A mensagem comenta os intervalos de versões afetadas já informados para PHP 8.2 a 8.5. Ela ressalta que a formulação pode levar à interpretação de que versões mais antigas não são afetadas e aponta para um comunicado do PHP.
O item informa a data do episódio e inclui um link para a página do podcast. Como o corpo está vazio, não há detalhes adicionais sobre o tema.
O sumário semanal menciona artigos sobre hooks de fornecedores Android, builds reproduzíveis, estruturas de dados em Rust, mudanças no servidor NFS e outros temas. Também lista breves notas sobre comprometimento de uma CA e vulnerabilidades no PHP, Node.js e musl.
O item aponta para uma publicação da Foxio sobre ataques de amplificação QPACK contra servidores HTTP/3. A mensagem informa que o texto vinculado apresenta mais detalhes após o resumo inicial.
O autor comenta que os certificados são assinados cruzadamente e que não encontrou esse requisito nas regras da CA/B Forum. Também relata que, apesar de uma alteração esperada no Firefox 153 ESR, seu navegador ainda confiava no certificado Comodo AAA.
A vulnerabilidade afeta Robots-Validate nas versões a partir de 0.4.3 e anteriores à 0.4.10. O estado do comparador de User-Agent pode persistir de uma solicitação anterior, fazendo com que clientes de relatório sejam identificados como robôs impostores. Consulte o registro do pacote para detalhes.
A falha afeta o pacote Perl Net-LibSSH em versões anteriores à 0.004. A conexão não verifica a chave do host em relação a known_hosts, permitindo autenticação em um servidor não verificado. Consulte o registro do pacote para obter informações adicionais.
A falha afeta o Rex para Perl até a versão 1.16.1. A operação sync define StrictHostKeyChecking=no, permitindo aceitar uma chave de host SSH desconhecida durante transferências rsync remotas. Consulte o repositório do projeto para detalhes.
A vulnerabilidade afeta o pacote Perl Algorithm-UrataniTakeda a partir da versão 0.1.5 e antes da 0.1.7. Um cache de deslocamentos de falha que não é limpo na função search pode levar ao esgotamento de memória. Consulte o registro do pacote para mais informações.
O aviso fornece para Ubuntu 26.10 as atualizações correspondentes do libsoup3 após a USN-8890-1. As falhas descritas envolvem o tratamento de solicitações HTTP/2, conexões proxy HTTPS, solicitações chunked, credenciais de autenticação de proxy e cabeçalhos Range. Aplique as atualizações disponibilizadas para os sistemas afetados.
O PHP anunciou que lançaria uma atualização crítica no mesmo dia. O SANS ISC mudou o infoCon para amarelo devido ao uso disseminado do PHP, à gravidade esperada da falha (CVSS 9.4) e à disponibilidade de exploits PoC preliminares antes do lançamento do patch.
O Apache Pulsar PMC publicou um comunicado de segurança sobre o Apache Pulsar Manager. O produto chegou ao fim de vida e foi descontinuado, e os problemas não serão corrigidos. O comunicado descreve a CVE-2026-105944 como ausência de autenticação e autorização e divulgação das credenciais de administrador do Pulsar.
Crítico · 8/9 Chaves privadas fracas em oito certificados intermediários da eMudhra podem permitir que um atacante que as obtenha se passe por sites ou serviços, dependendo das validações e dos repositórios de confiança usados. Navegadores bloquearam seis certificados TLS e a Microsoft bloqueou dois de assinatura de código, mas outros programas podem continuar vulneráveis. A eMudhra revogou os certificados, e a Talos recomenda atualizar softwares e repositórios de confiança conforme as correções dos fornecedores forem disponibilizadas.
O Apache Pulsar PMC publicou 14 comunicados de segurança para o Apache Pulsar em 21 de outubro de 2026: uma falha crítica, quatro de alta gravidade, quatro de gravidade média e cinco de baixa gravidade. Todas foram corrigidas nas versões 4.0.14, 4.2.5 e 5.0.0. Recomenda-se que os usuários atualizem para uma dessas versões.
O escândalo de privacidade de dados da Cambridge Analytica, ocorrido há uma década, continua afetando as finanças da Meta. O texto relaciona a repercussão financeira à decisão sobre privacidade no Novo México mencionada no título.
A PHP Foundation explicou como surgiram as vulnerabilidades divulgadas e por que a correção demorou. As alternativas para resolver o problema de OOM envolviam compromissos técnicos, e a equipe teve dificuldade para chegar a uma decisão. A fundação reconheceu que a demora foi uma falha estrutural, ligada ao processo decisório e à falta de recursos.
Uma iniciativa do setor privado, lançada nesta semana, oferecerá apoio para reforçar a cibersegurança de até 500 concessionárias com poucos recursos. O título informa que a iniciativa foi lançada por três empresas de tecnologia e tem US$ 10 milhões.
A versão 13.0.0 do Pillow inclui diversas correções de segurança. As notas de lançamento e os comunicados GHSA estão disponíveis nos links fornecidos. Usuários podem consultar esses materiais para obter os detalhes das correções.
Os dois parlamentares destacaram que a atualização mais recente não indicava que algum país estivesse realizando o esforço tecnicamente complexo de interferir ou invadir a infraestrutura eleitoral do país, nem de adulterar diretamente os votos. O título relata a avaliação de parlamentares democratas sobre as intenções da Rússia antes das eleições de meio de mandato.
As falhas descritas no c-ares incluem análise incorreta de respostas SOA e de strings sortlist, além de validações insuficientes ao processar nomes DNS e respostas DNS. Um invasor remoto pode causar falhas, consumo excessivo de recursos e negação de serviço; uma das falhas também pode permitir execução de código arbitrário. O aviso informa as versões do Ubuntu afetadas para cada problema.
A mensagem relata que, segundo uma conversa no Matrix de #security:ubuntu.com, a Canonical perguntou ao php.org se o problema mencionado em uma publicação no Mastodon era uma vulnerabilidade real. A resposta recebida foi que o problema era não relacionado e não constituía uma falha real. O autor pede que a equipe de segurança do PHP confirme a informação.
A atualização do NSS remove os certificados de autoridade certificadora raiz "emSign ECC Root CA - G3" e "Comodo AAA Services root". A remoção foi feita porque certificados de autoridade certificadora intermediários foram comprometidos.
Em uma declaração extensa sobre duas vulnerabilidades críticas, a PHP Foundation explicou que uma delas remontava a 2024. Uma análise recente de terceiros feita por empresas de IA aumentou a atenção sobre as duas falhas. A fundação também explicou por que se apressou em divulgar as informações antes do planejado.
O projeto Node.js publicou atualizações de segurança que corrigem diversas vulnerabilidades, incluindo uma falha de execução remota de código em programas que usam compressão Brotli. O projeto musl libc também anunciou uma escrita fora dos limites que poderia levar à execução remota de código, embora isso ainda não tenha sido demonstrado.
A mensagem comenta as decisões tomadas durante o tratamento do incidente e considera importante auditar as chaves privadas associadas a certificados de autoridades certificadoras raiz e intermediárias. O texto compara essa prática à auditoria de chaves RSA PGP realizada anos atrás.
A mensagem pergunta se os certificados intermediários comprometidos ainda são usados em uma assinatura cruzada e se a urgência para removê-los está relacionada ao incidente da eMudhra. Também observa que eles ainda não haviam sido removidos no NSS 3.131.1, que remove os certificados emSign.
O Apache bRPC 1.18.0 corrige 35 vulnerabilidades: 16 classificadas como altas e 19 como moderadas. Entre os problemas descritos está o CVE-2026-48830, uma falha de autenticação que pode permitir que uma solicitação HTTP interna marque uma conexão como autenticada e contorne a autenticação em solicitações posteriores. Atualize para a versão 1.18.0, indicada como não afetada por essa falha.
A mensagem alerta que o comprometimento de certificados da eMudhra pode afetar softwares que empacotam seu próprio armazenamento de certificados raiz. O autor encontrou um arquivo de certificados no sistema associado ao pacote texlive-core no Gentoo, que usa um arquivo do pacote texlive-infra. O texto informa que o arquivo contém certificados afetados, mas a descrição termina incompleta.
O feed informa a publicação do SANS ISC Stormcast de quarta-feira, 21 de outubro de 2026, e fornece um link para o episódio. O corpo está vazio e não há outros detalhes disponíveis.
O aviso identifica o CVE-2026-112202 na distribuição Imager-File-GIF para Perl, em versões anteriores à 1.006. A falha permite leituras fora dos limites ao consolidar imagens GIF. O texto fornecido não inclui detalhes adicionais sobre impacto ou mitigação.
O CVE-2026-85783 afeta Crypt::Age para Perl em versões anteriores à 0.004. Um número ilimitado de blocos de destinatários pode causar esgotamento de CPU, pois cada um exige uma multiplicação escalar X25519 em unwrap_file_key. O texto fornecido não informa outras medidas de mitigação.
O CVE-2026-111879 afeta DBI para Perl em versões anteriores à 1.656. Quando uma operação open_data falha, o bloqueio da tabela não é liberado, e uma tentativa posterior de abri-la pode travar. O texto fornecido não detalha mitigação adicional.
O CVE-2026-108518 afeta DBI para Perl em versões anteriores à 1.656. A falha ocorre por confusão de tipos em dbi_profile quando um identificador de banco de dados é destruído sob um Profile Path que contém um elemento {attr}. O texto fornecido não apresenta orientações adicionais de mitigação.
O CVE-2026-113812 afeta Mozilla::CA para Perl em versões anteriores a 20261020. O pacote de certificados de CA inclui um certificado raiz ligado a certificados intermediários comprometidos. O conteúdo fornecido não traz detalhes adicionais sobre a correção.
