Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Uma falha crítica de execução remota de código sem autenticação no Orkes Conductor está sob ataque ativo, e os números sobem rápido. A Fortinet relata o bloqueio de 1.290 tentativas de exploração em uma única janela de 24 horas, um salto de 132 por cento na atividade diária, com quase 7.000 tentativas barradas só entre 2 e 9 de setembro.

Registrada como CVE-2026-58138, com nota de severidade 9.8, a brecha permite que atacantes insiram JavaScript ou Python malicioso em definições de workflow inline e as disparem contra a API de workflow antes da autenticação. Como os avaliadores GraalVM rodam sem sandbox e com acesso irrestrito ao host, os invasores escapam do ambiente de script e executam comandos arbitrários do sistema operacional com os privilégios do processo do Conductor. O tráfego de ataque se concentra na Alemanha, Hong Kong, Indonésia, Emirados Árabes Unidos e Índia.

A correção é simples, mas urgente: atualize para o Conductor 3.30.2 ou superior. Se não puder aplicar o patch imediatamente, corte o acesso externo à API de workflow, coloque as instâncias atrás de controles de rede rigorosos e monitore envios suspeitos de workflow ou execuções inesperadas de comandos. E se quiser proteger sua própria conexão durante a resposta ao incidente, uma ferramenta como o ProtonVPN mantém seu tráfego criptografado e fora de vista.

Falha crítica no Orkes Conductor é explorada ativamente, com 1.290 tentativas de ataque bloqueadas em um único dia

#hacking #cybersecurity #privacy #rce #vulnerability #fortinet #orkes-conductor #cve-2026-58138

Ver detalhe →

Uma vulnerabilidade recém-divulgada no SiYuan, registrada como CVE-2026-93922, está acendendo o alerta na comunidade de segurança. Até a versão 3.8.4, o aplicativo renderiza nomes de notebooks como HTML bruto no diálogo do seletor de Notas Diárias, sem qualquer escape, abrindo caminho para cross-site scripting armazenado.

O detalhe mais assustador é o alcance do ataque. Como o SiYuan roda em Electron com acesso ao Node.js, o JavaScript injetado não fica preso em uma sandbox: ele pode chegar direto ao sistema operacional e executar comandos no instante em que o seletor é aberto. Basta o atacante plantar um nome de notebook malicioso e esperar a vítima interagir com ele.

A correção é simples e urgente: atualize o SiYuan para a versão mais recente, evite importar notebooks de origem desconhecida e trate toda entrada fornecida pelo usuário como hostil até que seja sanitizada. Se você guarda dados sensíveis em um aplicativo de notas no desktop, este é o lembrete para aplicar o patch agora e reforçar a segurança do seu ambiente.

Falha crítica no SiYuan transforma um simples nome de notebook em controle total do sistema

#cybersecurity #privacy #vulnerability #exploit #xss #siyuan #electron

Ver detalhe →

Pesquisadores de segurança descobriram uma vulnerabilidade crítica de execução remota de código zero-click que afeta quatro grandes agentes de codificação com IA: Claude Code, Codex, GitHub Copilot e Gemini CLI. Chamada de Plugin4Shell, a falha contorna o SHA pinning, permitindo que invasores injetem código malicioso em plugins confiáveis sem qualquer ação do usuário. O ataque é reexecutado na atualização automática em segundo plano, tornando-o especialmente perigoso para quem usa esses agentes.

Anthropic e OpenAI já corrigiram seus respectivos agentes, mas a Microsoft ainda não lançou uma correção para o GitHub Copilot. O Google tomou uma medida drástica, descontinuando o Gemini CLI em vez de corrigi-lo, deixando as instalações existentes expostas. Esta é a primeira vulnerabilidade de cadeia de suprimentos conhecida no ecossistema de agentes de IA e um alerta para a segurança de ferramentas autônomas de codificação.

Falha zero-click RCE atinge grandes agentes de codificação com IA, dois permanecem sem correção

#ai #cybersecurity #vulnerability #zero-day #patching #supply-chain #coding-agents

Ver detalhe →

$Uma vulnerabilidade recém-divulgada no HGiga OAKlouds chega com uma pontuação CVSS 3.1 brutal de 9.8, e é tão grave quanto parece. A falha é uma desserialização insegura, ou seja, o software reconstrói dados não confiáveis diretamente como objetos executáveis. Um atacante não autenticado só precisa enviar um payload serializado malicioso pela rede para o servidor executar código arbitrário por conta própria. Não é necessário login, não há interação do usuário e o ataque funciona totalmente à distância. Essa combinação coloca qualquer instância exposta do OAKlouds na mira, porque uma única requisição pode virar controle total do servidor. Enquanto o patch não chega, a orientação é parar de desserializar qualquer dado de origem não confiável, validar rigorosamente tudo que entra e tirar esses sistemas do acesso público à internet. Falhas críticas de execução remota de código como essa mostram que o tratamento de entrada continua sendo o elo mais fraco do software corporativo. Se você usa o produto afetado, trate o caso como emergência, segmente o serviço e monitore os logs em busca de tráfego serializado suspeito.$