Cyber e segurança
Filtrar por tipo: Artigo143
CVE-2026-111497 em Brotli: correção na versão 1.2.1 e dependências afetadas em Node.js, Envoy e pacotes PyPI
O aviso de Alan Coopersmith na lista oss-sec, de 24 de outubro de 2026, trata do CVE-2026-111497 no Brotli. A versão 1.2.1 traz a correção, e outros projetos já a incorporaram. Empresas precisam mapear onde essa biblioteca está em uso.
Python adiciona lista de bloqueio de certificados intermediários comprometidos ao módulo ssl
O aviso de segurança do Python sobre o CVE-2026-115557 informa que o módulo ssl passou a incluir uma lista de bloqueio de certificados intermediários conhecidos como comprometidos. Veja como sua empresa pode se preparar.
Reino Unido propõe até 14 anos de prisão por sabotagem de cabos submarinos
O governo britânico quer atualizar a lei de 1885 sobre cabos submarinos, que hoje prevê multa máxima de £1.000 e cinco anos de prisão. Para operadores de infraestrutura crítica, a mudança reforça a necessidade de monitoramento contínuo das rotas.
- há 1 dia tmctmt.com
Poluição de protótipo no Tampermonkey pela tag @antifeature com internacionalização
O post do tmctmt descreve uma falha de poluição de protótipo no Tampermonkey, ligada ao tratamento da tag @antifeature com suporte a i18n. O impacto é limitado e exige interação do usuário.
- há 1 dia seclists.org
Correções de expressões regulares no Ruby ligadas a CVEs do GitLab
O projeto Ruby publicou, em 23 de outubro de 2026, correções na compilação de expressões regulares associadas a CVEs do GitLab, divulgadas na lista oss-sec.
- há 1 dia therecord.media
FCC proíbe dois dispositivos com chips HiSilicon, da Huawei: como rastrear esses componentes no seu parque
A FCC proibiu um transmissor de vídeo sem fio e uma câmera de painel fabricados com chips da HiSilicon, subsidiária da Huawei. Veja como levantar e monitorar esses componentes na sua infraestrutura.
Janela de integração do kernel Linux 7.4: 6.753 alterações já incorporadas
O artigo da LWN informa que a primeira parte da janela de integração da versão 7.4 do kernel Linux já reuniu 6.753 conjuntos de alterações, com novos recursos, limpezas e correções de segurança, e que mais alterações devem entrar.
- há 1 dia isc.sans.edu
SANS ISC volta ao Infocon Green após alerta envolvendo o PHP
O SANS ISC elevou o Infocon por causa de uma situação emergente com o PHP e, em 23 de outubro de 2026, retornou ao nível Green. Empresas que usam PHP devem revisar versões e processos de atualização.
Stacks menores para o kernel Linux: a escassez de memória reacende a discussão sobre o consumo de RAM
Discussão apresentada na Linux Plumbers Conference de 2026 sobre reduzir o espaço consumido pelas stacks do kernel, num cenário de escassez global de chips de memória.
- há 2 dias seclists.org
Incidente com certificado CA da eMudhra/emSign: o que muda para Python em distribuições Linux
Post de Eli Schwartz na lista oss-sec, de 22 de outubro de 2026, explica como pacotes certifi de distribuições Linux usam o repositório de certificados do sistema e por que isso afeta o caminho de confiança de aplicações Python.
- há 3 dias ubuntu.com
Aviso USN-8954-1 da Ubuntu: falha no zlib com risco de estouro de buffer na heap
A Ubuntu Security publicou o aviso USN-8954-1 sobre uma falha no tratamento de operações de escrita não bloqueantes na biblioteca zlib, que pode levar a estouro de buffer na heap, negação de serviço ou execução arbitrária de código.
- há 3 dias therecord.media
Crime Stoppers de Toronto suspende operações após vazamento de dados de denúncias
A unidade de Toronto do Crime Stoppers suspendeu suas operações, rompeu com a associação nacional e publicou uma cronologia do que sabia sobre o incidente de vazamento de dados, segundo a reportagem de The Record.
- há 3 dias seclists.org
Ataques de amplificação QPACK contra servidores HTTP/3 (Header Accordions)
A post da Fox-IO, divulgada na lista oss-sec por Alan Coopersmith em 21 de outubro de 2026, descreve ataques de amplificação QPACK contra servidores HTTP/3, batizados de Header Accordions.