Duas falhas no aplicativo de teleprompter Textream para macOS foram corrigidas na versão 1.5.1 e afetam o servidor WebSocket local DirectorServer. O CVE-2026-28403, com CVSS 7.6, permite Cross-Site WebSocket Hijacking porque o servidor aceitava conexões de qualquer origem sem verificar o cabeçalho Origin. O texto fornecido termina antes de descrever o segundo problema.
A atualização USN-8944-2 aplica às versões Ubuntu 14.04 LTS, 16.04 LTS, 18.04 LTS e 20.04 LTS as alterações da USN-8944-1, removendo os certificados em questão. O aviso original também informa a remoção do certificado emSign ECC Root CA - G3 devido ao comprometimento de certificados intermediários e a atualização do pacote nas versões 22.04 LTS, 24.04 LTS e 26.04 LTS para incluir certificados da versão 2.90 do pacote Mozilla.
A equipe de segurança do PHP informou que uma atualização de segurança de alto impacto será lançada às 14:00 UTC de 21 de outubro. Usuários do PHP são incentivados a se preparar para atualizar assim que a versão estiver disponível. Quem mantém um site em PHP provavelmente deve estar preparado.
O FBI e agências de cibersegurança do Reino Unido e da Alemanha disseram que o grupo de ransomware SafePay tem como alvo empresas e infraestrutura crítica. Segundo as agências, o grupo adivinha senhas, explora vulnerabilidades e usa ataques de phishing.
A mensagem, publicada por Alan Coopersmith em 20 de outubro, aponta para uma publicação no site do PHP. O trecho fornecido não apresenta detalhes adicionais sobre a atualização.
A mensagem esclarece que a remoção da raiz Comodo AAA Services não está relacionada ao incidente da eMudhra. Os navegadores removeram a indicação de confiança TLS porque a raiz, emitida em 2004, excede o limite de validade de 15 anos estabelecido pelas políticas atuais dos requisitos básicos da CA/Browser Forum. O texto também indica que há mais informações, mas não as inclui.
Segundo a mensagem, a Mozilla removeu as restrições do problema de rastreamento associado ao incidente da eMudhra. O registro está agora visível publicamente no Bugzilla da Mozilla.
O Departamento de Educação da Califórnia (CDE) publicou vários comunicados na última semana para alertar estudantes do estado. Os avisos informam que a Educational Testing Service (ETS), prestadora de serviços de avaliação, sofreu uma violação de dados que durou meses.
Binários setuid e setgid são há muito tempo uma fonte de problemas e vulnerabilidades em sistemas Linux. A SUSE já restringe a inclusão desses binários em pacotes, salvo revisão e autorização explícitas; Thorsten Kukuk propõe desativá-los por completo em todo o sistema. Ele apresentou o trabalho e os obstáculos restantes na conferência All Systems Go! de 2026.
O procurador-geral da Califórnia, Rob Bonta, anunciou um acordo com a sucessora da 23andMe. A empresa pagará US$ 6 milhões para resolver alegações de que não protegeu adequadamente os dados dos clientes antes de uma violação ocorrida em 2023.
A mensagem aponta para uma discussão sobre certificados intermediários da eMudhra na lista dev-security-policy da Mozilla. Segundo o autor, Chrome e Firefox já removeram a raiz da eMudhra de seus programas de raízes confiáveis. Ele não sabe se Edge, Explorer, outros navegadores ou ferramentas com seus próprios repositórios de raízes fizeram o mesmo.
A mensagem aponta para um comunicado da Mozilla sobre o lançamento do NSS 3.131.1. De acordo com o texto, a atualização é rastreada como CVE-2026-113470 para produtos Mozilla; não são fornecidos outros detalhes sobre o problema.
Foram lançadas as versões pontuais Go 1.27.3 e Go 1.26.10. O anúncio informa que elas incluem uma correção de segurança, mas o trecho fornecido não especifica o problema além de indicar crypto/x509.
O Apache Tomcat apresenta uma vulnerabilidade de leitura insuficiente de buffer nas versões 11.0.0-M25 até 11.0.26. Uma gravação grande e não bloqueante pode dividir o corpo da resposta entre a requisição atual e a seguinte na mesma conexão, provavelmente fazendo a segunda requisição falhar e possivelmente expondo dados da primeira resposta na segunda. O aviso classifica a gravidade como importante.
O WhatsApp alegou que o NSO Group violou uma ordem judicial de 2025 que proibia o uso do aplicativo de mensagens para disseminar spyware. Um juiz federal afirmou que o WhatsApp prejudicou seu próprio caso por não revelar informações suficientes.
A ConnectWise informou inicialmente que investigava tentativas de acesso não autorizado associadas ao ambiente do ConnectWise Cloud Backup. No sábado, a empresa confirmou que esse acesso ocorreu.
Mike Rapoport anunciou a publicação das gravações em vídeo da Linux Plumbers Conference (LPC) 2026, realizada em Praga de 5 a 7 de outubro. O conjunto completo está disponível pela playlist do YouTube ou pelos links de vídeo na programação. A LWN também publicou cobertura das palestras da LPC.
Um telefone pertencente ao reitor da Universidade de Belgrado foi identificado como infectado pelo spyware Pegasus. A descoberta é a mais recente de uma série de casos semelhantes no período que antecede as eleições nacionais da Sérvia.
O texto lista vulnerabilidades no Cpanel::JSON::XS para Perl, incluindo problemas de vazamento de chave, esgotamento de pilha e confusão de tipos. A versão 4.80 é mencionada como limite para várias das falhas; o conteúdo fornecido está incompleto.
O aviso classifica a gravidade como moderada e informa que o Apache Airflow Amazon provider anterior à versão 9.38.0 é afetado. O fluxo de login SAML do gerenciador de autenticação AWS não vincula a resposta de autenticação ao navegador que iniciou o processo, e o conteúdo fornecido é interrompido antes de concluir a descrição do ataque.
O Apache Camel tem uma vulnerabilidade de desserialização de dados não confiáveis no componente Camel-JGroups. A falha recebeu CVSS 3.1 de 8.8, com gravidade alta, e pode levar à execução remota de código. O aviso lista como afetadas as versões 4.0.0 até anteriores à 4.18.5 e 4.19.0 até anteriores à 4.22.1.
A varejista multinacional holandesa Ahold Delhaize afirmou que um ataque cibernético a obrigou a tirar sistemas do ar em grande parte de suas marcas nos Estados Unidos e na Europa. A interrupção afetou clientes dos dois lados do Atlântico.
O pesquisador relata uma falha de contorno do rastreamento de gravações no cache MMIO por vCPU do KVM/x86. Em uma versão principal anterior à correção, um teste do KVM reproduz uma gravação em RAM rastreada como KVM_EXIT_MMIO; o conteúdo fornecido termina durante a explicação dos espaços de endereçamento SMM.
As interrupções nos serviços da VK começaram no domingo. Usuários relataram dificuldades para carregar feeds de notícias, ouvir música e acessar outros recursos das plataformas da empresa.
Linus Torvalds lançou o kernel 7.3 em 18 de outubro, ao fim do ciclo habitual de desenvolvimento de nove semanas. O ciclo, amplamente alimentado por contribuições assistidas por LLM, quebrou diversos recordes. O artigo reúne estatísticas sobre o lançamento, previsto para ser o próximo kernel LTS, e tenta avaliar se a revisão automatizada de patches reduz a quantidade de bugs introduzidos no kernel.
O boletim semanal descreve incidentes que afetaram empresas e serviços, falhas críticas e campanhas de phishing e espionagem. Entre os destaques estão vulnerabilidades exploradas ativamente, ataques a sistemas de refrigeração e riscos associados a agentes de IA. O texto também relata correções e medidas de proteção citadas pela Check Point.
O texto apresenta uma regra YARA usada para detectar “Orphaned VBA Projects Inside DWG Files”. Não há outras informações sobre impacto ou medidas adicionais.
Uma falha de divisão por zero no GPAC/MP4Box ocorre ao importar um arquivo MP4 criado com uma fração inválida de denominador zero. A vulnerabilidade pode causar negação de serviço. O texto informa que a falha foi corrigida em um commit, sem especificar uma versão corrigida.
A mensagem questiona como o relato sobre um suposto trojan de falso recrutador se relaciona com software de código aberto. Também afirma que a lista oss-security não é um canal para centralizar relatos de malware. O título informa que o caso foi resolvido e menciona uma suspensão pelo registrador em 10 de outubro de 2026.
Um estouro de buffer baseado em heap no GPAC/MP4Box ocorre ao importar um arquivo MP4 criado com metadados de amostra manipulados, como contagens de amostras corrompidas. A falha tem pontuação CVSS 3.1 de 8,8 e exige interação do usuário, segundo o vetor informado. O texto indica que a correção está em um commit, sem especificar uma versão corrigida.
A mensagem responde a questionamentos sobre uma publicação referente ao domínio taikotalent.xyz. O autor agradece a verificação independente do estado do domínio e reconhece que o texto de acompanhamento, preparado com assistência de LLM no fluxo de resposta a incidentes da AliceLabs, deveria ter informado isso. Também aceita duas correções de processo.
A mensagem apresenta uma atualização sobre o volume de mensagens e a quantidade de inscritos na lista oss-security. Entre junho e setembro, foram aceitas de 319 a 400 mensagens por mês, mas houve uma leve redução no número de inscritos. O moderador também começou a adiar a aprovação de divulgações com várias mensagens para priorizar as que já aguardavam na fila.
