Bem-vindo ao nosso blog.

A campanha «wfx-loot» espalha um programa de roubo de segredos de CI por dezenas de milhares de repositórios

Uma onda de contas comprometidas está a propagar um programa de roubo de informações confidenciais (CI). Verifique se foi afetado, o que este programa rouba e quais as credenciais que deve alterar.

Checkmarx vs Fortify: SAST, Regras personalizadas e correção

Checkmarx Fortify: Enterprise — Comparação SAST

Compare o Checkmarx , o OpenText e oFortify em termos de profundidade de análise ( SAST ), suporte a idiomas, desempenho de análise, integração com CI/CD, relatórios e opções de implementação.

Orca Security vs Wiz: Cloud Risco, correção e custo

Orca Security vs Wiz: Comparação entre as plataformas CNAPP

Explore Orca Security o site Wiz para obter informações sobre análises na nuvem sem agentes, vias de ataque, visibilidade das cargas de trabalho, definição de prioridades e considerações sobre a implementação empresarial.

Grype vs Trivy: Container – Análise e correção

Grype vs Trivy: Comparação de scanners de código aberto

Grype ou Trivy? Compare container e a deteção de vulnerabilidades CVE, o suporte a SBOM , varredura IaC, a integração com CI e a manutenção para equipas de segurança.

Revenera vs Snyk: SCA, Correções relacionadas com licenças e dependências

Revenera vs Snyk: « SCA » e segurança da cadeia de abastecimento

Compare o Revenera FlexNet Code Insight com o Snyk no que diz respeito ao inventário de software de código aberto, conformidade de licenças, deteção de vulnerabilidades, SBOMs e fluxos de trabalho de correção.

Checkmarx vs Veracode: SAST, Fluxos de trabalho e preços

Checkmarx vs Veracode: Comparação entre SAST e AppSec

Veja como o Checkmarx e o Veracode se comparam no que diz respeito a SAST, SCA, fluxos de trabalho dos programadores, implementação, triagem e requisitos empresariais antes de escolher uma plataforma.

Burp Suite vs OWASP ZAP: Qual se adequa melhor ao seu fluxo de trabalho de testes?

Burp Suite vs OWASP ZAP: DAST Comparação de ferramentas

Explore Burp Suite e OWASP ZAP para testes de aplicações web, automatização, extensibilidade e preços. Veja em que situações uma solução comercial ou de código aberto DAST é mais adequada.

Astrix Security vs GitGuardian: Secrets e NHI Security

Astrix Security vs GitGuardian: Secrets & NHI Security

Compare o Astrix e o GitGuardian no que diz respeito à segurança de identidades não humanas, deteção de secrets , identificação de exposições, correção e fluxos de trabalho dos programadores.

Até mesmo a lista de gemas pode executar o código de outra pessoa

As gems do Ruby podem executar código durante a instalação e sempre que se executa um comando «gem», incluindo o «gem list». Verifique se existem quatro gems que facilitam a fuga de dados e desative a execução durante a instalação.

Apagar uma chave que foi divulgada do teu repositório não te protege

Apagar a chave que foi divulgada do teu repositório não te protege

Uma chave de administrador que vazou no GitHub, apagada poucas horas depois, acabou por causar uma violação de segurança meses mais tarde na LiteLLM. Descubra por que razão o histórico do Git mantém um « secrets » e por que razão é necessário fazer a rotação das chaves.

Sobreviver à cibersegurança até ao final de 2026

Depois da Binance, do LiteLLM, do PHP2Shell e do eMudhra, eis seis práticas e uma lista de verificação para limitar o alcance do próximo ataque antes de 2027.

CodeRabbit vs Greptile: Qual revisor de código com IA é o mais adequado para a sua equipa?

CodeRabbit vs Greptile: Comparação de revisões de código de IA

Compare o CodeRabbit e o Greptile em termos de profundidade da análise de PR, contexto do código-fonte, qualidade do feedback, integrações e preços para escolher o revisor de IA mais adequado.

