Segurança & Risco
140 análises
Falha use-after-free com CVSS 8.8 estava no fluxo de desbloqueio de clientes desde a versão 7.2.0, de agosto de 2023. Bug foi achado por uma ferramenta autônoma de bug bounty.
Net New ARR recorde de US$ 256 milhões e desdobramento de ações 4 para 1 elevaram o guidance anual, mas billing abaixo do consenso puniu o papel após o pregão de 3 de junho.
Modelo de fronteira não-lançado da Anthropic já identificou mais de 10 mil falhas críticas. Empresa aporta US$ 100 milhões em créditos de uso e US$ 4 milhões em doações para segurança open source.
Mandato vale desde 1 de junho para usuários individuais do Trusted Access for Cyber com acesso ao GPT-5.5, GPT-5.5-Cyber e GPT-5.4-Cyber. Yubico fornece YubiKey em pack duplo dedicado.
O Sysdig TRT registrou a primeira intrusão autônoma conduzida por agente de LLM: via CVE-2026-39987 no Marimo (CVSS 9,3), o atacante exfiltrou um banco de dados PostgreSQL em menos de uma hora, sem scripts pré-escritos.
A falha permite tomada total de instâncias por atacante remoto sem login e abre o novo ciclo mensal de patches críticos da Oracle. ORDS 24.2.0 a 26.1.0 estão afetados.
Falha na policy SetIntegrationRequest do Apigee recebeu 9,2 no CVSS e permite exfiltrar tokens de conta de serviço, mas depende de uma configuração insegura prévia no proxy de API.
Requisição forjada permite execução remota de código sem autenticação no Web Server Plug-ins do WebSphere 8.5 e 9.0. No mesmo dia, a IBM publicou outra falha 9,8 no Engineering Lifecycle Management.
Brecha no virt-handler do KubeVirt permite que um usuário com edição em um único namespace sequestre o socket do CRI-O e comprometa o nó inteiro. Red Hat publicou erratas para as linhas a partir da 4.12.
Falha sem autenticação no GitHub Enterprise Server recebeu 9,2 no CVSS e permite redirecionar chamadas internas para vazar credenciais. Correções estão nas builds 3.16.20, 3.17.17, 3.18.11 e 3.19.8.
Na madrugada de 22 de maio, um agente com acesso organizacional ao GitHub reescreveu 502 tags históricas de quatro pacotes PHP, injetando um backdoor que exfiltra credenciais de cloud, tokens CI/CD e secrets de Kubernetes sem alertas visíveis.
O grupo de extorsão CoinbaseCartel reivindicou acesso ao domínio panasonic.aero em 22 de maio de 2026. A Panasonic Avionics atende mais de 200 companhias aéreas e cobre cerca de 70% da frota global de aeronaves equipadas com sistemas IFE.