O aviso descreve vulnerabilidades no Text::CSV_XS para Perl, com falhas relacionadas à alocação de memória, ao tratamento de linhas vazias e à leitura de registros. O conteúdo recebido está truncado e não permite identificar todas as falhas nem recomendações de correção.
A mensagem encaminha um aviso de segurança sobre vários problemas nas bibliotecas cliente do X.Org. Informa que as cinco versões das bibliotecas já estão disponíveis e aponta para os anúncios de lançamento. O texto recebido não especifica os problemas nem as ações recomendadas.
O projeto GNOME anunciou o GNOME OS Preview, uma edição baseada na versão estável mais recente do GNOME, em vez de compilações Nightly. A versão citada é o GNOME 51.1. O sistema ainda teve poucos testes no mundo real e não é considerado completo nem estável para o público em geral; usuários interessados podem baixá-lo, sabendo que talvez precisem reinstalá-lo quando uma versão estável for declarada.
Estruturas autorreferenciais que possam ser usadas sem código unsafe são um desafio antigo para Rust, embora possam ser uma escolha algorítmica adequada em vários casos. No Kangrejos 2026, Gary Guo apresentou uma solução no contexto do crate pin_init do kernel, que ajuda a criar estruturas de dados imóveis, geralmente para interoperabilidade com C. As mudanças podem ajudar a remover a maior parte do código unsafe relacionado a lifetimes no driver Nova e, futuramente, em outros componentes Rust.
O relatório Infinity Core reúne seis vulnerabilidades nos subsistemas Timer, Signal, MM, Futex, Scheduler e SLAB do kernel Linux. Segundo o texto, elas podem ser exploradas para escalonamento local de privilégios em servidores Linux, fuga de contêineres e escalonamento de privilégios no Android. O conteúdo fornecido não apresenta detalhes adicionais sobre as falhas.
Uma vulnerabilidade de injeção de opções de montagem no mount.cifs pode permitir escalonamento local de privilégios em configurações de montagem privilegiadas afetadas. As versões afetadas indicadas são cifs-utils-4.2 a cifs-utils-7.8. Recomenda-se atualizar para cifs-utils 7.9; distribuidores também podem aplicar as correções retroativamente.
A empresa de cibersegurança Proofpoint afirmou que vai adquirir a Varonis, empresa de visibilidade e segurança de dados sediada em Miami. A transação será totalmente em dinheiro e está avaliada em US$ 6,3 bilhões.
O protocolo de sistema de arquivos de rede NFS tem uma longa história em sistemas operacionais semelhantes ao Unix e em outros sistemas, e continua evoluindo. Na Linux Plumbers Conference 2026, o desenvolvedor do NFS Jeff Layton apresentou melhorias recentes na implementação para Linux e algumas indicações sobre mudanças futuras.
Foram anunciados os resultados da eleição de 2026 para os membros do Technical Advisory Board (TAB) da Linux Foundation. Kees Cook, Dave Hansen, Miguel Ojeda e Shuah Khan foram reeleitos, e Laurent Pinchart ingressará no conselho.
Autoridades russas teriam detido três supostos integrantes do grupo hacker DataSuckers, após um ataque cibernético a uma rede popular de restaurantes. O incidente expôs grandes quantidades de informações de clientes.
AlmaLinux, Debian, Mageia, Oracle, Red Hat, SUSE e Ubuntu emitiram atualizações de segurança. Os pacotes listados incluem componentes como Chromium, cifs-utils, kernel, OpenSSH, QEMU e RabbitMQ Server, entre muitos outros. Consulte os avisos de cada distribuição para obter os detalhes das atualizações.
O condado de Anne Arundel, em Maryland, confirmou que um invasor roubou arquivos de sistemas governamentais. Investigadores trabalham para determinar quanto conteúdo foi exposto, após alegações de ransomware relacionadas ao incidente ocorrido em agosto.
Um grupo supostamente apoiado pelo Estado chinês está usando uma nova vulnerabilidade zero-day que afeta o software de suporte de TI da BeyondTrust. O objetivo relatado dos ataques é realizar espionagem.
O documento descreve dez práticas voluntárias para organizações que treinam e avaliam agentes de superinteligência altamente capazes, especialmente sistemas de alto risco antes da implantação. As recomendações abrangem limitação de acessos, monitoramento, preservação de evidências, contenção, recuperação e comunicação de incidentes e quase incidentes. O texto destaca a importância de testar os controles e validar a contenção antes de retomar as atividades dos agentes.
A CVE-2026-102764 afeta o BeyondTrust Remote Support nas versões 26.2.3 e anteriores e está sendo explorada para obter acesso inicial, manter persistência, elevar privilégios e se movimentar lateralmente. Organizações com appliances auto-hospedados afetados devem aplicar a correção BT26-05-RS, atualizar versões anteriores à 24.3.1 e investigar possíveis comprometimentos. A CISA também recomenda restringir o acesso, preservar e examinar registros e evidências forenses e, após reconstruir o sistema, trocar credenciais e revogar sessões.
CISA e FBI publicaram um alerta de serviço público sobre ameaças cibernéticas contra autoridades eleitorais, candidatos e organizações políticas. Os ataques podem usar mensagens convincentes por e-mail, texto, áudio e vídeo para induzir destinatários a revelar informações ou abrir links e anexos maliciosos. As agências recomendam consultar o alerta, seguir práticas de cibersegurança e permanecer atento a mensagens suspeitas.
As vulnerabilidades adicionadas são uma falha de path traversal em vários produtos Fortinet e um bypass de autenticação no BeyondTrust Remote Support. A diretiva BOD 26-04 exige que agências federais priorizem a correção de vulnerabilidades de alto risco listadas no KEV em ativos expostos publicamente e orienta quando verificar possível comprometimento. A CISA incentiva todas as organizações a adotar uma gestão de vulnerabilidades baseada em risco e priorizar as falhas do catálogo.
Informativo · 1/9 O texto destaca o desafio de equilibrar a alta potência das baterias quânticas com um fornecimento de energia estável. O conteúdo não apresenta informações de cibersegurança.
Informativo · 1/9 O texto relata a descoberta de um fenômeno que os físicos chamaram de confinamento cósmico. Segundo o conteúdo fornecido, ele parece suprimir o risco de o Universo colapsar em algo diferente. O tema não está relacionado à cibersegurança.
Uma falha de autenticação para uma função crítica no Apache Answer permitia que usuários não autorizados lessem metadados de reações em conteúdo restrito ou adicionassem e removessem as próprias reações. O problema afeta o Apache Answer até a versão 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha.
No Apache Answer até a versão 2.0.2, a integração de login do User Center pode criar uma sessão de usuário externo sem a identidade externa correspondente. Com isso, solicitações posteriores podem deixar de respeitar a suspensão ou exclusão da conta central enquanto a sessão... O texto fornecido está truncado e não informa a correção recomendada.
A ausência de verificações de autorização permitia que usuários autenticados realizassem ações em conteúdo não público ao qual não tinham permissão de acesso. O problema afeta o Apache Answer até a versão 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha; o relato é creditado a Luigi Colluto.
Uma falha na expiração de sessões no Apache Answer permite que usuários revogados continuem acessando arquivos privados conhecidos usando um token de visita obsoleto. O problema afeta as versões até 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha.
Uma verificação de autorização inadequada na busca por perguntas semelhantes permitia que usuários autenticados visualizassem metadados de perguntas não públicas no Apache Answer. O problema afeta as versões até 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha.
Uma falha no Apache Answer permitia que atacantes não autenticados acessassem, por meio de perfis públicos de usuários, comentários associados a conteúdo não público. O problema afeta as versões até 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha.
Uma falha de exposição de informações sensíveis no Apache Answer permitia que atacantes não autenticados obtivessem, por meio de perfis públicos de respostas, metadados associados a perguntas ocultas. O problema afeta as versões até 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha.
A ferramenta MCP de recuperação de respostas do Apache Answer tem uma falha de autorização que permite a titulares de uma chave de API global acessar conteúdo de respostas associado a perguntas ocultas, excluídas ou pendentes de revisão. O problema afeta as versões até 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha.
Uma verificação de autorização de visibilidade ausente no Apache Answer permite que usuários não autenticados ou não autorizados recuperem a lista de usuários convidados associada a uma pergunta não pública. O problema afeta as versões até 2.0.2. Recomenda-se atualizar para a versão 2.0.3, que corrige a falha.
No Apache Answer, um código de verificação emitido para um fluxo de trabalho por e-mail podia ser aceito em outro fluxo sensível porque sua finalidade não era devidamente validada. Isso pode permitir a tomada de conta. O problema afeta as versões até 2.0.2; recomenda-se atualizar para a versão 2.0.3.
No Apache Answer, o controlador de operações de perguntas verifica a permissão de desafixar em vez da permissão de ocultar para autorizar operações de ocultar ou exibir. Em configurações personalizadas que distinguem essas permissões, um usuário com apenas question.unpin pode ocultar ou restaurar perguntas. O trecho fornecido não apresenta uma recomendação de correção.
O importador do Apache Answer armazena corpos de perguntas importadas como HTML bruto, sem aplicar o processo normal de sanitização de Markdown para HTML. Isso caracteriza uma vulnerabilidade de cross-site scripting armazenado. O problema afeta as versões até 2.0.2; o trecho fornecido não completa a descrição do conteúdo importado.
Uma vulnerabilidade de exposição de informações sensíveis em arquivos de log afeta o Apache Answer até a versão 2.0.2. As chaves de API completas são registradas a cada solicitação autenticada, permitindo que pessoas com acesso de leitura aos logs recuperem e reutilizem credenciais ativas. Recomenda-se atualizar para a versão 2.0.3, que corrige o problema.
