Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

As vulnerabilidades PHP2Shell deixaram de ser risco teórico e viraram ameaça concreta. A CISA incluiu as duas falhas, CVE-2026-109618 e CVE-2026-109619, no catálogo de vulnerabilidades exploradas ativamente após confirmar que atacantes conseguem execução remota de código em sistemas sem correção.

O PHP sustenta cerca de 70% da web, com mais de 5,1 milhões de hosts expostos, e agências federais dos EUA têm até quinta-feira para aplicar as correções sob a Diretiva Operacional Vinculante 26-04. O time de segurança do PHP liberou as atualizações em 21 de outubro, e pesquisadores já registravam tentativas de exploração quatro dias antes.

Para qualquer organização que roda PHP, este é um ciclo de correção de urgência máxima. Um único servidor desatualizado entrega o controle total a um invasor, e a gestão de vulnerabilidades baseada em risco deixou de ser opcional.

CISA confirma que falhas PHP2Shell já são exploradas em ataques reais

#cybersecurity #cisa #web-security #patching #php #exploits

Ver detalhe →

Novos dados da DataDome mostram que o tráfego de agentes de IA explodiu para quase 25 bilhões de requisições no terceiro trimestre de 2026, e a Meta sozinha respondeu por quase metade disso. Os bots Meta-ExternalAgent e Meta-WebIndexer geraram 12,4 bilhões de requisições, com o bot de indexação ultrapassando o agente externo em setembro.

O relatório também revela que o tráfego de navegadores agênticos saltou de 12,5 milhões de requisições em agosto para 58,2 milhões em setembro. O Muse, da Meta, acumulou 29,1 milhões de requisições nos primeiros 12 dias, com 99,3% vindas de infraestrutura de nuvem e CDN e 8,9% atingindo endpoints sensíveis, como formulários e fluxos de checkout.

Para publishers e equipes de segurança, o recado é direto: políticas de bots baseadas em premissas antigas já estão defasadas. É preciso validar a identidade dos agentes, entender a intenção e decidir de forma deliberada quais agentes de IA podem acessar páginas de login e pagamento.

Metade do tráfego de bots de IA vem da Meta e está reescrevendo a segurança da web

#meta #cybersecurity #data-privacy #web-security #datadome #ai-bots #bot-traffic

Ver detalhe →

A Cloudflare anunciou planos de se tornar uma autoridade certificadora pública e já mirou a ameaça quântica. A empresa planeja emitir certificados pós-quânticos Merkle Tree Certificates em produção no primeiro trimestre de 2027, ao lado de certificados convencionais, para que os sites possam adotar criptografia mais forte sem uma migração forçada.

Ao adquirir material de chave raiz confiável da GlobalSign e se candidatar aos principais programas de raiz dos navegadores, a Cloudflare quer que seus certificados funcionem até em dispositivos mais antigos. A proposta é simples: deixar a web mais rápida, transparente e pronta para o dia em que computadores quânticos quebrarem a criptografia atual. Um painel público de saúde e builds reproduzíveis fazem parte da promessa.

Cloudflare está construindo uma autoridade certificadora pós-quântica para toda a web

#cybersecurity #cloudflare #web-security #encryption #certificate-authority #post-quantum #quantum-computing

Ver detalhe →

Uma vulnerabilidade crítica no Next.js, catalogada como CVE-2026-94545 com nota CVSS 9.5, permite que atacantes executem código no servidor por meio do ImageResponse, o recurso que gera imagens de Open Graph e outras prévias sociais. O problema surge quando uma aplicação injeta valores controlados pelo atacante, como texto lido da URL da requisição, no layout da imagem. O Satori, biblioteca que converte esse layout em SVG antes de gerar o PNG final, não escapava certos valores, então uma string construída com cuidado podia ser interpretada como código SVG em vez de texto puro.

A falha atinge o Next.js 16.2.0 até 16.3.5 quando o ImageResponse roda no runtime Node.js, que é o padrão. A versão Edge não é afetada, e o Next.js 15 também não. A Vercel corrigiu em 22 de setembro na versão 16.3.6, e a linha 15.5 ganhou reforço extra de segurança na 15.5.26. Quem usa o Satori direto deve atualizar para 0.33.5.

Ainda não há relatos públicos de ataques nem código de exploração divulgado, mas a janela é concreta: as versões vulneráveis saem desde março. Se a atualização completa precisar esperar, mantenha qualquer valor controlado pelo usuário fora do conteúdo, dos atributos e dos estilos SVG renderizados pelo ImageResponse no Node.js, e confira a versão na mão em vez de confiar no npm audit, que não sinalizou a release vulnerável 16.3.5. Travar uma stack moderna fica bem mais fácil quando o tráfego e as conexões do time seguem criptografados, e uma VPN confiável conquista seu espaço nessa configuração.