Uma vulnerabilidade crítica do kernel do Linux relacionada com o TCP pode permitir a execução remota de código (CVE-2026-98432)

Vulnerabilidade de execução remota de código (RCE) no TCP do kernel do Linux (CVE-2026-98432): correção

A CVE-2026-98432 é uma falha crítica no kernel do Linux relacionada com o protocolo TCP, com uma classificação de 9,8, que pode permitir a execução remota de código. Veja quem está afetado, como aplicar a correção e o que fazer agora.

Segurança dos agentes de IA no Kubernetes: Por que razão «injeção de prompts» não é o termo correto

Segurança dos agentes de IA no Kubernetes | Segurança do Aikido

Abdel Sghiouar, engenheiro da Google e promotor sénior de desenvolvimento na nuvem, considera que a injeção de prompts deveria ser designada por «envenenamento de prompts»

Abdel Sghiouar, engenheiro da Google e promotor sénior de desenvolvimento na nuvem, considera que a injeção de prompts deveria ser designada por «envenenamento de prompts».

Ataque à Binance: como um portátil de um programador que foi alvo de um ataque pode levar a uma violação de 6,3 mil milhões de dólares

Ataque à Binance: como o portátil de um programador pode colocar 6,3 mil milhões de dólares em risco

O ataque à Binance pode ter começado com um portátil de um programador que foi comprometido, afirma a Binance. Veja como isso pode levar ao roubo de fundos e como se proteger contra isso.

A Binance afirma que um portátil da equipa de DevOps que foi alvo de uma violação pode ter dado início ao ataque cibernético de 6,3 mil milhões de dólares e que, desde então, identificou outros pontos de violação. Eis como um único portátil pode conduzir a um serviço que movimenta dinheiro e como proteger os dispositivos no início dessa cadeia

O que são vulnerabilidades de shell? Explicação sobre PHP2Shell, Node2Shell (HTTP2Shell), React2Shell e Log4Shell

O que são vulnerabilidades do shell? | Segurança do Aikido

Explicamos o que são as vulnerabilidades de shell e como geri-las: PHP2Shell, Node2Shell (HTTP2Shell), React2Shell e Log4Shell

Depois de amanhã: Depois do PHP2Shell, a situação piora, mas depois os defensores levam a melhor

O PHP2Shell e o Brocolli2Shell podem ser sinais de muitas vulnerabilidades que estão para vir. Mas podemos estar preparados

Tem sido uma semana difícil, mais ou menos, para as equipas de segurança e de desenvolvimento. As previsões passaram de um «tsunami» de vulnerabilidades para uma sensação, semana após semana, de que o céu está a cair. Concordamos que a situação está a piorar, mas continuamos a achar que os defensores têm vantagem.

O «Ghost» no PHP2Shell: Por que razão a divulgação coordenada e a aplicação de correções vão começar a avançar mais rapidamente

O PHP2Shell demonstrou a rapidez com que a IA transforma um bug numa exploração. Eis porque é que a divulgação nunca mais deveria ocorrer desta forma e porque é que, mesmo assim, acabará por acontecer.

Aikido lança testes de penetração em redes externas

Aikido lança testes de penetração em redes externas | Segurança da Aikido

Aikido lança testes de penetração em redes externas: os agentes de IA atacam os seus sistemas ligados à Internet a partir do exterior e comunicam apenas as vulnerabilidades que realmente exploram.

Como corrigir o PHP2Shell com imagens gratuitas do Aikido

Aplicar o patch PHP2Shell com imagens gratuitas do Aikido (PHP 5.5 a 8.5)

Aplique a correção PHP2Shell (CVE-2026-109618 e CVE-2026-109619) com as imagens gratuitas do Aikido para o PHP 5.5 a 8.5. Mantenha a sua versão atual com as correções retroativas.

