Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma falha de severidade máxima no plugin Ultra Addons for Contact Form 7, registrada como CVE-2026-102435, chega com nota 9.8 e afeta todas as versões até a 3.5.54. O problema é uma cadeia de injeção de objetos PHP que não exige autenticação alguma, ou seja, qualquer pessoa na internet pode acionar o gatilho.

O caminho do ataque é agressivo: os criminosos exploram a validação insuficiente de caminho de arquivo dentro da função _getObjAttr para apagar arquivos arbitrários no servidor. Apagar o arquivo errado, como o wp-config.php, abre caminho para execução remota de código e transforma um bug de plugin em sequestro completo do site.

Existe um detalhe que reduz um pouco o alcance: o add-on PDF Generator precisa estar ativo e um formulário do Contact Form 7 deve estar configurado para gerar PDF. Se esse é o seu cenário, atualize o plugin imediatamente, desative o complemento se não usa e trate isso como emergência de segurança, não como tarefa de fim de semana.

Falha 9.8 em plugin WordPress permite que atacantes sem login apaguem arquivos e tomem conta de sites

#cybersecurity #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Uma falha crítica de segurança no plugin Project Manager para WordPress, registrada como CVE-2026-116512, permite que atacantes não autenticados executem código remoto em sites vulneráveis. O problema afeta versões até a 4.1.1, inclusive, e tem pontuação CVSS 9.8, colocando-a no nível mais alto de severidade.

A vulnerabilidade vem de um parâmetro id sem sanitização que é injetado em uma string de regra de validação e depois invocado como função dinâmica do PHP. Como o núcleo do WordPress executa o callback de validação antes do callback de permissão, atacantes conseguem contornar completamente a barreira de autorização do plugin e rodar código no servidor. Administradores devem atualizar o plugin para uma versão acima da 4.1.1 imediatamente e restringir o acesso direto ao servidor sempre que possível.

Falha crítica em plugin WordPress permite que atacantes não autenticados executem código remoto

#cybersecurity #vulnerability #wordpress #remote-code-execution #plugin-security #critical-flaw #cve-2026-116512

Ver detalhe →

Um ataque à cadeia de suprimentos atingiu o Rank Math PRO, o plugin pago de SEO para WordPress, com cópias maliciosas servidas a partir de rankmath.com e distribuídas como atualizações entre 20:02 UTC de 15 de outubro e 07:12 UTC de 16 de outubro. Qualquer site que instalou e ativou a versão 3.0.123 nessa janela deve ser tratado como comprometido.

O malware consegue recriar sua backdoor oculta sempre que alguém visita o site, e atualizar para a versão limpa 3.0.124 não remove arquivos maliciosos, contas de administrador, tarefas agendadas ou credenciais expostas. Rank Math e Wordfence recomendam restaurar um backup limpo ou fazer uma limpeza manual completa, trocar todas as credenciais e bloquear rank1cdn[.]com. Para acesso administrativo seguro durante a resposta ao incidente, uma VPN confiável como a ProtonVPN é uma camada de proteção sensata.

Ataque à cadeia de suprimentos do Rank Math PRO instala backdoor autorrecuperável em sites WordPress

#cybersecurity #wordpress #backdoor #supply-chain-attack #malware #rank-math #cve-2026-111862

Ver detalhe →

Um enorme sistema de distribuição de tráfego chamado Help TDS foi ligado a um programa de afiliados em russo chamado Hotejka, e pesquisadores afirmam que a operação sequestra sites comprometidos silenciosamente desde pelo menos 2017. As descobertas mais recentes apontam mais de 20 mil domínios no Cloudflare Pages usados como isca, com as vítimas passando por fingerprinting e filtragem geográfica antes de cair em falsos alertas de segurança da Microsoft.

O golpe é brutal pela simplicidade. Uma tela cheia travando o navegador avisa que o Windows foi desativado, manda o usuário não reiniciar e empurra a pessoa a ligar para um suporte falso. Quando alguém liga, o operador convence a vítima a instalar uma ferramenta de acesso remoto como o Ultraviewer, entregando o controle total da máquina e abrindo a porta para exploração repetida, instalação de malware e revenda de tráfego.

Os pesquisadores rastreiam o caminho até o ROI777 e a antiga campanha Operation Prowli, que minerava criptomoedas em servidores invadidos antes de se renomear como o Help TDS de hoje. O roteiro é o mesmo: comprar tráfego de invasores de sites, injetar plugins maliciosos de WordPress e vender os cliques para quem paga mais. É um lembrete de que os cantos mais sombrios da internet raramente somem, apenas mudam de nome.

Help TDS exposto: mais de 20 mil domínios no Cloudflare Pages empurram vítimas para golpes de suporte técnico

#cybersec #privacy #threat-intelligence #cloudflare #wordpress #malware #tech-support-scam

Ver detalhe →

Uma falha crítica no plugin Advanced IP Blocker para WordPress está acendendo o alarme no mundo da segurança. Com nota 9.8 de 10, essa brecha de autenticação permite que atacantes não autenticados passem direto pela verificação em duas etapas e entrem em qualquer conta, incluindo contas de administrador.

