Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma falha recém-divulgada no serviço CalDAV e CardDAV do cPanel é tão grave quanto uma vulnerabilidade de servidor pode ser: qualquer titular de conta de hospedagem logado pode executar código como root e assumir o controle total da máquina. Em hospedagem compartilhada, isso significa que um único cliente pagante, ou qualquer pessoa que consiga o login de um cliente, alcança todas as contas daquele servidor.

E tem mais. Um segundo bug no plugin WP Toolkit permite que um usuário logado do cPanel altere bancos de dados de outras contas, e uma terceira falha expõe silenciosamente eventos de calendário e contatos de outros usuários a qualquer usuário local da máquina. O cPanel já liberou correções para as três, registradas como CVE-2026-87899, CVE-2026-87900 e CVE-2026-68490, e avisa que não existe solução temporária para servidores que não podem atualizar imediatamente.

O cPanel não confirmou se as falhas foram exploradas em ataques reais, e nenhum dos avisos oferece uma forma de verificar se um servidor foi atingido antes do patch. Se você roda cPanel ou WP Toolkit, atualizar não é opcional. Aproveite para blindar suas contas com uma conexão protegida.

Falha crítica no cPanel permite que qualquer cliente de hospedagem execute código como root e domine o servidor inteiro

#cybersecurity #vulnerability #privilege-escalation #patch #cve #cpanel #hosting

Ver detalhe →

A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos acaba de soltar um alerta que todo administrador de Linux precisa ler duas vezes: três vulnerabilidades do kernel entraram para o catálogo de falhas exploradas conhecidas porque atacantes já estão usando elas na prática. A mais assustadora, CVE-2025-39682, tem nota 9.8 e fica no caminho de recebimento do TLS, onde pode vazar memória ou derrubar a máquina.

As outras duas não são consolo. CVE-2026-53266 é uma escrita fora dos limites no caminho de reescrita ARP do SNAT do ebtables, abrindo espaço para escalonamento local de privilégios, enquanto CVE-2025-39964 é uma condição de corrida em sockets AF_ALG capaz de corromper resultados criptográficos e travar o sistema. A Red Hat já atualizou seus avisos e classifica o cenário como de alto risco, pedindo prioridade máxima na correção.

Agências federais têm até 21 de setembro de 2026 para aplicar as correções, mas a lição vai além de um prazo. Enquanto isso, o pesquisador Asim Manizada divulgou mais quatro falhas de escalonamento local de privilégios, mostrando que a superfície de ataque do kernel Linux cresce mais rápido do que os times conseguem corrigir. A hora é de auditar, atualizar e parar de tratar patch de kernel como opcional.

Se você trabalha em cafés, aeroportos ou redes compartilhadas, proteger seu tráfego faz parte da mesma defesa. Uma VPN confiável mantém suas sessões criptografadas enquanto seus sistemas se atualizam.

CISA confirma três falhas no kernel do Linux sob ataque ativo, e o relógio está correndo

#cybersecurity #data-privacy #privilege-escalation #vulnerabilities #cisa #patching #linux #kernel

Ver detalhe →

Uma vulnerabilidade recém-divulgada, rastreada como CVE-2026-80462, recebeu nota máxima de 10.0 no CVSS 3.1, o maior nível de severidade que a escala permite. A falha está no gateway de API do Chef Automate e no seu caminho de validação de identidade e, sob condições específicas, pode permitir que um ator não autenticado alcance funcionalidades protegidas que jamais deveriam ser acessíveis sem credenciais.

Essa combinação de exploração remota, nenhuma exigência de autenticação e severidade máxima é exatamente o tipo de manchete que faz times de infraestrutura e plataforma pararem tudo. O Chef Automate está no coração da gestão de configuração e dos pipelines de conformidade de inúmeras organizações, o que significa que uma checagem de identidade quebrada aqui é uma porta de entrada para os sistemas que esses times deveriam estar protegendo.

O caminho adiante é direto, mas urgente: aplique os patches de segurança do fornecedor, restrinja quem pode acessar a API do Chef Automate e revise as configurações de gateway de API e de gestão de identidade em busca de qualquer brecha. Se a sua postura de segurança depende de acesso remoto a ferramentas internas, combinar infraestrutura reforçada com uma camada de VPN confiável é um hábito inteligente de construir agora, e não depois do relatório de incidente.

Chef Automate recebe falha nota 10.0 que deixa invasores entrarem direto na sua infraestrutura

#cybersecurity #vulnerability #privilege-escalation #cve #infrastructure #chef-automate #api-security

Ver detalhe →

Uma nova técnica de escalonamento de privilégios, registrada como CVE-2026-54121, está agitando a segurança corporativa. Batizada de Certighost, a falha abusa da funcionalidade 'chase' do Active Directory Certificate Services da Microsoft, permitindo que qualquer usuário comum do domínio force uma CA corporativa a emitir um certificado falso de autenticação para um Domain Controller. Com esse certificado, o invasor pode se passar pelo controlador de domínio e assumir toda a rede.

A Microsoft lançou correção em 14 de julho de 2026, com pontuação 8.8 no CVSS, e os pesquisadores já publicaram uma prova de conceito funcional. A verdadeira lição vai além do patch: o privilégio se esconde em infraestrutura confiável, e sua CA pode estar distribuindo as chaves do reino. Reduza privilégios permanentes, restrinja a emissão de certificados e monitore atividades de DCSync antes que alguém teste suas defesas.

Certighost transforma conta comum do Active Directory em controle total do domínio

#cybersecurity #privilege-escalation #microsoft #enterprise-security #active-directory #certificate-authority #cve-2026-54121 #dcsync

Ver detalhe →

Microsoft está correndo para corrigir uma nova e perigosa vulnerabilidade no Windows Defender, o antivírus integrado a todos os PCs com Windows. Chamada de 'ShieldBreak' e registrada como CVE-2026-69414, a falha permite que um invasor com acesso inicial ao sistema eleve privilégios até o nível SYSTEM, assumindo o controle total da máquina.

O pior? A vulnerabilidade foi divulgada publicamente na semana passada antes que a Microsoft tivesse a chance de responder. Agora, a empresa admite que espera que invasores usem a brecha. Se você usa Windows, fique de olho.

Falha crítica 'ShieldBreak' no Windows Defender pode dar acesso total de SYSTEM a hackers

#cybersecurity #vulnerability #privilege-escalation #cve #microsoft #windows #windows-defender #zeroday

Ver detalhe →

Alerta crítico para quem usa UpSnap: o app open-source de Wake-on-LAN tem uma falha que permite que um atacante sem autenticação registre a conta de superusuário inicial e receba um JWT de longa duração. O problema afeta as versões 4.4.1 a 5.3.5 e recebeu nota 9.8 na escala CVSS.

A cadeia de exploração é perigosa: depois de assumir o superusuário, o invasor consegue escalar para execução remota de comandos como root por meio do wake_cmd. Não há desculpa para adiar a correção — a versão 5.4.0 resolve a vulnerabilidade. Atualize agora.

Falha crítica no UpSnap permite virar root sem autenticação, atualize já

#cybersecurity #rce #vulnerability #cve-2026-49819 #privilege-escalation #authentication-bypass #upsnap #patch

Ver detalhe →