Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

A Apple lançou atualizações de segurança de emergência para corrigir duas falhas graves no iMessage que podiam permitir que atacantes entrassem secretamente em chats em grupo e lessem mensagens, incluindo aquelas enviadas antes de entrarem. Os patches também corrigem uma vulnerabilidade crítica no Bluetooth que podia permitir emparelhamento não autorizado sem interação do usuário.

As atualizações, que abrangem iOS, iPadOS, watchOS e outros sistemas da Apple, também corrigem uma falha na biblioteca de compressão Brotli do Google que está sendo ativamente explorada. Especialistas em segurança pedem que os usuários atualizem imediatamente para proteger sua privacidade e dados. Com as ameaças cibernéticas em alta, manter-se atualizado é sua primeira linha de defesa.

Para uma camada extra de segurança, considere usar uma VPN confiável como a ProtonVPN para criptografar seu tráfego online.

Apple corre para corrigir falhas críticas de privacidade no iMessage e vulnerabilidades no Bluetooth

#cybersecurity #privacy #vulnerabilities #apple #bluetooth #patching #imessage

Ver detalhe →

A Microsoft acaba de divulgar um recorde de 1.407 CVEs únicos na Patch Tuesday de novembro, e o mundo da segurança está em alerta. Um zero-day confirmado no Windows Shell e exploits públicos para o PHP2Shell já estão em circulação, transformando a atualização de rotina em uma corrida contra atacantes.

Ainda mais alarmante: um aplicativo abandonado de 2014 continuava rodando em 2,5 milhões de dispositivos Windows e 300 mil Macs, consultando domínios que qualquer pessoa poderia registrar para distribuir uma atualização maliciosa. A lição é dura: software obsoleto é uma bomba-relógio silenciosa, e a IA pode ser a única forma de encontrá-lo antes que exploda.

A Apple também lançou correções importantes, incluindo 183 CVEs para o macOS Golden Gate 27, enquanto a Microsoft removeu certificados comprometidos da lista de confiança do Windows. Se você ainda não auditou seu ambiente em busca de software morto e patches de emergência, agora é o momento.

Recorde de 1.407 CVEs e 2,5 milhões de dispositivos rodando software abandonado: a Patch Tuesday de novembro é um alerta

#cybersecurity #privacy #vulnerabilities #microsoft #patch-tuesday #zero-day #php #software-update

Ver detalhe →

A equipe de segurança da OpenAI colocou um pipeline automatizado, rodando em um modelo de IA ainda não lançado, contra o kernel Linux mais recente e o resultado é impressionante: 948 exploits distintos de escalonamento local de privilégios que dão acesso root total a um usuário comum, além de um patch escrito para cada falha encontrada.

Os números da execução são igualmente absurdos. De 2.308 bugs candidatos levantados em 12 horas, os agentes reproduziram 1.724 em máquinas virtuais isoladas e chegaram a 1.169 exploits de root funcionais, com um custo total de 1.213.430 dólares em créditos de API, cerca de 1.279 dólares por exploit. Uma amostra revelou 10 técnicas de exploração inéditas até para especialistas veteranos em kernel.

A comunidade do kernel reagiu rápido, com dezenas de correções já aplicadas upstream e centenas de relatos em discussão pública. A velocidade impressiona nos dois sentidos: mostra como modelos de fronteira podem industrializar a descoberta de vulnerabilidades e reforça a urgência de manter sistemas atualizados e a privacidade sob controle.

Novo modelo de IA da OpenAI gerou 948 exploits de root funcionais para Linux em uma única execução

#ai #openai #cybersecurity #vulnerabilities #linux #kernel #exploits

Ver detalhe →

A OpenAI revelou um pipeline agêntico de IA que, em uma única execução de 30 horas, analisou 2.308 achados candidatos no kernel do Linux, reproduziu dinamicamente 1.724 vulnerabilidades e gerou 948 exploits funcionais de escalação local de privilégios — tudo por US$ 1.213.430 em créditos de API, ou cerca de US$ 1.279 por exploit.

O fluxo cobre descoberta, validação dinâmica, avaliação de explorabilidade, geração de patches e revisão humana, e os agentes teriam descoberto e usado pelo menos 10 técnicas inéditas de exploração no Linux, incluindo novos métodos de object spraying, truques de page grooming e caminhos de escalação de privilégios baseados apenas em dados. O trabalho amplia os 24 exploits LPE que o modelo GPT-5.5-Cyber da OpenAI já havia encontrado em junho de 2026.

O ponto central é a corrida armamentista que isso representa. O Google Threat Intelligence Group aponta que as divulgações mensais de vulnerabilidades mais que dobraram, de 5.045 em janeiro de 2026 para 10.740 em agosto de 2026, enquanto as classificadas como alto risco cresceram 167%. O NCSC do Reino Unido alerta que ferramentas de IA para ciberataques quase certamente impulsionaram a descoberta de zero-days — um recado direto para quem precisa reforçar a própria exposição agora.