Uma vulnerabilidade de alocação de recursos sem limites ou controle afeta o Apache Kylin das versões 4.0.0 até 5.0.4. Um invasor que tenha permissão de administrador de projeto pode usar uma API de cache para provocar esgotamento de recursos de colunas calculadas. Recomenda-se atualizar para a versão 5.0.5, que corrige o problema.
Uma falha no perfil padrão de inicialização do Apache Kylin deixa de incluir configurações de segurança. Implantações com o perfil de configurações de segurança ativado não são afetadas. O problema afeta as versões 4.0.0 até 5.0.4; recomenda-se atualizar para a versão 5.0.5, que o corrige.
O título anuncia o Stormcast do SANS Internet Storm Center de sexta-feira, 16 de outubro de 2026. O corpo do item está vazio, portanto não há informações adicionais disponíveis.
O item apresenta uma opinião sobre segurança de inteligência artificial. O autor acredita que o setor de cibersegurança talvez esteja adotando uma abordagem incorreta para esse tema. O corpo não detalha qual seria essa abordagem ou quais medidas recomenda.
O autor avalia que a mensagem anterior pode ter sido gerada por IA e afirma que não havia divulgação prévia do caso na lista. Ainda assim, considera possível que o incidente tenha sido real, após verificar que o domínio havia sido registrado recentemente e que seu registro foi modificado pela última vez em 2026-10-10. O trecho termina antes de concluir a mensagem.
A publicação informa que a campanha de e-mails falsos com uma oferta de engenharia relacionada à Taiko foi derrubada. O resumo cita um script bash iniciado por meio de comandos colados no terminal, um hash SHA-256 parcial, um servidor C2, um caminho de segunda etapa e autodeleção antiforense. O texto recebido termina após o início da linha do tempo.
Tribunais federais de falências estão enfrentando interrupções após um ataque cibernético que envolveu uma prestadora de serviços governamental. O incidente paralisou toda a produção de avisos de falência. O texto não informa medidas de resposta ou detalhes adicionais sobre o ataque.
O aviso descreve execução de comandos Ex por meio de hooks Cargo Quickfix no suporte a Rust do Vim. A falha envolve neutralização inadequada de elementos especiais usados em comandos e comandos do sistema operacional, e foi classificada como de gravidade média. O CVE foi solicitado, mas ainda não foi atribuído; o trecho não informa uma correção ou ação recomendada.
O texto relata que a existência da vulnerabilidade havia sido divulgada alguns dias antes no Twitter e que parte dos detalhes foi publicada no blog indicado. A publicação descreve uma divulgação de memória do host e caracteriza o problema como um escape de convidado para host, mas informa que uma segunda parte com mais detalhes ainda deve ser divulgada. Também menciona uma discussão anterior na lista netdev.
Uma nova pesquisa aponta a disseminação mundial de um spyware potente que infecta dispositivos sem exigir interação do usuário, usando anúncios direcionados. O relato destaca essa evolução como preocupante para a expansão das tecnologias de vigilância. O trecho não apresenta recomendações ou detalhes técnicos adicionais.
Alto · 6/9 O boletim argumenta que o crescimento no número de vulnerabilidades divulgadas não equivale a um aumento proporcional da exploração ativa: os CVEs cresceram 105% ano a ano, enquanto os KEVs aumentaram 37%. Mais de um terço dos KEVs ainda corresponde a CVEs de 2025 ou anteriores, reforçando a importância de reduzir o atraso na aplicação de correções. O texto também relata atividade de espionagem do UAT-6275 contra governos e infraestrutura crítica na Comunidade de Estados Independentes e recomenda monitorar atividades PowerShell, downloads, tarefas agendadas e alterações na pasta de inicialização do Windows, além de manter utilitários de arquivamento atualizados.
A atualização corrige falhas no RabbitMQ Server que podem permitir falsificação de solicitação entre sites, cross-site scripting, negação de serviço, exposição de informações e desvios de verificações TLS. Algumas falhas afetam apenas versões específicas do Ubuntu, conforme detalhado no aviso. Aplique as atualizações de segurança disponíveis para os sistemas afetados.
Os kernels usados pelo Android divergem significativamente do kernel principal, embora essa diferença tenha diminuído com o tempo e com a adoção da imagem de kernel genérica. Os dispositivos atuais ainda incluem muitas alterações externas à árvore principal, e os hooks de fornecedores são a forma preferida de implementá-las. Na Linux Plumbers Conference de 2026, Todd Kjos conduziu uma sessão sobre esses hooks e seu uso.
Um ataque cibernético contra a Legal Aid Agency (LAA) do Reino Unido roubou registros muito mais antigos e abrangentes do que o governo havia divulgado anteriormente. O texto não informa medidas de resposta ou recomendações adicionais.
A atualização informa que a falha recebeu o identificador CVE-2026-110734 e fornece o link para o registro. O registro está marcado como “disputed” e cita a posição do fornecedor, “no security issues”. A pontuação informada pelo MITRE é CVSS 2.5, e foi solicitado o reexame da decisão à CNA-LR do MITRE.
A atualização informa que a falha recebeu o identificador CVE-2026-110735 e fornece o link para o registro. O registro está marcado como “disputed” e cita a posição do fornecedor, “no security issues”. A pontuação informada pelo MITRE é CVSS 2.5, e foi solicitado o reexame da decisão à CNA-LR do MITRE.
A atualização informa que a falha recebeu o identificador CVE-2026-110736 e fornece o link para o registro. O registro está marcado como “disputed” e cita a posição do fornecedor, “no security issues”. A pontuação informada pelo MITRE é CVSS 3.6, e foi solicitado o reexame da decisão à CNA-LR do MITRE.
Foram encontradas várias falhas de segurança no kernel Linux, com potencial para comprometer o sistema. A atualização corrige problemas em subsistemas como NFS, OverlayFS, IPv6, Netfilter, VFIO e PCI, entre outros. Aplique a atualização de segurança correspondente.
Pesquisadores disseram que uma campanha de ciberespionagem contra países da Ásia Central, com cerca de dois anos de duração, parece ter origem no Cazaquistão. O texto não fornece detalhes sobre os alvos específicos ou medidas de mitigação.
Como parte das comemorações pelos 30 anos do KDE, o projeto lançou “The KDE Documentary — A Story of Free Software Underdogs”. O filme conta a história desde 1996 e aborda a evolução do KDE como comunidade de software livre, incluindo a disputa sobre o licenciamento do Qt, a relação com o GNOME, o KHTML e o lançamento do KDE 4.
A Canonical anunciou o lançamento do Ubuntu 26.10, “Stonking Stingray”. A versão avança recursos de segurança corporativa, conclui a adoção das coreutils baseadas em Rust uutils e aprimora integrações de autenticação com Microsoft Entra ID. Também inclui GNOME 51 e mudanças no Ubuntu App Center; as notas de lançamento detalham novos recursos e incompatibilidades com versões anteriores.
Foram publicadas atualizações de segurança por AlmaLinux, Debian, Fedora, Mageia, Oracle, Red Hat, Slackware, SUSE e Ubuntu. A lista inclui correções para diversos pacotes, entre eles kernels, navegadores, bibliotecas e componentes de rede. Consulte os avisos de cada distribuição para identificar os pacotes aplicáveis aos sistemas em uso.
Uma vulnerabilidade de repetição de solicitações OAuth1 afeta o Apache Allura até a versão 1.21.0. O aviso classifica a gravidade como baixa. Recomenda-se atualizar para a versão 1.22.0, que corrige o problema.
Uma vulnerabilidade de atribuição em massa na API REST afeta o Apache Allura até a versão 1.21.0. O aviso classifica a gravidade como moderada. Recomenda-se atualizar para a versão 1.22.0, que corrige o problema.
Uma vulnerabilidade relacionada à validação de callback OAuth1 afeta o Apache Allura até a versão 1.21.0. O aviso classifica a gravidade como importante. Recomenda-se atualizar para a versão 1.22.0, que corrige a falha.
O Maintainers Summit é um encontro anual de um dia, restrito a convidados, para cerca de 30 desenvolvedores do kernel. A edição de 2026 ocorreu em Praga e teve discussões dominadas por modelos de linguagem de grande porte e seus efeitos na comunidade. Os participantes também trataram de bugs de segurança e planejamento de sucessão de longo prazo.
O relatório da Check Point Research aborda ataques e violações, ameaças relacionadas à IA, vulnerabilidades e atualizações de segurança, além de campanhas de espionagem e ransomware. Entre os tópicos estão ataques a organizações e serviços de vários países, falhas em produtos de rede e backup e o aumento de ataques cibernéticos relatados. O conteúdo recomenda consultar o boletim de inteligência de ameaças para obter as descobertas completas.
O LineageOS, distribuição baseada em Android para dispositivos móveis, anunciou a versão 24.0. O projeto informa que adaptou suas mudanças e recursos à base de código do Android 17 mais rapidamente do que previa. A versão chega antes do décimo aniversário do projeto, em 24 de dezembro de 2026.
O aviso reúne atualizações publicadas por AlmaLinux, Debian, Fedora, Mageia, Oracle, Red Hat, Slackware, SUSE e Ubuntu. A lista inclui pacotes como kernel, OpenSSL, Chromium, Firefox, OpenVPN, QEMU e várias bibliotecas e componentes de sistema. Consulte os avisos das distribuições para detalhes sobre as correções aplicáveis aos ambientes utilizados.
