Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

O CISA adicionou a CVE-2026-21962, uma vulnerabilidade de gravidade máxima (CVSS 10.0) que afeta o Oracle HTTP Server e o Oracle WebLogic Server Proxy Plug-in, ao seu catálogo de vulnerabilidades exploradas ativamente. A falha permite que invasores não autenticados com acesso à rede comprometam servidores e acessem ou modifiquem dados críticos sem precisar de credenciais.

Embora a Oracle tenha lançado correções em janeiro de 2026, os ataques continuam, conforme relatos da GreyNoise e da CloudSEK. Agências federais dos EUA têm até 27 de agosto de 2026 para aplicar os patches, de acordo com a diretiva BOD 26-04. Empresas que usam componentes Oracle afetados devem priorizar a atualização imediatamente para evitar acessos não autorizados.

Oracle WebLogic sob ataque: falha de gravidade máxima é explorada ativamente para acessar dados críticos

#cybersecurity #vulnerability #cisa #data-breach #enterprise-security #oracle #weblogic #cve-2026-21962

Ver detalhe →

Uma vulnerabilidade crítica foi divulgada no popular plugin do WordPress The Events Calendar, uma das soluções de gerenciamento de eventos mais usadas na web. Registrada como CVE-2026-78265, a falha é uma injeção de objetos PHP sem autenticação nas versões até 6.17.2, com pontuação CVSS de 9.8 em 10.

Como a exploração não exige autenticação, qualquer invasor remoto pode potencialmente acionar uma desserialização perigosa, levando à execução de código arbitrário, acesso total ao banco de dados e comprometimento completo do site. Quem usa The Events Calendar deve tratar isso como uma emergência e atualizar para a versão 6.17.3 ou posterior agora mesmo.

Injeção Crítica de Objetos PHP sem Autenticação Atinge The Events Calendar (CVE-2026-78265)

#cybersecurity #critical #vulnerability #wordpress #cve #php-object-injection #the-events-calendar

Ver detalhe →

Agências de segurança estão em alerta máximo, com a CISA ordenando que órgãos federais corrijam em até três dias uma vulnerabilidade do Zimbra Collaboration Suite explorada ativamente. Registrada como CVE-2026-73570, a falha permite execução remota de código por atacantes não autenticados, explorando uma injeção de comandos no componente de monitoramento SNMP.

Com mais de 12.000 servidores Zimbra expostos na internet e ataques já em andamento, é uma corrida contra o tempo. Organizações que usam o ZCS devem aplicar a versão 10.1.20 imediatamente e revisar os logs em busca de atividades suspeitas.

CISA ordena correção urgente de vulnerabilidade do Zimbra explorada ativamente

#cybersecurity #rce #vulnerability #patch #cisa #zimbra #cve-2026-73570

Ver detalhe →

Uma vulnerabilidade crítica no Omnigent, o framework open-source para orquestrar agentes de codificação com IA, foi divulgada. Registrada como CVE-2026-62674 com pontuação CVSS 9.0, a falha permite que um usuário autenticado substitua um bundle de agente compartilhado e injete um servidor MCP malicioso. Quando outra sessão carrega esse agente, o comando do atacante é executado no runner com as permissões completas do processo.

Isso vai além de uma simples fuga de sandbox: pode expor arquivos sensíveis, credenciais, dados de workspace, serviços internos e até comprometer a disponibilidade do runner. Versões do Omnigent anteriores à 0.3.0 estão afetadas, então atualize imediatamente. Se você usa pipelines de IA para codificação, este é o alerta para restringir permissões de sessão e revisar configurações de agentes.

CVE-2026-62674 crítico no Omnigent permite sequestrar agentes de IA compartilhados para execução remota de código

#cybersecurity #vulnerability #ai-agents #remote-code-execution #cve-2026-62674 #omnigent

Ver detalhe →

A Microsoft corrigiu uma vulnerabilidade crítica de execução remota de código no Entra ID, seu serviço de identidade na nuvem, após a falha ter sido explorada ativamente. Registrada como CVE-2026-69836 e avaliada com a pontuação máxima de CVSS 10.0, a falha poderia permitir que atacantes não autenticados executassem código pela rede.

Para os administradores, a boa notícia é que a Microsoft afirma que a vulnerabilidade já foi totalmente mitigada e não exige ação do cliente. A empresa, porém, não revelou quem explorou a falha, quando a exploração começou ou o que os invasores fizeram, deixando equipes de segurança com dúvidas importantes sobre o impacto.

Microsoft confirma falha crítica no Entra ID explorada ativamente com pontuação máxima de gravidade

#cybersecurity #vulnerability #microsoft #cloud-security #entra-id #remote-code-execution #cve-2026-69836

Ver detalhe →

Uma vulnerabilidade crítica de bypass de autenticação foi divulgada no plugin Automation Web Platform para WordPress, afetando versões até 4.8.6. A falha está na função handle_email_otp_return(), que devolve o token secreto de login na resposta de uma requisição OTP pública, em vez de enviá-lo apenas para o e-mail do usuário.

Com pontuação CVSS 9.8, atacantes não autenticados podem entrar como qualquer usuário, incluindo administradores, apenas sabendo o e-mail da vítima. Atualize o plugin imediatamente e revise o fluxo de autenticação OTP antes que a falha seja explorada em larga escala.

Bypass crítico de autenticação no WordPress expõe contas de administrador em plugin Automation Web Platform

#cybersecurity #vulnerability #authentication-bypass #wordpress #cve #plugin #otp

Ver detalhe →

Uma vulnerabilidade crítica de bypass de autenticação (CVE-2026-19490) foi encontrada no Citrix NetScaler ADC e NetScaler Gateway, com pontuação CVSS v4.0 de 9.3. Sob condições específicas, um atacante pode contornar as verificações de login e obter acesso não autorizado a configurações de Gateway, SSL VPN, ICA Proxy, CVPN, RDP Proxy ou servidores virtuais AAA.

