Segurança & Risco
140 análises
Vulnerabilidade de execução remota corrigida pela Microsoft em 26 de maio ficou meses sem patch em servidores expostos. CISA incluiu no catálogo KEV em 1 de julho e The Hacker News detalhou o ataque em 2 de julho.
Cato AI Labs divulgou nesta quarta o DuneSlide, par de vulnerabilidades zero-click em Cursor 3.0 que quebra sandbox por instrução plantada em MCP ou página web carregada pelo agente.
Boletim APSB26-68 corrige 11 CVEs, sete com nota máxima, em ColdFusion 2025, ColdFusion 2023 e Campaign Classic 7.4.3. Adobe deu Priority Rating 1, categoria em que a companhia estima exploração iminente.
CVE-2026-48558 permite forjar sessão de técnico e derrubar MFA; carga final, o Djinn Stealer, mira arquivos MCP com credenciais dos assistentes de código Claude, Gemini, Codex, Cline e Kilo.
JFrog identifica dois pacotes npm e um cluster de 16 pacotes Go hijacked com payload que aciona via tasks.json do VS Code e busca instruções em transações Tron, Aptos e BSC.
Vulnerabilidade no parser de pacotes do libssh2 ganhou exploit funcional no GitHub. Curl, Git, PHP e dezenas de appliances estão na linha de tiro até a 1.11.1 inclusive.
Agência federal americana fixou em domingo o prazo para órgãos do governo aplicarem o patch da CVE-2026-20230, falha de SSRF no Cisco Unified Communications Manager já explorada por atacantes desde o fim de semana de 21 e 22 de junho.
CVE-2026-20230 no Cisco Unified Communications Manager e CVE-2026-12569 no PTC Windchill chegam ao prazo federal da CISA nesta segunda-feira com exploração ativa confirmada. A falha da Cisco abre rota até root; a do Windchill instala webshells em plataformas de PLM industrial globais.
Agência americana adicionou em 25 de junho a CVE-2026-12569 no Windchill (CVSS 10.0) e a CVE-2026-20230 no Cisco UCM, ambas com webshells observadas em produção e prazo de remediação para 16 de julho.
A montadora indiana, dona da terceira maior frota global de motocicletas, comunicou à SEBI um ataque que afetou matriz e subsidiária técnica. A CERT-In foi acionada e nenhum grupo cibercriminoso reivindicou o ataque até o fechamento desta matéria.
Indiana confirma incidente mas não comenta pedido de resgate. Grupo afirma ter publicado 204.341 arquivos (630 GB) com esquemas de iPhone e diagrama de carregador da Model Y.
Falha pré-autenticação no sidecar PostgreSQL do Splunk Enterprise está sendo explorada em ataques. Prazo da CISA expirou no domingo, 21 de junho, e o exploit do watchTowr já está em circulação.