Segurança & Risco
142 análises
Na madrugada de 22 de maio, um agente com acesso organizacional ao GitHub reescreveu 502 tags históricas de quatro pacotes PHP, injetando um backdoor que exfiltra credenciais de cloud, tokens CI/CD e secrets de Kubernetes sem alertas visíveis.
O grupo de extorsão CoinbaseCartel reivindicou acesso ao domínio panasonic.aero em 22 de maio de 2026. A Panasonic Avionics atende mais de 200 companhias aéreas e cobre cerca de 70% da frota global de aeronaves equipadas com sistemas IFE.
O CISO da GitHub atribuiu nesta quinta-feira a invasão de 3.800 repositórios internos a uma versão maliciosa da extensão Nx Console para VS Code, ligada ao ataque de cadeia de suprimentos contra pacotes npm do TanStack em 11 de maio.
O grupo TeamPCP comprometeu um dispositivo de funcionário do GitHub com uma extensão adulterada do VS Code para exfiltrar cerca de 3.800 repositórios internos. A empresa confirma que dados de clientes não foram afetados.
Sem exigir autenticação, a CVE-2026-9082 recebeu pontuação 20/25 no sistema de risco do Drupal e pode levar a execução remota de código em instalações com PostgreSQL. Patch disponível nesta quinta-feira.
Grupo Nitrogen reivindica exfiltração de 8 TB em 11 milhões de arquivos da Foxconn, incluindo desenhos técnicos de projetos da Apple, Google e Nvidia. AppleInsider confirmou hoje a presença de esquemáticos de servidores Apple no material vazado.
Vulnerabilidade crítica CVE-2026-42945, presente no NGINX desde 2008, foi explorada ativamente três dias após publicação de prova de conceito. Afeta todas as versões entre 0.6.27 e 1.30.0, responsáveis por 32,8% dos servidores web globais.
SAP S/4HANA recebe correção para SQL injection com CVSS 9.6 no mesmo mês em que mais da metade dos clientes globais conclui migração para a versão. FortiAuthenticator e FortiSandbox são atualizados contra falhas de controle de acesso, e n8n acumula cinco CVEs 9.4.
CVE-2026-20182 permite bypass de autenticação no Catalyst SD-WAN Controller e escalada para root. Grupo identificado como UAT-8616 já modificava configurações NETCONF nos sistemas comprometidos. CISA exigiu correção em três dias.
CVE-2026-42897 permite execução de JavaScript via email aberto no Outlook Web Access. CISA exigiu correção até 29 de maio. Falha afeta Exchange Server 2016, 2019 e Subscription Edition, mas não atinge Exchange Online.
Um ataque ao pipeline de release do projeto TanStack comprometeu 84 artefatos em 42 pacotes npm e respingou na OpenAI, que confirmou comprometimento das chaves de assinatura de aplicativos para Windows, macOS, iOS e Android e iniciou o re-lançamento de todos os apps com novos certificados.
A Grafana Labs confirmou em 17 de maio que um terceiro obteve um token de acesso ao GitHub corporativo da empresa e baixou parte do código-fonte. A companhia recusou o pedido de resgate do grupo CoinbaseCartel e citou orientação do FBI para justificar a postura.