A Skydio vazou ao vivo imagens, metadados e dados de pilotos de cinco drones do SFPD, permitindo rastrear prisões e buscas em São Francisco por um endereço web público.

A empresa pede atualização imediata após CVE-2026-63077 , que pode permitir execução remota de comandos sem autenticação em versões on-premise; não há indícios de exploração em campo.

Falha GhostLock ( CVE-2026-43499 ) permite obter privilégios de administrador em máquinas sem patch; correção já existe, mas a distribuição é desigual e a descoberta veio de ferramenta de IA.

Três usuários afirmam ter perdido cerca de US$ 1,8 milhão em Bitcoin após baixar um falso Sparrow Wallet, que teria enganado vítimas com frases-semente e exposto falhas na revisão da loja.

Dysphoria adotou nomes em blockchain e relés de máquinas infectadas, dificultando a repressão. A rede já soma mais de 200 mil bots e explora senhas fracas, Telnet, SSH e falhas em roteadores e câmeras.

Pesquisadores alertam que falha de 20 anos no BMC vaza hashes de autenticação e facilita quebra de senhas; em parte dos casos, credenciais padrão foram recuperadas e o acesso remoto pode comprometer múltiplos sistemas.

A Open Secure AI Alliance reúne 37 empresas para criar ferramentas abertas de proteção; estreia com NOOA, mas sem governança pública, cronograma ou plano de trabalho divulgado.

Campanha BlueDash usa falso documento para instalar ferramentas de acesso remoto e manter controle persistente, enquanto outro kit mira credenciais de e-mail em múltiplas plataformas.

O editor de fluxos com conta válida podia escapar do sandbox e executar comandos no servidor, expor a N8N_ENCRYPTION_KEY e alcançar bases internas; atualize para 2.31.5 ou 2.32.1.

O grupo diz ter obtido credenciais por via de supply chain e acessado Jira, GitHub e Azure, após vazamento de tickets com dados fiscais. A empresa oferece monitoramento por 24 meses.

Um pedido sem autenticação pode acionar eval() e executar código em servidores de fórum sem patch, afetando versões 6.2.1 e anteriores; a correção já havia sido liberada pela empresa no fim de junho.

Pesquisadores da Proofpoint dizem que o crypter do grupo ligado à China oculta malware, dribla a detecção e é usado para distribuir RATs e infostealers contra setores financeiro e público.

Campanha usa TELESHIM, MIXEDKEY e BINDCLOAK, com abuso da API do Telegram, ofuscação pesada e chave ambiental para infectar alvos e coletar informações sem ser notada.

O Dependabot terá espera de 3 dias e o PyPI bloqueará novos arquivos em releases com mais de 14 dias, reduzindo o risco de supply chain e de pacotes maliciosos em repositórios confiáveis.

golpistas usam ClickFix para induzir usuários a rodar comandos no PowerShell, instalar minerador XMRig e criar tarefas ocultas, driblando o Microsoft Defender e elevando privilégios no Windows.

Microsoft corrigiu duas falhas críticas, CVE-2026-32194 e CVE-2026-32191 , que permitiam execução de comandos em servidores Windows e Linux. Não há ação para usuários; a defesa é travar delegações e isolar o processador de imagens.

Anúncios maliciosos usam sites clonados e JavaScript para montar malware no navegador, escapar da detecção e roubar dados, foco em investidores de cripto na Ásia e América Latina.

Uma brecha no parser JSON da Alibaba permite execução de código sem autenticação, já com exploração em campo, e afeta versões 1.2.68 a 1.2.83. A correção 1.x segue ausente; migre para Fastjson2.

A empresa informou que hackers invadiram sua rede corporativa e podem ter acessado dados pessoais de clientes; a apuração indica acesso a arquivos entre 20 e 22 de março, sem confirmação sobre o tipo de informação exposta.

Hackers adulteram gateways em hotéis e centros de eventos para levar vítimas a páginas falsas do Microsoft 365, roubar credenciais e contornar MFA, com alvos em vários setores e países.