O truque é brutal pela simplicidade: o plugin nunca confirma se o visitante concluiu a primeira etapa com senha antes de aceitar o código do segundo fator. Os atacantes podem forçar o código de seis dígitos sem bloqueio, sem limite de tentativas e sem alertas de falha de login, recebendo uma sessão totalmente autenticada sem nunca saber a senha.

Sites que usam o recurso de 2FA do plugin devem atualizar imediatamente. Esse é o tipo de falha que transforma um login protegido em porta aberta, e um lembrete duro de que até nossas redes de segurança precisam de escrutínio rigoroso. Se você valoriza sua privacidade online, proteger cada camada da sua estrutura nunca foi tão importante.

Falha crítica no WordPress permite ignorar o 2FA e assumir qualquer site

#security #cybersecurity #infosec #vulnerability #wordpress #authentication #2fa

Ver detalhe →

Uma vulnerabilidade de severidade máxima foi divulgada no plugin Bricksforge para WordPress, afetando todas as versões até a 3.1.8.9, inclusive. Registrada como CVE-2026-85097, ela tem pontuação CVSS 9.8 e permite que um atacante totalmente não autenticado envie e execute código PHP arbitrário em um site vulnerável. Sem login, sem privilégios especiais e sem interação do usuário.

A cadeia de ataque é uma aula de validação malfeita. O atacante obtém um nonce válido pelo endpoint bricksforge_regenerate_nonce, envia um arquivo poliglota GIF/PHP que passa na checagem de MIME e depois submete um formulário em que o caminho no servidor aponta para a imagem limpa, enquanto o campo url controlado pelo atacante termina discretamente em .php. O resultado: execução remota de código no servidor.

A correção é simples e urgente. Atualize o Bricksforge para a versão 3.1.8.10 ou superior, apague qualquer arquivo suspeito do diretório de upload temporário e audite os logs do servidor em busca de atividade estranha. Se você roda WordPress em qualquer escala, trate isso como patch para hoje, não para depois. Usar uma VPN confiável também é um hábito de base inteligente enquanto você faz a limpeza.

Falha crítica 9.8 no plugin Bricksforge para WordPress permite executar código no seu servidor sem estar logado

#cybersecurity #infosec #vulnerability #wordpress #cve #remote-code-execution #plugin-security

Ver detalhe →

Uma vulnerabilidade crítica de SQL injection foi revelada no Unlimited Elements For Elementor, um plugin WordPress amplamente usado com mais de um milhão de instalações ativas. Registrada como CVE-2026-103355, a falha tem pontuação 9.3 CRÍTICA e permite blind SQL injection por meio de entrada não sanitizada. Atacantes podem explorá-la remotamente sem autenticação, colocando o conteúdo do banco de dados e a integridade do site em sério risco.

A falha afeta todas as versões até a 2.0.20, inclusive, e uma correção já está disponível. Se o seu site depende desse plugin para widgets, addons ou templates, atualizar não é opcional. Cada hora de espera amplia a superfície de ataque para scanners automatizados e agentes maliciosos. Aplique o patch imediatamente, verifique seu banco de dados e reforce a segurança do seu WordPress.

Falha crítica de SQL injection atinge plugin popular do Elementor: atualize agora

#cybersecurity #vulnerability #wordpress #cve #sql-injection #elementor #security-patch

Ver detalhe →

Uma falha crítica de autenticação no plugin JSON API Auth para WordPress, registrada como CVE-2026-97637, expõe um cookie de sessão logged_in de administrador por meio de uma resposta de API em cache. A vulnerabilidade afeta todas as versões até a 3.1.2 quando o plugin pai PI-Media/json-api está ativo, e um atacante não autenticado consegue obter esse cookie com uma simples requisição GET.

A causa raiz é uma camada de cache que indexa respostas apenas por URI e query string, ignorando método HTTP e corpo POST. Assim, o endpoint generate_auth_cookie entrega uma sessão administrativa em cache para qualquer pessoa que o acesse. Pior: a checagem de HTTPS pode ser contornada adicionando insecure=cool à requisição, transformando um erro de plugin em um caminho completo para assumir o site.

Se você usa WordPress com esses plugins, atualize imediatamente, limpe respostas em cache e audite sessões de administrador. É um lembrete de que cache é poderoso, mas vira arma quando dados de autenticação ficam no lugar errado.

Falha crítica em plugin WordPress permite roubar sessão de administrador sem senha

#cybersecurity #infosec #vulnerability #authentication-bypass #wordpress #cve

Ver detalhe →

Uma nova backdoor de WordPress apelidada de SC está transformando a limpeza de sites em um pesadelo. Pesquisadores de segurança afirmam que ela se reconstrói a partir de pelo menos oito locais, incluindo arquivos, banco de dados e memória compartilhada.

O malware usa comando e controle via blockchain Ethereum, se esconde da tela de plugins e pode criar contas de administrador ocultas. Ele também se espalha por temas, drop-ins, plugins falsos e tarefas cron, então apagar todos os arquivos pode não ser suficiente.