O pesquisador relata ter informado a vulnerabilidade ao Google Cloud VRP em 17 de junho de 2026 e afirma que o prazo de divulgação de 90 dias passou sem resposta substantiva. A falha teria sido confirmada novamente no branch master em 11 de outubro. Foi solicitada uma identificação CVE à CNA-LR da MITRE.
O pesquisador afirma ter reportado a vulnerabilidade ao Google Cloud VRP em 14 de junho de 2026 e que o prazo de divulgação de 90 dias passou sem resposta substantiva. O problema teria sido confirmado novamente no branch master em 11 de outubro. Foi solicitada uma identificação CVE.
Um terceiro centro de dados da Yandex na Rússia foi atingido por drones ucranianos durante o fim de semana e precisou ser desligado. A interrupção afetou serviços de nuvem, pagamentos, entregas e outros serviços online no país.
A versão de pré-lançamento 7.3-rc7 do kernel foi disponibilizada para testes. Linus afirmou que, embora preferisse uma versão rc menor, não vê nela motivo para adiar o lançamento final previsto para o próximo fim de semana. Uma mudança destacada é a descontinuação do modo ext4 data=journal, que será removido no início de 2028.
O aviso descreve duas vulnerabilidades no módulo Perl DBI: validação incorreta de determinados atributos, que pode permitir execução de código arbitrário, e tratamento incorreto de operações com strings, que pode causar negação de serviço. As falhas são identificadas como CVE-2026-78030 e CVE-2026-88816. Consulte o aviso de segurança do Ubuntu para obter as atualizações aplicáveis.
O item contém apenas o título e o link do episódio do SANS ISC Stormcast de 12 de outubro de 2026. Não há descrição ou informações adicionais no corpo fornecido.
Crítico · 8/9 A pesquisa descreve uma operação que usava a identidade de uma aceleradora Web3 para atingir startups e fundadores de criptomoedas com ferramentas e auditorias fraudulentas. Os pacotes @apexacc/cli e @apexacc/audit distribuíam malware para macOS e Windows, interceptavam tráfego de LLM e podiam executar comandos fornecidos por servidores dos atacantes. A análise também identificou ferramentas de auditoria que geravam resultados fabricados e recomenda cautela com ofertas e pacotes relacionados.
Um ciberataque ocorrido durante a noite de domingo afetou os refrigeradores de centenas de supermercados franceses. A interrupção estragou alimentos frescos em lojas de algumas das maiores redes de supermercados do país.
Wonyoung Jung, da 78ResearchLab, identificou com a ferramenta PatchHawk que a correção da CVE-2026-79992 não resolvia totalmente o problema. A expressão tramp-user-regexp deixava de verificar alguns caracteres problemáticos adicionais em nomes de usuário, permitindo que a exploração continuasse possível. O patch do mantenedor do TRAMP será incluído no Emacs 31.2, cuja publicação ainda não está próxima.
Foram lançadas as versões estáveis 7.2.10 e 6.18.56 do kernel. Cada versão inclui várias centenas de correções importantes.
O aviso informa que versões anteriores à 1.07 de ExtUtils::Typemaps::STL::List, da distribuição ExtUtils-Typemaps-Default para Perl, alocam um array de 32 GiB quando recebem uma lista vazia. O texto fornecido não apresenta detalhes adicionais sobre impacto ou correção. Consulte a página do MetaCPAN indicada no aviso.
O aviso descreve um problema no typemap T_STD_STRING de ExtUtils::Typemaps::STL::String, da distribuição ExtUtils-Typemaps-Default para Perl. Nas versões anteriores à 1.06, o tamanho de SV pode ser lido antes da conversão do argumento em string. O texto fornecido não detalha o impacto nem a correção.
Uma falha na desserialização de VarOpt union no Apache DataSketches C++ pode ler até 24 bytes além do fim da entrada quando recebe uma união serializada truncada. A verificação permitia que a leitura do preâmbulo de 32 bytes ocorresse após confirmar apenas 8 bytes disponíveis. O aviso classifica a gravidade como baixa e lista versões afetadas até a 5.2.0.
Uma falha na desserialização de compact Theta sketch no Apache DataSketches C++ faz com que campos do cabeçalho sejam lidos antes da verificação do tamanho da entrada. No formato compactado, um estouro de 32 bits pode contornar a verificação de tamanho. O aviso classifica a gravidade como baixa e lista versões afetadas até a 5.2.0.
A desserialização de Count-Min sketch não incluía o preâmbulo na verificação do tamanho da entrada, permitindo uma leitura de até 16 bytes além do limite quando o sketch era truncado. O cálculo do tamanho da tabela também é citado na descrição como parte do problema. A vulnerabilidade afeta Apache DataSketches 4.1.0 até 5.2.0 e tem gravidade moderada.
A desserialização de um CPC sketch serializado criado para esse fim pode levar o descompactador a ler além do fim dos dados compactados. O problema ocorre porque a posição de leitura era verificada apenas parcialmente, conforme o trecho fornecido. A falha afeta Apache DataSketches 2.0.0-incubating até 5.2.0 e tem gravidade moderada.
Uma falha de estouro de buffer no heap afeta a desserialização de HLL sketch do Apache DataSketches C++. No modo LIST, a contagem de cupons fornecida pela entrada era usada para copiar entradas para um buffer fixo de oito elementos sem a verificação correspondente, conforme o trecho disponível. A vulnerabilidade afeta versões 1.0.0-incubating até 5.2.0 e tem gravidade moderada.
Raheim Hamilton, de 30 anos, se declarou culpado neste ano de uma acusação de conspiração relacionada a drogas. Ele concordou em confiscar mais de US$ 100 milhões em Bitcoin e várias propriedades na Virgínia.
Uma publicação aponta diversos problemas de segurança divulgados publicamente no Cyrus SASL sem resposta dos mantenedores, além de relatos de ex-mantenedores de que já não estão envolvidos. O projeto não lança uma nova versão desde 2022, e os únicos commits no último ano foram atualizações de documentação sobre releases do cyrus-imapd. Entre os problemas listados estão vazamentos de memória em _sasl_make_plain_secret e...
O illumos informou a CVE-2026-102916, identificada como 18491, para um problema em que a emulação da instrução de prefixo rep no bhyve manipula incorretamente flags. A falha foi descoberta por Emily Albini e corrigida por iximeow, ambos da Oxide Computer.
O illumos informou diversas CVEs relacionadas a processos de servidores door. Entre os problemas citados estão alocação ilimitada de descritores de arquivo no nscd e liberação dupla de credenciais no ipmgmtd após falha de autorização, esta última limitada ao OmniOS e SmartOS.
A Agência Nacional de Polícia do Japão confirmou a prisão e a extradição para a Alemanha de um cidadão russo. Ele é acusado de ter envolvimento com o grupo de ransomware Qilin.
A versão 3.15 da linguagem de programação Python foi lançada. Entre as mudanças estão os tipos integrados sentinel e frozendict, a adoção de UTF-8 como codificação padrão e arquivos de configuração de inicialização de pacotes. O compilador JIT experimental também recebeu melhorias; o artigo “What's new in Python 3.15” e o changelog trazem mais detalhes.
A integridade do fluxo de controle (CFI) busca impedir ou detectar exploits que desviem o fluxo de controle de seus caminhos previstos. Na GNU Tools Cauldron de 2026, Kees Cook apresentou mudanças na suíte de compiladores GCC para oferecer suporte a CFI de borda direta no kernel.
A empresa iRhythm, conhecida por seus sensores cardíacos vestíveis, começou a notificar estados sobre o impacto de um vazamento de dados. O incidente ocorreu durante o verão, segundo a informação divulgada.
Oleg Korniev, cidadão com dupla nacionalidade ucraniana e russa, foi um dos principais integrantes da Your Mule Cashout, ou “YMCO”. De 2007 a 2014, a organização montou uma sofisticada rede de mulas financeiras nos Estados Unidos e na Europa.
O diretor do FBI, Kash Patel, comentou uma nova prisão ligada ao ShinyHunters após um vazamento de dados. Ele afirmou que a agência seguirá trabalhando com parceiros para desarticular o que resta do grupo e seus associados, independentemente de onde atuem.
Na conferência All Systems Go! de 2026, os mantenedores Luca Boccassi e Zbigniew Jędrzejewski-Szmek apresentaram a tradicional sessão sobre o estado do projeto systemd. Em seguida, uma mesa-redonda reuniu Boccassi, Jędrzejewski-Szmek, Daan De Meyer e o líder do projeto, Lennart Poettering, para responder a perguntas sobre o tamanho e a saúde do systemd e sobre uma possível substituição do Kubernetes — o que não ocorrerá.
O grupo hacktivista Belarusian Cyber Partisans concordou com a pesquisa russa que indicava sua presença na rede do Departamento de Saúde de Moscou. Segundo o grupo, seus integrantes permaneceram na rede por meses, em uma invasão ocorrida em 2023.
A Let's Encrypt anunciou que passará a emitir certificados com validade de 64 dias a partir de 10 de fevereiro de 2027. A expectativa é que o último certificado de 90 dias expire em 11 de maio de 2027, e certificados válidos não serão revogados durante a transição. A organização prevê migrar para certificados de 45 dias em 2028, conforme seu plano e os requisitos do CA/Browser Forum.
Uma falha de validação de entrada no Apache Camel Karavan permite que, ao iniciar uma implantação, recursos declarados em kubernetes.yaml sejam aplicados ao cluster sem restrição dos tipos de recurso nem rejeição de configurações sensíveis de pods. A vulnerabilidade afeta versões do Apache Camel Karavan a partir de 4.0.0 e anteriores à 4.22.1. A severidade informada é CVSS 3.1 8.8 (alta).
