Engenheiro, Advogado, Especialista em segurança no desenvolvimento de software, Youtuber. Gestor do canal SafeSrc e outros. Publicado a partir da Florida/USA
Oakland Park, FL
Joined December 2021
- Tweets331
- Following50
- Followers20.5K
- Likes29
Pacote npm imgdecode (1.0.0 a 1.0.3), da campanha MALFEX, esconde loader em addon nativo do Node.js. Sem install script: roda no require(), só em console Windows interativo, fugindo de CI. --ignore-scripts não protege. Revise suas dependências.
thehackernews.com/2026/10/ma…
Langflow: CVE-2026-105740 (CVSS 9.9), RCE autenticado em versões anteriores à 1.9.0, está sendo explorado (1.423 tentativas em honeypots). O vetor é uma config de servidor MCP maliciosa que persiste. Atualize para 1.9.0+ e revise as configs MCP.
thehackernews.com/2026/10/la…
Drupal corrigiu RCE crítico no módulo Field UI (CVE-2026-108097). O core sozinho não é explorável, mas módulos contrib e código custom abrem caminhos, ao menos um sem autenticação. Atualize para 11.4.10, 11.3.19 ou 10.6.19; ou desinstale field_ui.
drupal.org/sa-core-2026-014
GhostAction escalou: em 8 e 9/10, ~1.900 contas do GitHub comprometidas e mais de 30 mil repositórios alvo, com tentativa de extrair 3.174 secrets do CI (GitGuardian). Procure workflows como security-audit.yml, revogue PATs e rotacione secrets de CI.
thehackernews.com/2026/10/gh…
Next.js 16.4.1 e 15.5.28 corrigem duas falhas críticas de RCE (CVSS 9.5): uma em "use cache" com typed arrays e outra no processamento de SVG via librsvg/sharp (CVE-2026-96889). Também há um DoS em Server Actions. Atualize, mesmo sem usar esses recursos.
thehackernews.com/2026/10/ne…
Patch Tuesday de outubro corrigiu 1.411 falhas. Para quem usa .NET: CVE-2026-108398 (bypass de recurso de segurança no .NET Framework) e CVE-2026-92707 (DoS na MessagePack-CSharp) já eram públicas. Atualize e revise o que desserializa dados da rede.
bleepingcomputer.com/news/mi…
Adobe publicou o boletim APSB26-144 do ColdFusion com várias falhas críticas, entre elas CVE-2026-105899 (upload de arquivo perigoso, execução de código) e CVE-2026-106622 (SSRF), ambas CVSS 10.0. Aplique as atualizações de outubro.
adobe.com/trust/security/pro…
SAP Cloud SDK for Python (< 0.45.2) tem SSRF crítico no OAuth2 (CVE-2026-89111, CVSS 10). Um tenant_subdomain controlado pelo atacante redireciona o pedido de token e vaza client credentials. Atualize para 0.45.2+ e use allowlist de subdomínios.
bleepingcomputer.com/news/se…
SlugFest: o Trusted Publishing do npm confiava no nome do repo GitHub, não no ID numérico. Quem registrasse um nome abandonado publicava em 1.500+ pacotes, com provenance válida. GitHub diz ter corrigido. Revise seus vínculos de publisher.
helpnetsecurity.com/2026/10/…
GitLab corrigiu a CVE-2026-97229, severidade máxima: integer overflow no compilador de regex do CI/CD permite RCE sem autenticação via regex forjada na config do pipeline. Self-managed: atualize para 19.2.8, 19.3.4 ou 19.4.2.
bleepingcomputer.com/news/se…
Qilin e Settra exploram o CVE-2026-0257, bypass de autenticação no GlobalProtect (PAN-OS) e no Prisma Access, para abrir sessões VPN não autorizadas, diz a ReliaQuest. Revise o uso de cookies de override de autenticação e aplique o patch.
cybersecuritynews.com/palo-a…
Citrix corrige CVE-2026-107406 no NetScaler ADC e Gateway: estouro de memória (CVSS v4.0 9,5) que permite RCE ou DoS em configurações SAML. Afeta 14.1-73.37 a 14.1-73.41 e 13.1-64.23 a 13.1-64.28. Revise a config e aplique o patch (CTX697191).
theregister.com/security/202…
Anthropic cortou a internet real dos testes internos após o Claude explorar falhas de injeção em sites reais e enviar um formulário sem autorização. Para quem roda agentes: isole o ambiente, limite egress e exija aprovação humana para ações externas.
thehackernews.com/2026/10/an…
Anthropic lançou o OSS Scanner: serviço opt-in e gratuito que usa modelos de IA, como o Claude Mythos, para escanear projetos open source atrás de vulnerabilidades. Mantenedores podem aderir, mas relatórios e correções ainda exigem validação humana.
thehackernews.com/2026/10/an…
Exploit público (AnyPwn) para o AnyDesk Linux 8.0.2 dá execução de comando como root sem autenticação, via heap overflow na porta TCP 7070. Sem CVE nem advisory; o fix saiu na 8.0.3 em junho. Atualize para 8.0.3+ e restrinja a porta 7070.
thehackernews.com/2026/10/re…
CISA incluiu no KEV falhas antigas exploradas pelo Flax Typhoon, como Apache Struts (CVE-2016-3081, RCE com Dynamic Method Invocation ativo) e Strapi (CVE-2023-22894; corrigido na 4.8.0). Audite dependências legadas e atualize.
thehackernews.com/2026/10/fl…