Atualizações do Produto

Incorporar o Aikido pentest de IA à sua infraestrutura de segurança atual

Incorporar o Aikido pentest de IA à sua infraestrutura de segurança existente | Segurança da Aikido

Aikido O « pentest de IA » da Security integra-se na pilha que já utiliza. Pode adicionar o « pentest de IA » para detetar as falhas lógicas complexas que as ferramentas determinísticas não conseguem identificar.

Aikido O « pentest de IA » da Security integra-se na pilha que já utiliza. Mesmo que esteja comprometido com o seu código atual e com as ferramentas de « segurança na nuvem », pode adicionar o « pentest de IA » para detetar as falhas lógicas complexas que as ferramentas determinísticas não conseguem identificar.

O Node2Shell evolui para o HTTP2Shell. O alcance da vulnerabilidade do Brotli (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP.

A vulnerabilidade Brotli do Node2Shell (CVE-2026-111497) evolui para HTTP2Shell, uma vez que as bibliotecas e as aplicações que utilizam HTTP são afetadas.

A falha do Brotli subjacente ao Node2Shell (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP e têm o Brotli ou o brotlicffi instalados. Verifique as suas versões e atualize para a versão corrigida.

A falha no Brotli subjacente ao Node2Shell (CVE-2026-111497) afeta aplicações Python que tenham o Brotli ou o brotlicffi instalados. Verifique as suas versões e atualize para a versão corrigida.

Node2Shell: Vulnerabilidade do Brotli no Node.js permite a execução remota de código (CVE-2026-111497)

Node2Shell: Vulnerabilidade do Brotli no Node.js permite a execução remota de código (CVE-2026-111497) e a correção

A vulnerabilidade CVE-2026-111497 (Node2Shell) do Node.js é uma falha no Brotli que pode permitir a execução remota de código. Veja quem está afetado, as versões corrigidas e a correção.

Vulnerabilidade no eMudhra CA: oito chaves privadas, sendo que uma delas é a 4 - CVE-2026-111943

Vulnerabilidade no eMudhra CA: Oito chaves privadas fracas - CVE-2026-111943

Oito chaves CA do eMudhra podiam ser descobertas em, no máximo, 256 tentativas, e uma delas é simplesmente o número 4. Quem é afetado, por que razão os navegadores com o curl ficavam lentos e como resolver o problema.

Oito chaves CA intermédias do eMudhra foram geradas de forma tão fraca que podiam ser recuperadas em, no máximo, 256 tentativas.

segurança da supply chain de software melhores práticas para 2026

segurança da supply chain de software melhores práticas para 2026 | Segurança da Aikido

Este guia apresenta as melhores práticas de segurança da cadeia de abastecimento que teriam impedido os ataques ocorridos nos últimos 18 meses.

LiteLLM voltou a ser comprometido: foram detetados um infostealer e um RAT na versão 1.107.0

LiteLLM comprometido: programa de roubo de informações e RAT na versão 1.107.0 do PyPI

O LiteLLM 1.107.0 contém um programa de roubo de informações e um RAT, e o PyPI colocou o pacote em quarentena. Verifique se foi afetado, o que é roubado e o que deve ser substituído.

O LiteLLM 1.107.0 foi comprometido. Todas as sete «wheels» compiladas no PyPI contêm um programa de roubo de credenciais e um trojan de acesso remoto persistente.

PHP2Shell: Vulnerabilidades críticas do PHP, versões afetadas e correções | CVE-2026-109618 e CVE-2026-109619

PHP2Shell: Como corrigir a vulnerabilidade RCE do PHP com patches e imagens gratuitas

Uma vulnerabilidade crítica do PHP permite que os atacantes executem código remotamente em servidores sem correções. Veja as versões afetadas, as correções, as medidas de mitigação e como verificar se está exposto a este risco. Duas falhas de execução remota de código (RCE) do PHP (CVE-2026-109618, CVE-2026-109619) estão a ser exploradas neste momento. Aqui ficam as versões para as quais deve atualizar e o que fazer se não for possível aplicar as correções hoje.

