselhos de crimes cibernéticos na clearnet. Se há uma lição nesta semana, é que confiança, configurações padrão fracas e bordas esquecidas são exatamente onde os atacantes estão olhando. Hora de atualizar tudo rápido e questionar tudo.$

ThreatsDay: RCE no Gogs, exploração de workflow no n8n, recompensa de US$ 10 milhões e as maiores ameaças cibernéticas da semana

#cybersecurity #infosec #rce #threat-intelligence #ai-security #malware #gogs #n8n

Ver detalhe →

Uma vulnerabilidade crítica no Elementor Pro, registrada como CVE-2026-32475, pode permitir que invasores não autenticados enviem arquivos PHP maliciosos e executem código remoto em servidores WordPress. Se você usa Elementor Pro, esse é o momento de atualizar agora.

O problema afeta versões anteriores a 4.2.2 e acontece por causa de uma divergência perigosa na validação e no processamento de uploads com nomes de arquivo vazios. Segundo o fabricante, só estão expostos sites com formulário Elementor Pro contendo campo de upload e a opção de múltiplos arquivos habilitada.

Ainda não há casos de exploração ativa, mas o risco é alto. Administradores devem atualizar o plugin para a versão mais recente e verificar o diretório wp-content/uploads/elementor/forms/ em busca de arquivos PHP suspeitos.

Falha crítica no Elementor Pro expõe sites WordPress a ataques de execução remota de código

#cybersecurity #rce #vulnerability #wordpress #web-security #elementor-pro #cve-2026-32475

Ver detalhe →

Os filtros de e-mail tradicionais já não bastam. A IA turbinou o phishing com mensagens hiperpersonalizadas que parecem conversas legítimas de negócios e variações polimórficas que mudam a cada envio.

Para as MSPs, o campo de batalha mudou: não se trata mais de identificar e-mails suspeitos, mas de monitorar o que acontece depois da entrega. Monitoramento comportamental, checagens de identidade e correlação de endpoints podem flagrar a tomada de contas e o movimento lateral que indicam uma invasão real.

Com o phishing ainda como principal causa de violações e um prejuízo médio de US$ 4,8 milhões por incidente, repensar a defesa de e-mail é urgente. Velocidade de detecção é o novo superpoder.

Phishing com IA está passando pelos filtros de e-mail: veja como as MSPs podem detectar

#ai #cybersecurity #infosec #phishing #email-security #msp #threat-detection

Ver detalhe →

Pesquisadores de segurança estão em alerta: a falha no Zimbra Collaboration rastreada como CVE-2026-73570 já está sendo explorada ativamente. Com pontuação CVSS 8.9, a vulnerabilidade de injeção de comandos permite que atacantes sem autenticação executem comandos arbitrários no sistema operacional de servidores de e-mail vulneráveis, bastando enviar requisições SMTP manipuladas.

O CERT Polska confirmou os ataques e recomenda que administradores verifiquem o arquivo zimbra.log em busca de reinicializações suspeitas e inspecionem diretórios de webapps e tmp por arquivos estranhos. A Zimbra corrigiu o problema na versão 10.1.20. Se o seu servidor de e-mail está exposto, atualizar agora é questão de segurança crítica.

Ataques ativos exploram falha no Zimbra para execução remota de código sem autenticação

#cybersecurity #infosec #rce #vulnerability #cve #zimbra #email-security

Ver detalhe →

Agentes de IA são poderosos, mas também podem vazar dados sensíveis se não forem bem protegidos. A AWS acaba de apresentar uma abordagem inovadora para mantê-los sob controle: o contexto de autorização do usuário agora é propagado pelo Amazon Bedrock AgentCore, DynamoDB, bases de conhecimento e até serviços externos como Salesforce. O agente deixa de ser o único guardião – a infraestrutura inteira impõe as regras.

Com esse design, mesmo que um invasor tente manipular o agente com prompt injection ou explore uma falha na aplicação, os serviços de destino rejeitam requisições não autorizadas. As permissões ficam vinculadas ao usuário real, não ao acesso amplo do agente. É um passo enorme para a segurança de IA empresarial e para a privacidade dos dados.

AWS reforça agentes de IA com controles de acesso que resistem à manipulação

#cybersecurity #cloud-security #aws #ai-agents #prompt-injection #access-control #identity-management

Ver detalhe →

Os cibercriminosos estão usando a febre da IA para aplicar golpes com um instalador falso do Google Gemini hospedado no Google Colab, uma plataforma confiável. O arquivo malicioso, disfarçado de Download_Google_Gemini_For_Windows.exe, redireciona as vítimas para um falso Windows Software Hub e entrega o Vidar infostealer, projetado para roubar credenciais de navegador e dados sensíveis.

A Darktrace detectou o ataque e bloqueou a infraestrutura maliciosa antes que causasse mais danos. Com iscas de IA virando a nova fronteira da engenharia social, esse caso é um alerta poderoso: até plataformas confiáveis podem ser abusadas. Fique atento, verifique cada download e proteja sua vida digital com camadas extras de privacidade, como uma VPN confiável.

Febre da IA explorada: instalador falso do Google Gemini entrega o infostealer Vidar via Google Colab

#ai #cybersecurity #malware #google-gemini #infostealer #vidar #google-colab #darktrace

Ver detalhe →

Um novo malware Android chamado Manic está chamando a atenção na Europa com um truque assustador: quando não consegue alcançar o servidor de comando, ele usa celulares infectados por perto via Wi-Fi Direct ou Bluetooth para repassar dados roubados. Isso significa que até dispositivos offline podem ser usados para exfiltrar senhas, credenciais bancárias, frases de recuperação de carteiras cripto e códigos 2FA.

O Manic tem como alvo pelo menos 169 aplicativos de bancos, governos, pagamentos, cripto e autenticadores, com foco especial em usuários na Ucrânia. Ele usa sobreposições transparentes e permissões de Acessibilidade para registrar toques e controlar dispositivos remotamente. Pesquisadores de segurança recomendam evitar APKs de fontes desconhecidas, negar permissões de Acessibilidade desnecessárias e executar verificações do Play Protect regularmente.

Novo malware Android rouba dados por meio de dispositivos próximos mesmo offline

#cybersecurity #privacy #spyware #android #malware #mobile-security #banking-malware #data-exfiltration

Ver detalhe →