Uma vulnerabilidade de path traversal no Apache Camel Karavan ocorre porque o nome de arquivo de projeto fornecido pela API é usado sem alteração como segmento de caminho ao gravar o projeto na cópia de trabalho do Git. A falha afeta versões a partir da 3.18.0 e anteriores à 4.22.1. A severidade informada é CVSS 3.1 8.8 (alta).
A mensagem cita um estouro de heap com gravação que teria sido corrigido na branch principal desde fevereiro de 2026, mas ainda estaria presente nas releases 2.5.3 e 2.5.4. Ela também informa que o projeto está sem manutenção regular, conforme declaração no repositório. O texto ressalva que commits ainda podem ocorrer ocasionalmente, sem revisão regular de tickets ou solicitações de pull request.
Foram publicadas atualizações de segurança por AlmaLinux, Debian, Fedora, Mageia, Oracle, Red Hat, SUSE e Ubuntu. Os pacotes afetados incluem componentes como bind, glibc, OpenSSL, sudo, kernel, Firefox e Apache, além de muitos outros listados no aviso. Consulte os canais das distribuições para obter os detalhes aplicáveis aos sistemas utilizados.
Por padrão, StaxUtils não limitava o total de elementos nem de caracteres em um documento XML. Uma solicitação muito grande poderia consumir muitos recursos durante a análise, sobretudo quando o CXF cria um DOM, por exemplo em SAAJ ou WS-Security. A descrição fornecida termina indicando que isso poderia causar um...; as versões afetadas listadas são anteriores a 4.2.4, 4.1.9 e 3.6.13, conforme as respectivas linhas.
No Apache CXF, o transporte cliente HTTP baseado em Netty não verificava se o nome do host no certificado TLS do servidor correspondia ao host acessado. O problema ocorria tanto em HTTP/1.1 quanto em HTTP/2, mesmo quando disableCNCheck mantinha o valor padrão false. As versões afetadas listadas são anteriores a 4.2.4, 4.1.9 e 3.6.13, conforme as respectivas linhas; a severidade foi classificada como importante.
No Apache CXF, o parser de cabeçalhos de partes de anexos multipart/MTOM não aplicava completamente os limites attachment-max-header-size e attachment-headers-max-count. O limite de tamanho era aplicado somente a cada linha física, não ao valor de um cabeçalho formado a partir de... A falha pode permitir negação de serviço por esgotamento de memória; as versões afetadas listadas são anteriores a 4.2.4, 4.1.9 e 3.6.13, conforme as respectivas linhas.
Uma falha de verificação inadequada de assinatura criptográfica afeta o módulo JAX-RS XML Security do Apache CXF. Os interceptores de assinatura XML não garantiam que o XML enviado à aplicação estivesse coberto pela assinatura verificada. As versões afetadas listadas são anteriores a 4.2.4, 4.1.9 e 3.6.13, conforme as respectivas linhas; a severidade foi classificada como moderada.
O STSTokenValidator do Apache CXF verifica se uma afirmação SAML é assinada por um certificado confiável antes de enviá-la ao STS, mas o resultado era armazenado em um objeto compartilhado por todas as solicitações. Isso poderia fazer uma solicitação ler o resultado de outra e permitir que um atacante remoto não autenticado enviasse uma... As versões afetadas listadas são anteriores a 4.2.4, 4.1.9 e 3.6.13, conforme as respectivas linhas; a severidade foi classificada como importante.
O STSTokenValidator e o Security Token Service (STS) do Apache CXF armazenavam tokens validados em cache usando um hash não criptográfico de 32 bits e tratavam um acerto no cache como prova de validação anterior. Um atacante poderia criar um... As versões afetadas listadas são anteriores a 4.2.4, 4.1.9 e 3.6.13, conforme as respectivas linhas; a severidade foi classificada como importante.
O parser de consultas FIQL do Apache CXF tem uma vulnerabilidade na busca por operadores em expressões de consulta. O padrão de busca pode ficar preso tentando muitas combinações quando... As versões afetadas listadas incluem linhas anteriores a 4.2.4, 4.1.9 e 3.6.13; a severidade foi classificada como baixa.
O representante Steven Horsford afirmou que a venda proposta incluiria cerca de 100 milhões de e-mails, 500 milhões de mensagens do Microsoft Teams, contratos de trabalho e registros de funcionários, ponto e folha de pagamento, além de informações fiscais. O texto não informa medidas de segurança ou ações recomendadas.
O comunicado descreve falhas no processamento de catálogos XML, nomes qualificados, URIs, expressões XPointer, callbacks de escrita e diretivas XInclude. Os impactos possíveis incluem negação de serviço, execução arbitrária de código, injeção de entidades externas XML e falsificação de solicitações do lado do servidor. Aplique as atualizações de segurança disponibilizadas para os sistemas afetados.
A mensagem encaminhada anuncia a versão v0.60.0 de golang.org/x/net para tratar problemas de segurança. O trecho menciona exaustão de memória em servidor HTTP/2 causada por cabeçalhos Trailer. O corpo recebido termina antes de apresentar os detalhes completos das vulnerabilidades.
O projeto Go anunciou as versões pontuais 1.27.2 e 1.26.9. Elas incluem 15 correções de segurança, de acordo com a política de segurança do projeto. O trecho recebido começa a citar uma correção em net/http, mas não traz a lista completa.
Os Estados Unidos e outros países derrubaram ferramentas digitais e infraestrutura da Integrity Tech, empresa sediada em Pequim. Segundo o texto, esses recursos permitiam varreduras disseminadas de vulnerabilidades e, em alguns casos, invasões no âmbito da campanha Flax Typhoon.
Médio · 5/9 A newsletter relata uma pesquisa sobre instruções em linguagem natural incorporadas a malware para influenciar ferramentas de análise de IA. A Talos recomenda monitorar instruções imperativas dirigidas a sistemas de análise e garantir que o texto extraído de amostras nunca seja tratado como diretiva do sistema. O texto também aborda segmentação de dispositivos legados, notícias de segurança, eventos e arquivos de malware observados.
O libde265 não validava corretamente determinados fluxos de bits H.265 elaborados, levando à desreferência de ponteiro nulo. Um invasor poderia explorar o problema para provocar uma falha no programa e negação de serviço. Aplique a atualização de segurança pertinente.
Tomáš Šedovič, gerente de programas da Rust Foundation e colíder da equipe de metas, apresentou os processos de definição e acompanhamento das metas do projeto Rust. A apresentação ocorreu na Kangrejos 2026 e foi voltada a ajudar desenvolvedores do Rust for Linux a entender como o projeto organiza e ajusta suas metas.
O proprietário de uma empresa de recuperação de ransomware foi alvo de acusações de fraude eletrônica. Segundo a alegação, ele teria feito pagamentos secretos de resgate enquanto cobrava valores excessivos das vítimas dos ataques.
A ASOS afirmou que os invasores enganaram a empresa para obter acesso à conta de um funcionário antes de enviar uma notificação push fraudulenta. A investigação, conduzida com especialistas externos, encontrou acesso a alguns dados pessoais e informações não pessoais relacionadas a contas.
O material atualizado do curso FOR577 inclui conteúdo sobre investigação do uso de IA em resposta a incidentes e aborda oito assistentes e agentes de programação. O autor relata que procurou localizar o histórico de conversas do OpenCode e possíveis evidências relacionadas ao Hermes.
Um homem de 25 anos foi sentenciado por sua participação no roubo de quase US$ 260 mil em criptomoedas. O esquema envolveu fraude de troca de SIM, e a sentença foi proferida por um tribunal de Londres.
A camada de swap do kernel passou por mudanças significativas no último ano, mas permanece um problema de uso ineficiente de recursos relacionado à ligação direta entre slots no cache de swap e espaço em arquivos persistentes. Há duas soluções concorrentes, nenhuma pronta para integração, e a discussão sobre o caminho a seguir continua sem consenso.
O libgit2 verificava incorretamente SubjectAltName de endereços IP durante a validação de certificados TLS. Um invasor remoto com um certificado confiável por uma autoridade certificadora poderia realizar um ataque de intermediário e expor informações confidenciais. Atualize os sistemas afetados.
O libarchive apresentava um estouro de inteiro com sinal em seu gravador ZIP ao lidar com entradas criptografadas de tamanho próximo ao valor máximo. Um invasor poderia provocar uma falha ou executar código arbitrário. Aplique a atualização de segurança correspondente.
Foram emitidas atualizações de segurança para uma ampla lista de pacotes em oito distribuições Linux. Entre os componentes citados estão navegadores, kernel, bibliotecas, ferramentas de rede e software de sistema. Consulte os avisos de cada distribuição para identificar os pacotes afetados e aplicar as correções pertinentes.
O aviso descreve diversas vulnerabilidades no kernel Linux e uma falha em determinados processadores Arm que pode permitir a um atacante local contornar proteções de memória ou elevar privilégios. As falhas abrangem muitos subsistemas e drivers, e o comunicado lista numerosos CVEs. Instale a atualização de segurança aplicável ao kernel Linux (IBM).
O comunicado relata vários problemas de segurança no kernel Linux que poderiam ser usados para comprometer o sistema. As falhas abrangem numerosos subsistemas, drivers e componentes de rede e armazenamento, com vários CVEs listados. Instale a atualização correspondente ao kernel Linux (GCP).
O aviso informa que vários problemas de segurança no kernel Linux poderiam ser usados para comprometer o sistema. As falhas abrangem numerosos subsistemas, drivers e protocolos, e a atualização lista os CVEs correspondentes. Instale a atualização aplicável ao kernel Linux (Azure).