Certificados intermediários da eMudhra com chaves privadas fracas permitem falsificação de certificados
A Cisco Talos, em aviso sobre a eMudhra, relatou oito certificados intermediários com chaves privadas de baixa entropia, o que permite a falsificação de certificados TLS e de assinatura de código. Parte foi bloqueada por Chrome, Mozilla, Apple e Microsoft.
- há 3 dias seclists.org
CVE-2026-109619: execução remota de código no PHP e a faixa de versões afetadas
Aviso de execução remota de código no PHP 8.2 a 8.5, corrigido nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Uma resposta na lista oss-sec alerta para não ler a faixa afetada de forma restrita às versões 8.2 a 8.5.
LWN.net: comprometimento da CA eMudhra, RCEs no PHP e vulnerabilidades no Node.js e musl em destaque
A edição semanal do LWN.net de 22 de outubro de 2026 cobre o comprometimento da CA eMudhra, execuções remotas de código no PHP, vulnerabilidades no Node.js e no musl, além de temas de kernel, Rust e NFS. Empresas podem transformar esses alertas em controles de inventário, patch e monitoramento.
Node.js corrige RCE em Brotli e musl divulga escrita fora dos limites
Atualizações de segurança do Node.js corrigem falha de execução remota de código ligada à compressão Brotli. O projeto musl libc divulgou uma escrita fora dos limites potencialmente explorável.
- há 4 dias therecord.media
Iniciativa de US$ 10 milhões quer reforçar a cibersegurança de concessionárias com poucos recursos
Três empresas de tecnologia lançaram uma iniciativa de US$ 10 milhões para apoiar até 500 concessionárias com poucos recursos no reforço de sua cibersegurança, segundo a reportagem do The Record.
- há 4 dias therecord.media
Meta enfrenta cobrança de US$ 25 bilhões por privacidade no Novo México
Reportagem da The Record informa que a Meta enfrenta uma cobrança de US$ 25 bilhões após decisão sobre privacidade no Novo México, caso que reacende os efeitos do escândalo da Cambridge Analytica.
PHP corrige vulnerabilidades após meses de atraso e expõe falhas no processo de decisão
A PHP Foundation publicou análise sobre as vulnerabilidades divulgadas no lançamento de segurança e explica por que a correção demorou meses, citando impasses técnicos, equipe reduzida e decisão por consenso.
- há 4 dias ubuntu.com
Ubuntu publica o aviso USN-8951-1 com falhas de negação de serviço no c-ares
O aviso da Ubuntu reúne quatro vulnerabilidades no c-ares, biblioteca de resolução DNS, que podem causar negação de serviço e, em um caso, execução de código arbitrário em versões LTS afetadas.
- há 4 dias ubuntu.com
Ubuntu remove dois certificados raiz do NSS após comprometimento de intermediários
O aviso USN-8947-1 da Ubuntu Security atualiza o NSS para remover os certificados raiz emSign ECC Root CA - G3 e Comodo AAA Services root, após o comprometimento de certificados intermediários emitidos sob eles.
- há 4 dias isc.sans.edu
Vulnerabilidades críticas no PHP (CVE-2026-109618 e CVE-2026-109619): o que fazer agora
O SANS ISC elevou o infoCon para amarelo após o anúncio de uma atualização crítica do PHP, com CVSS 9.4 e exploits de prova de conceito preliminares disponíveis antes do patch.
- há 4 dias seclists.org
Auditoria de chaves privadas de autoridades certificadoras após incidente na eMudhra
Discussão na lista oss-sec sobre a auditoria de chaves privadas de certificados raiz e intermediários após o comprometimento de intermediárias da eMudhra, com foco em chaves potencialmente fracas.
- há 4 dias seclists.org
Certificados intermediários da eMudhra ainda presentes no NSS 3.131.1
Post na lista oss-sec de Solar Designer questiona se certificados intermediários comprometidos da eMudhra seguem em cross-signing e aponta que eles ainda constam no NSS 3.131.1, que remove os certificados da emSign.
- há 4 dias ubuntu.com
Ubuntu remove certificados de CA após incidente com intermediários da eMudhra
A Ubuntu publicou o aviso USN-8944-2, que remove dois certificados de autoridade certificadora dos pacotes ca-certificates em versões LTS e atualiza a lista de CAs para a versão 2.90 da Mozilla.
- há 5 dias seclists.org
Comprometimento de certificados intermediários da eMudhra e remoção da raiz Comodo AAA Services
Mensagem na lista oss-sec de Jeffrey Walton esclarece que a remoção da raiz Comodo AAA Services dos navegadores não está ligada ao incidente da eMudhra. A raiz, emitida em 2004, excede o limite de 15 anos das políticas atuais do CA/Browser Forum.
