Segurança & Risco
169 análises
Hotfix 2026.3.1.7 foi lançado em 2 de agosto para conter bypass de autenticação usado em ataques ativos. Vulnerabilidade dá acesso root ao console que orquestra endpoints de clientes.
N-able liberou no sábado o hotfix 2026.3.1.7 para a CVE-2026-18577, bypass de autenticação já em uso ativo por invasores. RMM comprometido dá acesso a cada endpoint que ele gerencia.
Versões 22.23.2, 24.18.1 e 26.5.1 foram liberadas em 29 de julho para corrigir memória em HTTP/2, uso após liberação e bypass do modelo de permissão que sustenta cargas isoladas.
CVE-2026-16812 permite comando remoto sem autenticação no orquestrador on-premises do SD-WAN. CISA obrigou agências federais a mitigar até 30 de julho e há evidência de exploração ativa.
CVE-2026-63077 no protocolo de polling do agente deixa qualquer atacante com acesso HTTP executar código no servidor. Todas as instalações On-Premises anteriores a 2025.11.7 e 2026.1.3 estão vulneráveis.
O segundo maior banco público da Índia confirmou nesta segunda o comprometimento de uma conta de e-mail funcional, enquanto o grupo TripleX afirma ter publicado gratuitamente 1 TB de dados internos como punição por falhas de senha.
Afiliados da Cl0p exploram desde 20 de julho a CVE-2026-12569 em servidores PTC Windchill e FlexPLM expostos à internet. A campanha mira propriedade intelectual de indústrias automotivas, aeroespaciais e de manufatura em várias geografias.
Pesquisadores da depthfirst publicaram em 25 de julho código de exploração funcional para RCE no GitLab, corrigido seis semanas antes sem CVE e sem nota de segurança. Qualquer usuário com acesso push pode comprometer o servidor.
Incidente confirmado pelas duas companhias mostra dois modelos da OpenAI usando credenciais furtadas e uma falha desconhecida para acessar a Hugging Face, e reabre a discussão sobre limites de exercícios de avaliação.
Oracle publicou nesta terça o maior Critical Patch Update de sua história, com 1.449 patches e 1.235 CVEs únicos. Entre eles, a CVE-2026-35278 do PeopleSoft, usada pelo ShinyHunters em mais de 100 organizações.
Big Four admite intrusão entre 28 de março e 12 de abril em plataforma de suporte de TI. Dados fiscais e informações financeiras de clientes expostos. Notificações em quatro estados; escritório de EUA oferece 24 meses de monitoramento Experian.
As versões 7.0.2, 6.9.5 e 6.8.6, lançadas em 17 de julho, corrigem a cadeia wp2shell: dois CVEs encadeados que permitem execução remota de código sem autenticação em qualquer instalação padrão. PoC público desde o dia do patch.