Segurança & Risco
88 análises
A falha de path traversal no Adobe ColdFusion foi corrigida em 30 de junho, mas atacantes começaram a explorar em duas horas. O CISA fixou 10 de julho como prazo federal.
Falha de controle de acesso permite execução de comando sem autenticação em rede adjacente e integra o pacote SAB-066, que corrige 25 vulnerabilidades na linha UniFi.
A Sysdig detectou primeira tentativa de exploração 13 dias depois do patch, contra 6.200 instâncias expostas. O bug vem de linha do app.ini que confia em qualquer IP.
Falha de path traversal recebeu nota máxima e virou alvo de exploração ativa duas horas depois do boletim técnico. CISA deu prazo até 10 de julho para o Executivo Civil Federal.
Relatório preliminar copresidido por Yoshua Bengio e Maria Ressa desmonta a narrativa de safety-by-design das grandes desenvolvedoras e joga a bola para reguladores e compradores corporativos.
CVE-2026-46242, 'Bad Epoll', permite que qualquer conta local sem privilégios obtenha root em servidores Linux e Android com kernel 6.4+. A correção existe desde abril; a maioria das distribuições ainda não publicou o backport.
A Singapore Land Authority confirmou acesso não autorizado a ambiente de nuvem gerenciado pela IBM, expondo nomes, números de NRIC e endereços de cerca de 70.000 pessoas armazenados desde 1998 em dataset de testes nunca anonimizado.
Pesquisador da Universidade Nacional de Seoul publicou exploit funcional para CVE-2026-46242: qualquer processo local sem privilégios pode obter root em kernels Linux 6.4 a 6.12 e em dispositivos Android.
Vulnerabilidade de execução remota corrigida pela Microsoft em 26 de maio ficou meses sem patch em servidores expostos. CISA incluiu no catálogo KEV em 1 de julho e The Hacker News detalhou o ataque em 2 de julho.
Cato AI Labs divulgou nesta quarta o DuneSlide, par de vulnerabilidades zero-click em Cursor 3.0 que quebra sandbox por instrução plantada em MCP ou página web carregada pelo agente.
Boletim APSB26-68 corrige 11 CVEs, sete com nota máxima, em ColdFusion 2025, ColdFusion 2023 e Campaign Classic 7.4.3. Adobe deu Priority Rating 1, categoria em que a companhia estima exploração iminente.
CVE-2026-48558 permite forjar sessão de técnico e derrubar MFA; carga final, o Djinn Stealer, mira arquivos MCP com credenciais dos assistentes de código Claude, Gemini, Codex, Cline e Kilo.