Já estão disponíveis correções para duas falhas críticas de RCE no PHP (CVSS 9.2), tendo sido relatadas tentativas de exploração. Todas as versões do PHP que não tenham sido corrigidas estão afetadas. Saiba como atualizar e utilizar imagens « Aikido » corrigidas e gratuitas.

As 10 melhores plataformas de software de segurança de e-mail em 2026

Compare 10 plataformas de segurança de e-mail no que diz respeito ao phishing, ao BEC e à resposta automatizada, bem como à proteção dos colaboradores em termos de formação, dispositivos e utilização de IA.

As 9 melhores ferramentas de simulação de phishing em 2026

Compare nove ferramentas de simulação de phishing para exercícios realistas por e-mail, voz, SMS e deepfake, formação adaptativa e uma proteção mais abrangente dos colaboradores.

As 9 melhores alternativas ao KnowBe4 em 2026

As 9 melhores alternativas e concorrentes da KnowBe4 em 2026

Compare nove alternativas à KnowBe4 para formação em sensibilização, simulações de phishing, governação da IA e proteção dos colaboradores, além de conselhos práticos sobre a migração.

As 8 melhores plataformas de formação em sensibilização para a segurança em 2026

Compare oito plataformas de formação em sensibilização para a segurança que oferecem aprendizagem baseada em funções, ameaças de IA, simulações de phishing e proteção para toda a sua força de trabalho.

As 8 melhores alternativas ao Mimecast em 2026

As 8 melhores alternativas e concorrentes do « Mimecast » em 2026

Compare oito alternativas ao Mimecast em matéria de segurança de e-mail, governação da IA, formação de colaboradores e arquivo, com conselhos práticos para planear a sua transição.

Aikido lança o Noon: segurança no local de trabalho para todos os colaboradores

Aikido lança a Noon, uma empresa especializada em segurança da força de trabalho. A empresa oferece governança da IA, proteção de dispositivos e de e-mail, bem como formação para combater o phishing e os deepfakes baseados em IA.

Criámos o Aikido para proteger os programadores. Hoje lançamos o Noon para proteger todas as outras pessoas, desde ataques de phishing e deepfakes baseados em IA até às ferramentas de IA que as equipas de segurança não conseguem detetar.

Os testes de penetração anuais já não dão conta do recado. Faça mais testes com o mesmo orçamento

Os testes de penetração anuais já não dão resposta. Realize mais testes com o mesmo orçamento | Segurança da Aikido

76% das equipas lançam alterações significativas semanalmente, mas apenas 21% testam cada lançamento. Veja como o « pentest de IA » colmata essa lacuna sem aumentar o seu orçamento de segurança

pentest de IA permite que as equipas de segurança realizem testes com maior frequência sem aumentar o orçamento. Saiba como os preços fixos e as previsões mantêm os custos previsíveis.

O seu CVE está acessível. Mas será que é explorável?

As vulnerabilidades CVE acessíveis podem, mesmo assim, não representar um risco para a sua aplicação. Veja como a comparação entre «acessibilidade» e « análise de explorabilidade » o ajuda a decidir quais as vulnerabilidades das dependências que deve corrigir em primeiro lugar.

As melhores alternativas ao « Escape.tech» para a segurança ofensiva em 2026

As melhores alternativas ao domínio . Escape.tech em 2026

Comparamos as principais alternativas ao Escape.tech para segurança ofensiva em 2026: Aikido Security, XBOW, RunSybil, Terra, Burp Suite Professional, Invicti, StackHawk, Hadrian e Pentera

As melhores alternativas ao Horizon3 em 2026

As melhores alternativas ao Horizon3 em 2026 para pentest de IA | Segurança do Aikido

Comparamos as principais alternativas ao Horizon3 para o « pentest de IA » em 2026: Aikido Security, Pentera, RidgeBot, XBOW, Hadrian, RunSybil e Terra

Drata e Aikido: testes de penetração preparados para auditorias, integrados no seu fluxo de trabalho de conformidade

A Drata e a Aikido integram o « pentest de IA » no seu fluxo de trabalho de conformidade. Obtenha resultados verificados, relatórios prontos para apresentação aos auditores e até 4 000 dólares em créditos gratuitos para testes de penetração.