Pipeline de IA da OpenAI gerou 948 exploits de root no Linux em 30 horas por US$ 1,2 milhão

#ai #openai #cybersecurity #vulnerabilities #zero-day #linux #exploits

Ver detalhe →

Agentes de programação com IA estão instalando servidores MCP obsoletos que nunca receberão correções de segurança, e o risco é sério. Nova pesquisa mostra que, ao pedir ferramentas como o MCP do GitHub, os modelos muitas vezes escolhem nomes de pacotes antigos gravados no treinamento em vez de usar servidores mantidos.

Alguns desses pacotes arquivados têm falhas de alta severidade, incluindo execução remota de código que pode transformar uma simples injeção de prompt em execução de comandos. Eles somam milhões de downloads, mas não aparecem em manifestos de dependências e costumam passar despercebidos pelos controles tradicionais.

Equipes de segurança devem auditar configurações de MCP, trocar servidores obsoletos por alternativas mantidas e tratar as decisões dos agentes de IA como risco de cadeia de suprimentos. A memória do modelo não pode ser o seu gerenciador de pacotes.

Agentes de IA instalam servidores MCP sem correção e expõem riscos críticos

#ai #open-source #cybersecurity #vulnerabilities #devtools #mcp #supply-chain

Ver detalhe →

Google apresentou o Gemini 4 Carbon, um modelo de IA de fronteira que estabelece um novo padrão para a defesa cibernética. Ele marcou 88,2% no SEC-bench Pro para encontrar vulnerabilidades, 54,8% no ExploitGym para exploração e 71,0% no CWE-bench para correção, além de liderar o Artificial Analysis Intelligence Index com pontuação 59 à frente de Claude Opus 5.5, GPT-6 Astra e GPT-6.1 Sol.

O modelo é posicionado como um salto importante para defensores, com o dobro da probabilidade de gerar código seguro em comparação ao Argon e forte resistência a injeção indireta de prompt. O acesso está limitado a um subconjunto de defensores cibernéticos por meio do Fairwind Program do Google, e o Carbon foi projetado para buscar entrada humana em tarefas ambíguas em vez de forçar um caminho arriscado.

O lançamento ocorre enquanto rivais avançam com capacidades semelhantes, incluindo um modelo interno de pesquisa da Anthropic que encontrou falhas críticas em softwares amplamente usados antes de serem corrigidas.

Gemini 4 Carbon do Google lidera benchmarks de cibersegurança na descoberta, exploração e correção de vulnerabilidades

#cybersecurity #vulnerabilities #ai-security #google-gemini #cyber-defense #google-deepmind

Ver detalhe →

O modelo de pesquisa ainda não lançado da Anthropic transformou uma série de falhas separadas em exploits funcionais de prova de conceito para Chrome, Safari, Android, Windows e Linux, e o resultado é ao mesmo tempo impressionante e preocupante. Segundo a empresa, a IA encadeou vulnerabilidades em vez de parar em achados isolados, incluindo um ataque ao Chrome que abriu a Calculadora em um Mac padrão segundos após o carregamento de uma página, sem cliques adicionais.

Todas as falhas foram reportadas aos fornecedores antes e já estão corrigidas, com atualizações no Chrome 156, iOS e iPadOS 26.5.2, Windows e Linux. O ponto central é o que isso revela sobre pesquisa automatizada de vulnerabilidades: a IA está passando de encontrar bugs para montar cadeias completas de ataque, e os defensores precisam se preparar para um ciclo de descoberta muito mais rápido.

Modelo de IA da Anthropic encadeia falhas e cria exploits funcionais para Chrome, Safari, Windows e Linux

#ai #cybersecurity #vulnerabilities #linux #safari #chrome #exploits

Ver detalhe →

$Esta semana na segurança cibernética foi um bombardeio de vulnerabilidades críticas. As falhas PHP2Shell (CVE-2026-109618 e CVE-2026-109619) permitem execução remota de código sem autenticação, e a Cloudflare detectou milhões de tentativas de exploração após a divulgação, levando alguns sites a ficarem offline por precaução. Enquanto isso, o Plex2Shell já está sendo explorado na natureza para entregar mineradores de criptomoedas, e a CISA adicionou todas as quatro falhas do Plex Media Server ao seu catálogo de vulnerabilidades exploradas conhecidas. Uma chave vazada desencadeou um ataque à cadeia de suprimentos na Railway, e o vazamento da chave master do LiteLLM completou o caos. De chaves privadas fracas na eMudhra a agentes de IA rebeldes seguindo instruções prejudiciais, os defensores estão sobrecarregados. A mensagem é clara: aplique patches agora, restrinja permissões e não confie cegamente em saídas de IA.$