Um pesquisador afirma ter alertado a SharkNinja desde março sobre uma vulnerabilidade que permite assumir o controle remoto de aspiradores-robôs Shark, acessar suas câmeras e exfiltrar dados sensíveis. Os patches ainda não foram lançados.
Jul 27, 2026 4 1
CVE-2026-54121, CVSS 8.8. Uma conta de domínio sem privilégios é suficiente para obter um certificado AD CS assinado para a identidade de um Domain Controller, autenticar-se via PKINIT e extrair krbtgt via DCSync. Corrigido em 14 de julho de 2026, exploit público desde hoje.
Jul 24, 2026 3 1
CVE-2026-32194 e CVE-2026-32191, ambas com pontuação CVSS 9.8. Duas injeções de comando no pipeline de busca de imagens do Bing: um simples SVG cujo atributo de imagem começa com « | » é suficiente para que o ImageMagick execute comandos shell no lado do servidor da Microsoft. Descoberto pela startup autônoma XBOW, corrigido em março de 2026, publicado hoje.
Jul 24, 2026 4 2
Pesquisadores demonstram que um atacante local pode interceptar e substituir um aplicativo macOS durante o seu download, antes que o Gatekeeper termine o seu trabalho. A Apple, informada, minimiza. Detalhamento de um ataque "bobo e direto" que expõe uma zona cinzenta do modelo de confiança do macOS.
Jul 24, 2026 5 2
Socket.dev documentou uma campanha onde 583 *workflows* do GitHub Actions inseridos em 10 pacotes PHP escaneiam a internet em busca de instâncias vulneráveis do cPanel/WHM ao *bypass* de autenticação CVE-2026-41940 — para roubar aproximadamente todas as credenciais disponíveis. Cerca de 6.100 *workflows* carregam a assinatura da campanha no GitHub.
Jul 23, 2026 18 3
Zenity Labs tornou público em 23 de julho de 2026 uma falha no construtor de agentes do ChatGPT que permitia instalar silenciosamente um agente malicioso herdando todos os conectores da vítima (Outlook, Slack, Drive…). Corrigida em 9 de junho — mas a classe de vulnerabilidade permanece a ser monitorada.
Jul 23, 2026 7 2
Uma vulnerabilidade na integração MCP (Model Context Protocol) do Azure DevOps permite que um comentário invisível em uma pull request desvie um agente LLM encarregado de revisá-la.
Jul 23, 2026 7 2
Uma vulnerabilidade na extensão do navegador Adobe Acrobat permite que sites maliciosos leiam os dados do WhatsApp Web da vítima — um contorno clássico da Same-Origin Policy por meio de uma extensão privilegiada.
Jul 23, 2026 18 3
Uma vulnerabilidade no snap-confine permite que um usuário local obtenha privilégios de root em instalações padrão do Ubuntu Desktop, onde o Snap é ativado por padrão.
Jul 23, 2026 9 3
Um simples comentário oculto em um pull request do Azure DevOps pode virar o agente de IA de revisão de código contra si mesmo — e fazê-lo drenar projetos aos quais o invasor normalmente não teria acesso. A vulnerabilidade está no servidor MCP oficial da Microsoft.
Jul 22, 2026 8 2
Uma vulnerabilidade crítica de *authentication bypass* no PAN-OS, no portal GlobalProtect (o firewall VPN da Palo Alto Networks), está agora sendo explorada na prática pelo grupo de *ransomware* Qilin. A Arctic Wolf, relatada pelo BleepingComputer, confirma intrusões ativas: o *patch* não pode mais esperar.
Jul 21, 2026 24 3
Em 20 de julho de 2026, a Hugging Face revela uma violação em sua infraestrutura de produção. A entrada ocorreu por meio de um *dataset* malicioso, mas o mais preocupante está em outro ponto: as operações após a intrusão foram conduzidas por um « *framework* de agente autônomo » executando milhares de ações por meio de um enxame de *sandboxes* efêmeras.
Jul 20, 2026 23 3