A Drata e a Aikido integram o « pentest de IA » no seu fluxo de trabalho de conformidade, com resultados verificados, relatórios prontos para os auditores e até 4 000 dólares em créditos gratuitos para testes de penetração para novos clientes da Drata.

Aikido O departamento de segurança conta agora com a acreditação CREST

Aikido A Security obteve agora a acreditação CREST para testes de penetração | Aikido Security

Vende aos bancos ou à administração pública? A Aikido oferece agora testes de penetração acreditados pela CREST, bem como serviços de « pentest de IA » entre auditorias.

O que é a correção de vulnerabilidades?

O que é a correção de vulnerabilidades? | Segurança da Aikido

Saiba como funciona a correção de vulnerabilidades para cada tipo de falha e o que fazer quando a atualização de uma dependência interrompe a sua compilação ou não é uma opção.

As 6 melhores ferramentas de segurança para programadores destinadas a equipas empresariais em 2026

As 6 melhores ferramentas de segurança para programadores destinadas a equipas empresariais em 2026 | Segurança da Aikido

Comparamos as principais ferramentas de segurança para programadores destinadas a equipas empresariais em termos de qualidade do sinal, governação e correção: Aikido Security, Snyk, GitHub Advanced Security, SonarQube, Checkmarx e Endor Labs

As melhores ferramentas de segurança em conformidade com o FedRAMP em 2026

As melhores ferramentas de segurança em conformidade com o FedRAMP em 2026 | Aikido

Comparamos as principais ferramentas de segurança em conformidade com o FedRAMP em 2026: Aikido for Government, Checkmarx One for Government, Qualys, Rapid7 InsightGovCloud, Snyk for Government, Tenable, Wiz for Government

Pacote NPM «tensorlake» comprometido pelo verme Shai Hulud

detetado código malicioso no TensorLake 0.5.144

Como o Aikido o ajuda a cumprir a SOC 2 Tipo 1 e Tipo 2

Conformidade SOC 2 Tipo 1 e Tipo 2 com o Aikido

Saiba como o Aikido se mapeia para as auditorias SOC 2 Tipo 1 e Tipo 2, com rastreio de SLAs, portões CI/CD e verificações de Cloud que produzem evidências de auditoria exportáveis.

Principais ferramentas de remediação de vulnerabilidades em 2026

Top Vulnerability Remediation Tools in 2026 | Aikido

Comparamos as principais ferramentas de remediação de vulnerabilidades em 2026: Aikido Security, Snyk, GitHub Advanced Security, Tenable, Qualys e Wiz

Os melhores feeds de Threat Intelligence em 2026

Os melhores feeds de Threat Intelligence em 2026 | Aikido Security

Comparamos os principais feeds de Threat Intelligence em 2026: Aikido Intel, Socket Threat Feed, Snyk Security Database, OSV.dev e Spectra Intelligence (ReversingLabs)

As melhores ferramentas de segurança de endpoints para programadores em 2026

As melhores ferramentas de segurança de endpoints para programadores em 2026 | Aikido

A comparar as principais ferramentas de segurança de endpoints para programadores em 2026. Analisamos a Aikido Security, GitGuardian Developer Endpoint Protection, Koi Security, Socket e CrowdStrike Falcon

Aikido financia a segurança do Node.js

O Aikido junta-se à iniciativa da OpenJS para financiar trabalhos de segurança no Node.js

O Aikido é um parceiro inaugural do Security Stewardship Program da OpenJS, financiando programas de bug bounties e apoio a mantenedores para o Node.js.

O Aikido junta-se ao Security Stewardship Program da OpenJS como parceiro inaugural, financiando programas de bug bounties e apoio a mantenedores para proteger o Node.js.