O comunicado informa que diversas falhas no kernel Linux poderiam permitir o comprometimento do sistema. Os problemas afetam uma ampla variedade de arquiteturas, drivers e subsistemas; o aviso relaciona os CVEs correspondentes. Instale a atualização de segurança pertinente ao kernel Linux.
A mensagem pergunta se a vulnerabilidade mencionada no assunto também se aplica ao LibreOffice. O corpo não fornece resposta nem detalhes adicionais.
Uma falha de autorização no Apache DolphinScheduler permite que usuários autenticados consultem informações de contas por meio do endpoint /dolphinscheduler/users/list-all sem as permissões exigidas. A mensagem classifica o problema como crítico e indica versões anteriores à 3.4.3 como afetadas. O texto recebido termina incompleto.
Uma falha de autorização permite que usuários autenticados não administradores obtenham dados de configuração do Kubernetes destinados à administração do cluster. As credenciais kubeconfig expostas podem permitir autenticação direta na API do Kubernetes. São afetadas versões do Apache DolphinScheduler a partir da 3.1.0 e anteriores à 3.4.3.
Uma falha de autorização permite que usuários autenticados obtenham informações sobre fontes de dados às quais não deveriam ter acesso, por meio dos endpoints /unauth-datasource e /authed-datasource. Os endpoints não aplicam os controles de acesso exigidos e retornam informações sensíveis de conexão. São afetadas versões anteriores à 3.4.3.
O item anuncia o ISC Stormcast de quinta-feira, 8 de outubro de 2026, e inclui o endereço do episódio. Não há descrição adicional no corpo.
Uma falha de bypass de autorização permite que usuários autenticados operem instâncias de tarefas de outros projetos pelos endpoints de parada e savepoint. O problema afeta versões do Apache DolphinScheduler anteriores à 3.4.3 e é classificado como moderado. O texto recebido termina incompleto.
Uma falha de autorização permite que usuários autenticados modifiquem definições de tarefas em projetos aos quais não têm acesso, usando o endpoint with-upstream. O problema afeta versões anteriores à 3.4.3 e é classificado como moderado. O texto fornecido termina antes de completar a descrição.
A falha permite realizar operações não autorizadas em agendamentos e definições de fluxos de trabalho e em instâncias de tarefas de outros projetos. Os endpoints verificam permissões com base no projectCode informado, mas não confirmam se o recurso pertence a esse projeto. São afetadas versões anteriores à 3.4.3; a gravidade é moderada.
O resumo da edição cita tópicos sobre falhas de kernel, o pacote Chromium do Gentoo, ponteiros inteligentes em Rust, Sashiko, Charon, o escalonador LAVD e módulos de números aleatórios do Python. Também lista novidades, gravações de conferências, versões de software, atualizações de segurança e patches.
O lançamento Tor 0.4.9.14, datado de 7 de outubro de 2026, traz correções importantes de bugs associados a problemas de alta gravidade. As correções afetam relays, clientes, serviços onion e autoridades. O anúncio recomenda atualizar o quanto antes; o texto fornecido detalha apenas parcialmente as mudanças.
O endpoint de criação de métricas do Gnocchi permite que usuários autenticados associem métricas a recursos pertencentes a outros usuários, passando resource_id no corpo da solicitação. Isso contorna as verificações de autorização adequadas. O corpo fornecido termina incompleto.
A errata 1 da OSSA-2026-043 informa a atribuição da CVE-2026-107363 à vulnerabilidade no Zaqar. A substituição do projeto no WebSocket pode permitir acesso a filas de outros projetos. O corpo fornecido começa a listar os componentes afetados, mas é interrompido.
Autoridades dos EUA dizem que Zhang Yu teve papel de destaque na campanha Hafnium. A campanha envolveu invasões a milhares de computadores e o roubo de grandes volumes de documentos. O texto não informa medidas técnicas de proteção.
O Ubuntu corrigiu falhas nos GStreamer Ugly Plugins ao processar arquivos RealMedia e ASF malformados. Se a vítima abrir um arquivo criado para explorar essas falhas, um atacante pode possivelmente executar código; outros problemas podem causar negação de serviço ou expor informações sensíveis. As versões do Ubuntu afetadas e as CVEs variam conforme o problema, conforme descrito no aviso.
Alto · 7/9 A equipe de pesquisa da Cisco Talos divulgou vulnerabilidades em produtos da Adobe, Apple, Foxit e Microsoft. Entre os impactos estão execução de código, divulgação de informações e escalonamento de privilégios. Os fornecedores já disponibilizaram correções; recomenda-se aplicar as atualizações e obter os conjuntos de regras mais recentes do Snort para detecção.
O aviso do Ubuntu reúne problemas no Go Networking que podem causar travamentos e consumo excessivo de recursos, ataques de XSS e bypass de controles de acesso com possível escalonamento de privilégios. Os problemas afetam o processamento de HTTP/2, HPACK, HTML e nomes de domínio internacionalizados. Consulte o aviso e aplique as atualizações pertinentes.
Legisladores que supervisionam a política cibernética militar e o complexo de Fort Meade defendem a inclusão de um programa de saúde mental na legislação de gastos com defesa. O plano prevê US$ 11 milhões. O texto não detalha sua implementação.
Tribunais do Arizona informaram que hackers roubaram dados de mais de 1,3 milhão de pessoas. A investigação apontou uma invasão ao programa Fines/Fees and Restitution Enforcement (FARE), que auxilia na cobrança de dívidas relacionadas a infrações de trânsito e criminais. O texto não informa recomendações ou ações de resposta.
O aviso informa uma falha no OpenStack Zaqar que permite acesso a filas de outros projetos por meio de substituição de projeto via WebSocket. O corpo recebido termina antes de apresentar a descrição completa e os detalhes das versões afetadas. O identificador CVE aparece como pendente.
A vulnerabilidade afeta o Apache Geode da versão 2.0.0 até versões anteriores à 2.0.3 e consiste na inserção de informações confidenciais em arquivos de log. Os usuários devem atualizar para a versão 2.0.3, que corrige o problema.
O aviso atribui à falha pontuação CVSS 4.0 de 6,9 e informa que ela afeta várias séries do Apache Jackrabbit. Um servidor WebDAV/DavEx malicioso, ou um invasor capaz de atuar nessa posição, pode explorar o processamento de respostas de erro controladas pelo servidor. O texto fornecido está truncado e não permite detalhar o impacto completo nem uma ação corretiva.
O mantenedor do Charon identificou dificuldades para extrair automaticamente informações de crates Rust e utilizá-las em outras ferramentas. O projeto propõe uma API estável para acessar informações internas do compilador Rust. O texto não apresenta ações de segurança ou correções.
A vulnerabilidade de fixação ou reutilização de sessão entre usuários afeta várias séries do Apache Jackrabbit. Segundo o aviso, o servidor WebDAV associa uma sessão autenticada em cache a uma solicitação; o texto fornecido é interrompido antes de completar a descrição. Os dados recebidos não especificam uma correção, portanto é necessário consultar o aviso completo do fornecedor.
O relato aborda como uma decisão recente da Suprema Corte sobre geofencing influenciou a decisão de um juiz federal. O juiz descartou provas obtidas por câmeras Flock em um caso de tráfico de drogas. O texto não apresenta detalhes técnicos adicionais.
A Atlassian publicou correções em 5 de outubro para vários produtos, tratando a vulnerabilidade CVE-2026-21589 de acesso arbitrário a arquivos. A falha pode permitir a leitura de arquivos no diretório da aplicação web e expor informações como arquivos de configuração. O texto relata varreduras relacionadas à falha.
A Operational Technology Cybersecurity Coalition publicou um documento pedindo que a CISA crie uma nova diretriz centrada em tecnologia operacional (OT). Esses sistemas são usados para monitorar e controlar infraestrutura crítica. O texto não detalha as regras propostas.
Alto · 7/9 O texto relata que autoridades jordanianas detiveram um adolescente suspeito de liderar atividades do ShinyHunters e que ele estaria cooperando com o FBI. Segundo fontes citadas, o grupo tentava extorquir a Jeppesen ForeFlight, antiga unidade da Boeing, e teria explorado uma falha do PeopleSoft em outras invasões. A matéria também descreve detenções, alegações de extorsão e informações ainda não confirmadas pelas empresas envolvidas.
A classe de escalonador extensível permite criar escalonadores personalizados de CPU com BPF e impulsionou novas propostas. O LAVD é um dos exemplos de destaque: criado para jogos, evoluiu para atender outras cargas de trabalho. Na edição de 2026 do Kernel Recipes, Changwoo Min e Gavin Guo apresentaram sua evolução.
Simon Long anunciou uma nova versão do Raspberry Pi OS para x86-64 baseada no Debian 13, codinome “trixie”. A edição usa Debian de 64 bits (arquitetura amd64), e não a antiga versão de 32 bits. O suporte ao Apple Silicon pelo Debian ainda é experimental, segundo o texto.
O Sudo não tratava corretamente restrições de acesso por horário quando regras sudoers usavam NOTBEFORE ou NOTAFTER com registros de data e hora sem indicação de fuso. Um atacante local poderia manipular a variável de ambiente TZ para executar comandos fora da janela permitida. Recomenda-se aplicar a atualização de segurança correspondente.
O boletim lista atualizações de segurança de diversas distribuições, entre elas AlmaLinux, Debian, Fedora, Mageia, Oracle, Red Hat, Slackware, SUSE e Ubuntu. Os pacotes afetados incluem componentes de sistema, navegadores, servidores e bibliotecas. Consulte os avisos das respectivas distribuições e aplique as atualizações pertinentes.