O recado para donos de sites é direto: infecções modernas no WordPress podem agir como um sistema resiliente, não como um único arquivo malicioso. Atualize rápido, audite tudo e trate cada camada como comprometida.

Nova backdoor de WordPress que se autorreconstrói desafia qualquer tentativa de limpeza

#cybersecurity #infosec #wordpress #backdoor #malware #blockchain

Ver detalhe →

Uma vulnerabilidade crítica, CVE-2026-82901, foi descoberta no plugin Ultra Addons for Contact Form 7 para WordPress, afetando versões até 3.5.50. Com pontuação CVSS 9.8, essa falha permite que atacantes não autenticados façam upload de arquivos arbitrários no servidor de um site vulnerável, podendo levar à execução remota de código.

A vulnerabilidade está na função 'uacf7_wpcf7_mail_components' devido à validação insuficiente do tipo de arquivo. Só é explorável quando o módulo PDF Generator do plugin está habilitado, que é desabilitado por padrão. No entanto, administradores de sites são instados a atualizar o plugin imediatamente para evitar exploração.

A inteligência de ameaças da Wordfence sinalizou isso como uma questão crítica. Garanta a segurança do seu site WordPress atualizando para a versão mais recente do Ultra Addons for Contact Form 7 e desabilitando o módulo PDF Generator se não for necessário.

Sites WordPress em risco: falha crítica de upload arbitrário de arquivos em plugin popular

#cybersecurity #vulnerability #wordpress #plugin #security-update #remote-code-execution

Ver detalhe →

Bastou uma única chave de API da Cloudflare com permissões totais, embutida direto no código-fonte. A Brevo confirmou que atacantes roubaram essa credencial e a usaram para criar um Cloudflare Worker malicioso que reescrevia o conteúdo na borda da CDN, injetando scripts ClickFix no brevo.com, no sendinblue.com, nas páginas de login e onboarding e nos scripts de formulários, conversas e SDK que os clientes embutem em seus próprios sites. A janela de exposição durou cerca de cinco horas e meia em 14 de setembro, e a empresa de segurança Sansec estima que até 100 mil sites que dependem desses componentes foram atingidos.

Como o payload era servido pela borda e removia cabeçalhos de segurança como o Content-Security-Policy, servidores de origem e arquivos pareciam totalmente limpos, e as verificações padrão de integridade nunca dispararam. Visitantes viam uma falsa página de verificação da Cloudflare seguida de instruções ClickFix mandando executar um comando no Windows. Em sites WordPress, o script injetado checava se o visitante era um administrador logado e tentava instalar um plugin falso chamado Web Media Optimizer, que se esconde da lista de plugins, se enterra no diretório must-use, busca JavaScript novo em servidores remotos e traz uma chave embutida capaz de gerar uma sessão de administrador válida sem precisar da senha.

A Brevo afirma que removeu o Worker, revogou a chave, apagou a credencial embutida do código, deletou domínios controlados pelos atacantes e limpou os caches da borda, além de garantir que o app, a API, a entrega de e-mails e os dados de contas não foram afetados. Administradores de WordPress que navegaram em um site afetado logados no dia 14 de setembro devem auditar plugins instalados naquele dia e trocar as senhas de administrador. A lição é dura e direta: uma credencial esquecida no código e uma CDN confiável bastam para incendiar toda uma cadeia de suprimentos. É por isso que telemetria na borda, gestão de segredos e uma camada séria de VPN e DNS criptografado nas máquinas que acessam sistemas de produção deixaram de ser opcionais.

Ataque na cadeia de suprimentos da Brevo envenenou sites de clientes com malware ClickFix por mais de cinco horas

#cybersecurity #infosec #cloudflare #wordpress #data-breach #supply-chain-attack #malware #clickfix

Ver detalhe →

Uma vulnerabilidade de gravidade máxima no WordPress está circulando, e ela é um pesadelo para quem usa o plugin The Events Calendar. Registrada como CVE-2026-78006 com pontuação CVSS 9.8, a falha encadeia uma injeção de objeto PHP com um hash de integridade forjado para driblar as verificações de segurança do plugin e alcançar a execução remota de código. O detalhe mais assustador: não exige nenhuma autenticação.

O ataque explora a área de comentários. Como o WordPress entrega a comentaristas não autenticados um link com hash de moderação para visualizarem imediatamente seu próprio comentário pendente, um payload de bloco malicioso chega ao trecho vulnerável do código antes de qualquer moderação humana. Em outras palavras, uma caixa de comentários aberta em uma página de evento pode virar uma porta de entrada direta para o seu servidor.

A correção é simples e urgente: atualize o The Events Calendar para a versão mais recente com patch e, de quebra, restrinja ou desative comentários em publicações de eventos. Se você administra sites WordPress, aplique o patch agora, confira as versões e trate qualquer plugin exposto como uma janela aberta numa tempestade. Proteger sua privacidade na rede importa tanto quanto, e uma conexão criptografada é um ótimo ponto de partida.

Falha crítica no WordPress deixa atacantes não autenticados executarem código no seu servidor pelo plugin The Events Calendar

#cybersecurity #infosec #vulnerability #wordpress #cve #remote-code-execution #plugin-security

Ver detalhe →