- há 5 dias therecord.media
FBI alerta: ransomware SafePay está entre os mais ativos, com mais de 600 vítimas desde 2024
FBI, Reino Unido e Alemanha afirmam que o grupo SafePay ataca empresas e infraestrutura crítica por meio de senhas adivinhadas, exploração de vulnerabilidades e phishing.
- há 5 dias seclists.org
Nova versão crítica de segurança do PHP anunciada: prepare inventário e atualização
Aviso publicado na lista oss-sec por Alan Coopersmith, em 20 de outubro de 2026, anuncia uma próxima versão crítica de segurança do PHP, com referência ao registro oficial do projeto. Equipes que operam PHP devem se preparar antes da publicação.
SUSE avança para desativar binários setuid em todo o sistema Linux
A equipe de segurança da SUSE trabalha para desativar setuid em todo o sistema, medida que ainda enfrenta obstáculos, segundo o artigo do LWN sobre a apresentação de Thorsten Kukuk na All Systems Go! 2026.
- há 5 dias therecord.media
Violação na ETS expõe dados de estudantes de escolas públicas da Califórnia
O Departamento de Educação da Califórnia alertou estudantes de escolas públicas sobre dados roubados em uma violação de meses na prestadora de avaliação ETS, Educational Testing Service.
- há 6 dias therecord.media
ConnectWise suspende o Cloud Backup após acesso não autorizado ligado a ataque à cadeia de suprimentos
A ConnectWise suspendeu o serviço Cloud Backup depois de confirmar acesso não autorizado ao ambiente do serviço. Empresas que usam backup gerenciado por terceiros precisam revisar dependências, credenciais e planos de recuperação.
- há 6 dias seclists.org
Cpanel::JSON::XS para Perl: 15 CVEs corrigidas a partir da versão 4.80
Aviso de segurança do oss-sec, publicado em 19 de outubro, descreve falhas no Cpanel::JSON::XS anteriores à versão 4.80 para Perl, como vazamento de dados, esgotamento de pilha e confusão de tipos em decodificação JSON.
- há 6 dias seclists.org
CVE-2026-86467: CSRF no login SAML do Amazon provider do Apache Airflow
Advisory moderado publicado em 19 de outubro de 2026 descreve falha de CSRF no fluxo de login SAML do gerenciador de autenticação AWS, nas versões anteriores à 9.38.0 do Apache Airflow Amazon provider. Um atacante não autenticado pode conectar a vítima à conta dele.
- há 6 dias therecord.media
Juiz rejeita pedido do WhatsApp para declarar fabricante de spyware em desacato
Segundo o artigo do The Record, um juiz federal negou o pedido do WhatsApp para considerar o NSO Group em desacato por suposta violação de liminar de 2025 que proibia o uso do aplicativo para disseminar spyware, afirmando que a empresa não apresentou informações suficientes.
Kernel 7.3 bate recordes com contribuições assistidas por LLM
O artigo do LWN sobre o ciclo de desenvolvimento do kernel 7.3, lançado em 18 de outubro, traz estatísticas de recordes, o peso das contribuições assistidas por LLM e uma análise da revisão automatizada de patches.
- há 6 dias research.checkpoint.com
Relatório da Check Point: violações, ataques e riscos em IA
O relatório de 19 de outubro de 2026 reúne violações de dados, ataques a sistemas conectados e riscos de segurança em IA, incluindo duas falhas corrigidas no gateway LiteLLM.
- há 7 dias ubuntu.com
Aviso do Ubuntu corrige várias falhas no RabbitMQ Server, incluindo bypass de autenticação TLS
O aviso USN-8933-1 da Ubuntu Security corrige falhas no RabbitMQ Server que vão de XSS e CORS a bypass de autenticação de cliente TLS e negações de serviço. Veja o que uma equipe pode fazer para reduzir a exposição.
- há 7 dias isc.sans.edu
Detecção de projetos VBA órfãos em arquivos DWG com regra YARA
Em 18 de outubro de 2026, o SANS Internet Storm Center publicou uma regra YARA para identificar projetos VBA órfãos dentro de arquivos DWG, uma verificação que pode ser incorporada ao recebimento de arquivos de engenharia.
Hooks de fornecedores no kernel do Android e a divergência com o kernel principal
Artigo da LWN sobre a sessão da Linux Plumbers Conference de 2026 que discutiu hooks de fornecedores, a forma preferida de manter alterações do Android fora da árvore principal do kernel.
Vamos avaliar seu projeto
Respondo com escopo e proposta.