A agência dos EUA diz que invasores exploram três CVEs para burlar autenticação, obter RCE e instalar malware; há quase 10 mil servidores expostos, e órgãos federais têm até 17 de julho para corrigir.

dois CVEs no SMA1000 são explorados em ataques zero-day. A empresa recomenda aplicar o patch urgente; a CISA incluiu os bugs no catálogo KEV e fixou prazo até 17/07/2026 para órgãos federais.

Grupo fez €140 milhões com golpes de investimento e BEC, operando mais de 800 contas e lavando recursos em 3 países; quatro suspeitos foram presos e €3 milhões foram bloqueados.

Cinco versões do @asyncapi foram adulteradas para baixar malware em etapas, roubar credenciais e persistir em sistemas; o ataque explorou o fluxo legítimo de publicação no CI/CD, sem roubo de token npm.

Windows 10 recebe 570 correções e reforço de segurança, com ajustes para OLE, Explorador e RDP. A atualização pode afetar apps legados e expande o ESU até outubro de 2027.

Ao abrir um repositório com esse arquivo na raiz, o editor roda o binário sem aviso e expõe chaves SSH e tokens. A falha segue sem patch; a saída é usar VM, Windows Sandbox ou bloqueios.

A extensão no Chrome pode simular cliques e ler Gmail, Docs e Calendário, e outra brecha mantém execução sem permissão. A Anthropic não lançou patch, e o risco segue na versão v1.0.80.

Uma PoC chamada LegacyHive expõe elevação de privilégios no Windows, enquanto brechas no SharePoint Server e no Active Directory já estão sendo exploradas e exigem correções urgentes.

Pesquisadores descobriram um RAT em Rust que imita software da NVIDIA, coleta dados do host, executa comandos, captura telas e mantém acesso por HTTPS, WebView2 e tunneling DNS.

E-mails falsos imitam avisos de segurança e levam usuários a sites fraudulentos, incluindo uma página que finge ser o DocuSign. A empresa diz que seus sistemas não foram comprometidos.

Pesquisadores acharam brechas de controle de acesso que podem vazar segredo OAuth, permitir tomada do broker e leitura de dados de outros tenants. Há patch nas versões corrigidas.

A atualização de julho inclui três zero-days, dois já explorados em ataques, além de correções críticas em AD FS, SharePoint Server e Windows BitLocker, com risco de elevação de privilégio e acesso a dados criptografados.

Atualização de julho inclui brechas em NetWeaver, Commerce Cloud e AppRouter, com risco de acesso indevido, negação de serviço e alteração de dados; a empresa diz não haver indícios de exploração.

A maior operadora de táxis do Japão sofreu invasão e suspendeu despacho, reservas e parte dos sistemas; a empresa investiga possível vazamento de dados e alerta clientes sobre mensagens suspeitas.

A rede avisou clientes na Alemanha, Bélgica e Holanda após ataque a um fornecedor expor informações pessoais e possivelmente senhas, endereços e dados bancários, com alerta para phishing.

Pesquisadores da JFrog dizem que pacotes disfarçados de proxy estudantil usaram navegadores para atacar servidores por semanas, com loader remoto, flood via WebSocket e reativação possível sem nova atualização.

A partir de setembro de 2026, a Microsoft tornará as passkeys o método padrão no Entra ID e aposentará SMS e voz em fevereiro de 2027, para reduzir phishing e evitar interrupções.

o CLI da xAI enviava todo o histórico do git e arquivos lidos, inclusive segredos, para armazenamento em nuvem. Após a denúncia, a empresa desativou os uploads no servidor.

Pesquisadores mostraram que um único email pode plantar uma falsa lembrança em assistentes de IA com acesso à caixa de entrada, alterando respostas futuras sem aviso e driblando filtros e defesas em testes.

Pesquisadores encontraram 11 carregadores assinados pela Microsoft que podem burlar o Secure Boot e permitir a execução de código malicioso na inicialização, abrindo caminho para bootkits e persistência no sistema.