O aviso descreve estouros de inteiros em funções do Poppler e uma desreferência de ponteiro nulo. Os problemas podem provocar falha do aplicativo e negação de serviço; algumas falhas também podem permitir execução de código arbitrário. Aplique as atualizações de segurança disponibilizadas pelo Ubuntu.
A validação inadequada de cabeçalhos de caminho HPACK HTTP/2 pode levar a uma escrita além do fim de um buffer alocado. Outra falha no processamento de gravações CBOR pelo analisador LECP também pode causar escrita fora dos limites. Os problemas podem resultar em execução de código arbitrário; aplique as atualizações do Ubuntu.
Médio · 5/9 O artigo argumenta que enxames de agentes de IA podem coordenar ataques e reduzir de meses para horas o tempo necessário para uma campanha, inclusive com adaptação em tempo real. Recomenda ensaiar resposta a incidentes, mapear a infraestrutura e os caminhos de ataque, testar cenários com IA, reforçar autenticação resistente a phishing e ampliar a detecção interna. A defesa deve considerar tentativas persistentes e tornar cada etapa do ataque mais custosa.
O aviso reúne correções de segurança para vários subsistemas do kernel Linux, incluindo rede, arquivos, Wi-Fi, Bluetooth, memória e virtualização. Entre os problemas descritos há use-after-free, leituras e escritas fora dos limites, condições de corrida e corrupção de memória. Aplique as correções de live patch correspondentes ao sistema utilizado.
Informativo · 2/9 O conteúdo descreve a evolução de dispositivos compostos por aplicativos independentes para assistentes pessoais proativos, capazes de antecipar necessidades e executar tarefas. O trecho disponível termina no meio de uma frase e não detalha a proposta técnica do enclave.
Informativo · 1/9 A antena é comparada pelos pesquisadores a um “sabre de luz” e utiliza plasma para transmitir e receber ondas de rádio. O texto não apresenta detalhes de segurança cibernética nem recomendações de proteção.
Informativo · 1/9 O texto apresenta a possibilidade de usar um supercapacitor de cimento para fornecer energia a edifícios inteligentes. A ideia é gerar, armazenar e utilizar a energia no mesmo local. Não há informações de segurança cibernética no conteúdo fornecido.
Informativo · 2/9 O segundo dia do Pwn2Own Ireland 2026 tem 24 tentativas previstas e cerca de US$ 780.000 em premiações. Entre os alvos estão o Galaxy S26, tentado por três equipes, e o Home Assistant Green, o dispositivo com mais tentativas agendadas. O texto informa que, no dia anterior, foram concedidos US$ 388.500 por 32 zero-days.
O Apache YuniKorn 1.9.0 e anteriores permitem contornar a verificação da anotação do usuário por meio de um rótulo secundário no pod. Quando o rótulo `app=yunikorn` está presente, as verificações que limitam o conteúdo da anotação não são executadas. As versões afetadas são anteriores à 1.10.0; atualize para uma versão corrigida.
O Apache YuniKorn 1.9.0 e anteriores não executam verificações de rótulos nem de anotações do usuário na ação UPDATE de workload, permitindo ignorar essas verificações. A vulnerabilidade afeta versões anteriores à 1.10.0. Atualize para uma versão corrigida.
O Apache YuniKorn 1.8.0 até versões anteriores à 1.10.0 pode travar quando configurado com o resolvedor de grupos LDAP. A causa é uma leitura fora dos limites ao processar entradas de associação a grupos. Atualize para uma versão corrigida.
O aviso de segurança do X.Org informa a existência de várias falhas nas implementações do X server e do Xwayland. As correções estão sendo disponibilizadas em xorg-server-21.1.25 e xwayland-24.1.14. Consulte o aviso e atualize os componentes afetados.
No Apache Impala até a versão 4.5.2, a implementação de autenticação JWT/OAuth nos executores não valida assinaturas de tokens Bearer (JWT). Assim, quando o servidor web está configurado para aceitar esses tokens, um invasor pode acessar recursos servidos por ele. Avalie a atualização para uma versão corrigida.
No Apache Impala até a versão 4.5.2, um usuário SQL com apenas permissão SELECT pode inserir JavaScript em um alias de tabela. O código é executado no navegador de outro usuário quando ele abre o plano de consulta na interface web do Impala. A recomendação é atualizar para a versão 4.5.3.
No Apache Impala 4.5.2, um path traversal em `trusted_jar_paths` pode permitir o carregamento de um JAR controlado por invasor por meio de um caminho relativo cujo prefixo corresponda a um caminho confiável configurado. A opção de inicialização referencia URIs para carregar arquivos de sistemas de arquivos locais ou remotos. Atualize para uma versão corrigida.
Uma falha de codificação no RemoteSyslogAppender do Apache log4net remove dos registros todos os caracteres que não sejam ASCII visível ou espaço. São afetadas versões anteriores à 3.5.0 e uma revisão de código indicada no aviso. Atualize para uma versão corrigida.
O OutputDebugStringAppender do Apache log4net não neutraliza adequadamente caracteres NUL. Um NUL no conteúdo registrado encerra a saída de depuração, truncando o registro. As versões afetadas são anteriores à 3.5.0; atualize para uma versão corrigida.
Uma falha de registro insuficiente no EventLogAppender do Apache log4net faz com que mensagens longas sejam truncadas para um tamanho que excede o limite aceito pelo Windows Event Log, após o que o registro é descartado. São afetadas versões anteriores à 3.5.0; atualize para uma versão corrigida.
O conversor de padrão aspnet-request do Apache log4net pode não tratar adequadamente condições excepcionais durante a leitura de parâmetros da requisição. Uma falha de validação do ASP.NET pode resultar no descarte do evento. Atualize para uma versão corrigida, anterior à qual o aviso identifica como afetada.
O SmtpPickupDirAppender do Apache log4net trata inadequadamente conteúdo que não pode ser codificado, como um par UTF-16 não pareado. Isso pode resultar no descarte de todo um lote. As versões afetadas são anteriores à 3.5.0; atualize para uma versão corrigida.
O EventLogAppender do Apache log4net não neutraliza adequadamente caracteres NUL, fazendo com que um NUL no conteúdo encerre o registro do Windows Event Log. São afetadas versões anteriores à 3.5.0; atualize para uma versão corrigida.
O Apache Commons BCEL apresenta uma falha de neutralização de entrada durante a geração de páginas web pelo Class2HTML. Strings de classe sem escape podem permitir cross-site scripting armazenado. As versões afetadas são anteriores à 6.13.0; atualize para uma versão corrigida.
Uma falha no Apache Commons BCEL permite que atributos Code/Record aninhados provoquem recursão sem limite durante a análise no ClassParser. O aviso classifica o impacto como importante e informa versões afetadas anteriores à 6.13.0. Atualize para uma versão corrigida.
O item anuncia o ISC Stormcast de quarta-feira, 7 de outubro de 2026, e inclui um link para a página do episódio. O feed não fornece detalhes adicionais sobre o conteúdo.
A partir de 10 de fevereiro de 2027, os certificados emitidos ou renovados pela Let’s Encrypt terão validade padrão de 64 dias, salvo escolha de uma duração menor. A organização recomenda testar no ambiente de staging e ajustar renovações que usem datas fixas; clientes compatíveis com ACME Renewal Info podem receber indicações de renovação. O período de reutilização da autorização também será reduzido de 30 para 10 dias; limites de taxa, endpoints ACME e cadeias de emissão não serão afetados.
O token de anexação era exposto nos argumentos da linha de comando ao habilitar uma assinatura em uma instância WSL. Um invasor poderia usar o problema para obter informações confidenciais e acesso não autorizado aos repositórios do Ubuntu Pro. Aplique a atualização de segurança disponibilizada pelo Ubuntu.
O librsvg tratava incorretamente declarações duplicadas de entidades XML ao processar documentos SVG com inclusões XML aninhadas. Um invasor poderia explorar o problema para causar negação de serviço ou executar código arbitrário. Aplique a atualização de segurança do Ubuntu.
O boletim descreve problemas no tratamento de requisições HTTP/2, conexões de proxy HTTPS, requisições chunked, credenciais de proxy e cabeçalhos Range no libsoup. Os possíveis impactos incluem negação de serviço, exposição de informações e contorno de controles de segurança; uma falha também pode permitir execução de código arbitrário. Aplique as atualizações do Ubuntu correspondentes às versões afetadas.
O boletim descreve falhas no U-Boot ao processar metadados ZFS malformados, sistemas ext4 e tráfego IP fragmentado com desfragmentação habilitada. Os impactos possíveis incluem estouro de inteiro, acesso ou escrita fora dos limites, corrupção de memória, execução de código arbitrário e negação de serviço. Aplique as atualizações de segurança pertinentes.
A notícia relata que Aguirre compareceu a um tribunal em Nebraska após ser preso. Segundo o texto, ele foi incluído na lista dos “Dez fugitivos mais procurados” do FBI em março, tornando-se o primeiro cibercriminoso a aparecer nela.
A atualização corrige problemas em numerosos subsistemas do kernel Linux OEM. O texto também descreve uma falha em verificações RMP de alguns processadores AMD que pode comprometer a integridade da memória de convidados SEV-SNP, exigindo acesso ao hipervisor. O corpo fornecido contém uma lista extensa de subsistemas e CVEs, truncada no final; aplique a atualização de segurança correspondente.
Radar informativo. Advisories e vulnerabilidades de fontes públicas oficiais (CISA, fornecedores, CERTs), traduzidos automaticamente para o português e classificados por severidade. A tradução cobre somente o conteúdo disponibilizado pelo feed, vem identificada e atribuída no topo e não substitui o artigo original — cada item leva à fonte. Assine o RSS ou o JSON para acompanhar.