A Citrix está pedindo que todos os clientes atualizem os appliances afetados o quanto antes. Uma segunda falha de memory overflow (CVE-2026-19489) pode causar negação de serviço quando o SIP ALG está habilitado. Como produtos Citrix costumam ser alvo rápido após divulgações, times de segurança devem priorizar o patch emergencial e revisar as configurações do NetScaler agora.

Citrix NetScaler com falha crítica de autenticação: atualize agora

#security #cybersecurity #vulnerability #patch #citrix #netscaler #cve-2026-19490

Ver detalhe →

A Microsoft confirmou que uma vulnerabilidade crítica de execução remota de código no Entra ID, registrada como CVE-2026-69836 e avaliada com CVSS 10.0, já está sendo explorada ativamente. A falha acontece por desserialização de dados não confiáveis, permitindo que invasores executem código na rede sem autorização.

A boa notícia? A Microsoft afirma que o problema já foi totalmente mitigado e nenhuma ação é necessária por parte dos clientes. Ainda assim, é um alerta importante sobre segurança em identidade e acesso: até serviços de nuvem confiáveis podem virar alvo.

Para reduzir riscos no dia a dia, vale reforçar sua privacidade com boas práticas e uma VPN confiável, como a ProtonVPN.

Falha de gravidade máxima no Microsoft Entra ID é explorada ativamente: entenda o CVE-2026-69836

#cybersecurity #infosec #rce #vulnerability #microsoft #cloud-security #entraid #cve-2026-69836

Ver detalhe →

Pesquisadores de segurança revelaram a CVE-2026-76158, uma vulnerabilidade crítica no Datiphy Data Management Center, versões v8.3.0 até v8.5.1. A falha afeta o endpoint da API de upload e permite que atacantes remotos gravem arquivos em locais arbitrários fora do diretório de upload usando sequências de caminho relativas ou absolutas.

Com pontuação 9.3 no CVSS 4.0, esse problema de path traversal tem severidade crítica e pode levar a escrita de arquivos não autorizados e possível comprometimento grave do sistema. Equipes que usam as versões afetadas devem atualizar o Datiphy Data Management Center imediatamente, validar rigorosamente os caminhos de arquivo e restringir o acesso de escrita apenas aos diretórios autorizados.

Falha crítica no Datiphy Data Management Center permite gravar arquivos em locais arbitrários

#cybersec #infosec #critical #vulnerability #cve #datiphy #path-traversal

Ver detalhe →

Uma vulnerabilidade crítica no Elementor Pro, registrada como CVE-2026-32475, pode permitir que invasores não autenticados enviem arquivos PHP maliciosos e executem código remoto em servidores WordPress. Se você usa Elementor Pro, esse é o momento de atualizar agora.

O problema afeta versões anteriores a 4.2.2 e acontece por causa de uma divergência perigosa na validação e no processamento de uploads com nomes de arquivo vazios. Segundo o fabricante, só estão expostos sites com formulário Elementor Pro contendo campo de upload e a opção de múltiplos arquivos habilitada.

Ainda não há casos de exploração ativa, mas o risco é alto. Administradores devem atualizar o plugin para a versão mais recente e verificar o diretório wp-content/uploads/elementor/forms/ em busca de arquivos PHP suspeitos.

Falha crítica no Elementor Pro expõe sites WordPress a ataques de execução remota de código

#cybersecurity #rce #vulnerability #wordpress #web-security #elementor-pro #cve-2026-32475

Ver detalhe →

Pesquisadores de segurança estão em alerta: a falha no Zimbra Collaboration rastreada como CVE-2026-73570 já está sendo explorada ativamente. Com pontuação CVSS 8.9, a vulnerabilidade de injeção de comandos permite que atacantes sem autenticação executem comandos arbitrários no sistema operacional de servidores de e-mail vulneráveis, bastando enviar requisições SMTP manipuladas.

O CERT Polska confirmou os ataques e recomenda que administradores verifiquem o arquivo zimbra.log em busca de reinicializações suspeitas e inspecionem diretórios de webapps e tmp por arquivos estranhos. A Zimbra corrigiu o problema na versão 10.1.20. Se o seu servidor de e-mail está exposto, atualizar agora é questão de segurança crítica.

Ataques ativos exploram falha no Zimbra para execução remota de código sem autenticação

#cybersecurity #infosec #rce #vulnerability #cve #zimbra #email-security

Ver detalhe →

Foi divulgada uma vulnerabilidade crítica no plugin Elementor Pro para WordPress, com pontuação CVSS 9.0. Registrada como CVE-2026-32475, a falha está no campo de upload de arquivos do módulo Forms e permite que atacantes não autenticados ignorem a verificação de extensões e enviem arquivos PHP maliciosos para diretórios públicos. Isso pode escalar para execução remota de código no servidor.

A condição para o ataque é ter ao menos uma página Elementor publicada com um formulário contendo campo de upload, algo muito comum em formulários de emprego e suporte. A correção foi lançada na versão 4.2.2 do Elementor Pro, e o WordPress 7.0.4 também corrige uma falha grave de RCE. Atualize seus sites e revise possíveis alterações suspeitas.

Falha crítica no Elementor Pro permite upload de PHP e execução remota de código no WordPress

#cybersecurity #rce #vulnerability #wordpress #web-security #elementor-pro

Ver detalhe →