Falha crítica no Next.js transforma um SVG manipulado em execução de código no servidor

#cybersecurity #vulnerability #cve #web-security #remote-code-execution #nextjs #svg #vercel

Ver detalhe →

Quase dois terços dos sites não conseguem barrar nem os bots mais simples

#cybersecurity #web-security #ai-agents #bots #web-scraping #credential-stuffing #datadome

Ver detalhe →

Cinco vulnerabilidades graves foram divulgadas em plugins e temas populares do WordPress, incluindo WPMU DEV Dashboard, Avada, TranslatePress, Pods e GiveWP. Com pontuações CVSS chegando ao máximo de 10.0, atacantes podem burlar autenticação, elevar privilégios ou executar código arbitrário em servidores vulneráveis, transformando um simples site em um pesadelo de segurança.

O problema mais crítico, uma falha no GiveWP, combina um 'unserialize' quebrado com dados controlados pelo atacante para obter execução remota de código. Quem usa qualquer versão afetada deve aplicar os patches imediatamente, auditar as instalações e repensar a confiança em componentes de terceiros. Segurança não é opcional — é a base da web moderna.

Falhas críticas em plugins WordPress permitem invasão total do site — atualize já!

#cybersecurity #infosec #rce #vulnerabilities #wordpress #web-security #plugins #site-takeover

Ver detalhe →

Uma vulnerabilidade crítica no Elementor Pro, registrada como CVE-2026-32475, pode permitir que invasores não autenticados enviem arquivos PHP maliciosos e executem código remoto em servidores WordPress. Se você usa Elementor Pro, esse é o momento de atualizar agora.

O problema afeta versões anteriores a 4.2.2 e acontece por causa de uma divergência perigosa na validação e no processamento de uploads com nomes de arquivo vazios. Segundo o fabricante, só estão expostos sites com formulário Elementor Pro contendo campo de upload e a opção de múltiplos arquivos habilitada.

Ainda não há casos de exploração ativa, mas o risco é alto. Administradores devem atualizar o plugin para a versão mais recente e verificar o diretório wp-content/uploads/elementor/forms/ em busca de arquivos PHP suspeitos.

Falha crítica no Elementor Pro expõe sites WordPress a ataques de execução remota de código

#cybersecurity #rce #vulnerability #wordpress #web-security #elementor-pro #cve-2026-32475

Ver detalhe →

Foi divulgada uma vulnerabilidade crítica no plugin Elementor Pro para WordPress, com pontuação CVSS 9.0. Registrada como CVE-2026-32475, a falha está no campo de upload de arquivos do módulo Forms e permite que atacantes não autenticados ignorem a verificação de extensões e enviem arquivos PHP maliciosos para diretórios públicos. Isso pode escalar para execução remota de código no servidor.

A condição para o ataque é ter ao menos uma página Elementor publicada com um formulário contendo campo de upload, algo muito comum em formulários de emprego e suporte. A correção foi lançada na versão 4.2.2 do Elementor Pro, e o WordPress 7.0.4 também corrige uma falha grave de RCE. Atualize seus sites e revise possíveis alterações suspeitas.

Falha crítica no Elementor Pro permite upload de PHP e execução remota de código no WordPress

#cybersecurity #rce #vulnerability #wordpress #web-security #elementor-pro

Ver detalhe →

O plugin Link Library para WordPress foi atingido por uma vulnerabilidade crítica identificada como CVE-2026-18855, com pontuação CVSS de 9.1. A falha permite que atacantes não autenticados excluam arquivos arbitrários do servidor devido à validação insuficiente do caminho do arquivo na função ll_delete_link_fields.

Embora a opção vulnerável esteja desativada por padrão, ativar a opção 'Delete local file on link deletion' seguida da moderação rotineira de links pode criar um cenário de ataque grave. A exclusão de um arquivo como wp-config.php pode levar à execução remota de código, então atualizar para a versão 7.9.5 imediatamente é essencial para administradores de sites WordPress.

Vulnerabilidade crítica no plugin Link Library do WordPress permite exclusão arbitrária de arquivos — atualize agora

#cybersecurity #infosec #vulnerability #wordpress #cve #web-security #patching

Ver detalhe →

Pesquisadores de segurança revelaram uma vulnerabilidade crítica no plugin Link Factory do WordPress, mostrando que ele age como uma backdoor oculta em vez de um simples publicador de frases para a página inicial. Com pontuação CVSS 10.0, o plugin expõe uma API REST controlada pelo operador em /wp-json/link-factory/v1/, autenticada apenas por uma assinatura Ed25519 com chave pública fixa.

Isso significa que um invasor remoto pode assumir o controle total de sites que usam o plugin, incluindo leitura e alteração de dados, sem passar pela autenticação padrão. A exploração é remota e não há versões seguras disponíveis.

A recomendação é direta: remova o Link Factory imediatamente e audite todos os plugins instalados no WordPress para verificar se há códigos maliciosos. Administradores de sites devem revisar também o WPScan e conferir endpoints REST expostos.

Backdoor crítica descoberta no plugin WordPress 'Link Factory' - alerta de CVSS 10.0

#cybersecurity #critical #vulnerability #wordpress #backdoor #cve #plugin #web-security

Ver detalhe →