Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

A IA pode encontrar vulnerabilidades em minutos, mas a HackerOne afirma que pesquisadores humanos ainda têm a vantagem decisiva: julgar o que uma falha realmente significa para o negócio. O relatório 2026 Security Research Report mostra que 72% dos pesquisadores apontam falhas de lógica de negócio como a categoria de crescimento mais rápido, enquanto 68% dizem que a IA os está empurrando para bugs mais complexos e com bounties maiores.

O modelo de multidão não morreu — está mudando. A HackerOne relata pagamentos a pesquisadores 26% maiores ano a ano no primeiro semestre de 2026, mesmo com a desvalorização de achados rotineiros de severidade média e o avanço das submissões assistidas por IA. A lição é direta: a automação torna bugs fáceis baratos, então o dinheiro e o risco reais agora estão em investigação mais profunda, julgamento afiado e achados inéditos.

Hackers humanos ainda superam a IA onde mais importa, diz HackerOne

#ai #cybersecurity #infosec #vulnerability #bug-bounty #security-research #hackerone

Ver detalhe →

Agentes de programação com IA estão instalando servidores MCP obsoletos que nunca receberão correções de segurança, e o risco é sério. Nova pesquisa mostra que, ao pedir ferramentas como o MCP do GitHub, os modelos muitas vezes escolhem nomes de pacotes antigos gravados no treinamento em vez de usar servidores mantidos.

Alguns desses pacotes arquivados têm falhas de alta severidade, incluindo execução remota de código que pode transformar uma simples injeção de prompt em execução de comandos. Eles somam milhões de downloads, mas não aparecem em manifestos de dependências e costumam passar despercebidos pelos controles tradicionais.

Equipes de segurança devem auditar configurações de MCP, trocar servidores obsoletos por alternativas mantidas e tratar as decisões dos agentes de IA como risco de cadeia de suprimentos. A memória do modelo não pode ser o seu gerenciador de pacotes.

Agentes de IA instalam servidores MCP sem correção e expõem riscos críticos

#ai #open-source #cybersecurity #vulnerabilities #devtools #mcp #supply-chain

Ver detalhe →

O mercado de cibersegurança ganha novo fôlego com vagas em segurança de nuvem, governança de identidade, DevSecOps, análise de ameaças e defesa de redes. Empresas buscam profissionais capazes de transformar frameworks de segurança em proteção real em ambientes híbridos e cloud-native.

As oportunidades vão de Cyber Security Architect e Cloud Security Engineer a Identity Governance Engineer e Lead DevSecOps Engineer. A procura reforça como controle de acesso, gestão de riscos, resposta a incidentes e pipelines seguros se tornaram essenciais para organizações modernas.

Mercado de cibersegurança aquece com vagas em nuvem, identidade e defesa de redes

#cybersecurity #network-security #cloud-security #jobs #devsecops #identity-governance

Ver detalhe →

Uma falha de severidade máxima no plugin Ultra Addons for Contact Form 7, registrada como CVE-2026-102435, chega com nota 9.8 e afeta todas as versões até a 3.5.54. O problema é uma cadeia de injeção de objetos PHP que não exige autenticação alguma, ou seja, qualquer pessoa na internet pode acionar o gatilho.

O caminho do ataque é agressivo: os criminosos exploram a validação insuficiente de caminho de arquivo dentro da função _getObjAttr para apagar arquivos arbitrários no servidor. Apagar o arquivo errado, como o wp-config.php, abre caminho para execução remota de código e transforma um bug de plugin em sequestro completo do site.

Existe um detalhe que reduz um pouco o alcance: o add-on PDF Generator precisa estar ativo e um formulário do Contact Form 7 deve estar configurado para gerar PDF. Se esse é o seu cenário, atualize o plugin imediatamente, desative o complemento se não usa e trate isso como emergência de segurança, não como tarefa de fim de semana.

Falha 9.8 em plugin WordPress permite que atacantes sem login apaguem arquivos e tomem conta de sites

#cybersecurity #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

$O Google acaba de executar uma das maiores operações de segurança do ano contra a XCPE, um backdoor embutido direto no firmware de aparelhos de Android TV. Mais de 1,3 milhão de dispositivos estavam inscritos na botnet, e o grupo de inteligência de ameaças do Google atribui a operação, com alta confiança, à Videostrong Technology, fabricante por trás de boa parte dessas caixinhas. O modelo de negócio era vigilância por lucro. Afiliados criminosos injetavam visualizações ocultas de anúncios, transformavam a conexão da sua casa em proxy residencial para o tráfego de terceiros e ainda coletavam dados de contas, logs do sistema e capturas de tela ao vivo da sua sala. O malware roda com privilégios de sistema, se reinstala após reiniciar e desativa silenciosamente a proteção do Google Play, então apagar o aplicativo não resolve nada. O Google derrubou a infraestrutura de comando, reforçou as verificações de integridade de firmware em dispositivos Android TV certificados e baniu a empresa e futuras afiliadas de fabricar hardware certificado. A estimativa é de que a ação corte o acesso a pelo menos 10 milhões de outros aparelhos comprometidos. A lição é clara: a caixinha de streaming mais barata da sua casa pode ser o elo mais fraco da sua rede, então audite seus dispositivos e proteja sua privacidade.$