A Aikido Security obtém a autorização FedRAMP Moderate

O Aikido obteve a autorização FedRAMP Moderate, trazendo remediação de vulnerabilidades automatizada e nativa de IA para as agências federais dos EUA.

Principais alternativas ao CodeQL em 2026

As melhores alternativas ao CodeQL em 2026 | Aikido

Comparação das principais alternativas ao CodeQL em termos de ruído, correções, custos e muito mais: Aikido Security, Semgrep, Snyk Code, SonarQube, Checkmarx e Veracode

Principais alternativas ao Greptile em 2026

As melhores alternativas ao Greptile em 2026 | Aikido

Comparamos as principais alternativas ao Greptile em 2026 com base na cobertura, ruído, profundidade de revisão e muito mais: Aikido Security, CodeRabbit, Qodo, Graphite, SonarQube e CodeAnt AI

Surge um novo worm «supplychain.local Go»

O MemTensor no npm e no PyPI foi afetado pelo malware «supplychain.local»

"supplychain.local": foi detetado código malicioso no plugin npm do MemTensor (0.1.21, 0.1.23) e no MemoryOS do PyPI (2.0.34).

A Lei de Ciber-Resiliência já chegou! Desmistificação e primeiras impressões

O primeiro prazo da Lei de Ciber-Resiliência terminou a 11 de setembro de 2026. Saiba como é a nova Plataforma de Relato Única e conheça quatro mitos comuns sobre a Lei de Ciber-Resiliência desmistificados.

Enviar um e-mail para o GitLab, fazer push para main

O GitLab atribui-lhe um endereço de e-mail privado para criar issues. Se esse endereço for divulgado, qualquer pessoa que o possua poderá enviar código, executar tarefas de CI/CD e contornar restrições de IP em todos os seus projetos públicos e privados.

A campanha Graphalgo propaga-se a fornecedores do Terraform e módulos Go

Malware Graphalgo propaga-se ao Terraform e Go

O Aikido detetou malware em Go associado ao Graphalgo em fornecedores do Terraform e módulos Go, utilizando acionadores direcionados, Slack e C2 baseado em blockchain.

O malware Graphalgo propagou-se agora ao Go, surgindo em dois fornecedores do Terraform e dois módulos Go.

Aikido e Deel: configurar uma vez, proteger todas as contratações

Código, cloud e dispositivos, protegidos automaticamente assim que alguém é contratado através da Deel.

Apresentação do Aikido Altar: o modelo que torna possível a inteligência de segurança soberana

Aikido Altar: IA de pesos abertos para segurança soberana

O Aikido Altar é um modelo de IA comprimido e de pesos abertos construído para inteligência de segurança soberana, que alimenta o pentest on-prem e em air-gap do Aikido Machine.

O Altar é o nosso primeiro modelo de IA de pesos abertos e o primeiro passo rumo a uma inteligência de segurança soberana. Executa-se inteiramente na própria infraestrutura do cliente, alimentando o pentest autônomo da Aikido Machine sem que nenhum código saia das instalações.

Principais ferramentas de pentest de IA on-prem em 2026

Principais Ferramentas de Pentest de IA On-Prem 2026 | Aikido Security

As melhores ferramentas de pentest de IA on-prem de 2026 para equipas reguladas, comparadas em termos de suporte air-gap, profundidade whitebox e cobertura de aplicações

As melhores ferramentas de pentest de IA on-prem de 2026 para equipas reguladas, comparadas em termos de suporte air-gap, profundidade whitebox e cobertura de aplicações. Veja onde cada uma se enquadra

O Aikido obtém a AWS Security Competency para Application Security

A AWS distinguiu o Aikido com a sua Security Competency para Application Security, validando a forma como o Aikido protege aplicações desde o código até à Cloud e ao runtime.

A AWS verificou o nosso trabalho de casa: somos oficialmente um parceiro AWS Security Competency Partner para Application Security.

Principais Alternativas ao Qodo para Assistência de Código com IA

Comparação das melhores alternativas ao Qodo em 2026

As melhores alternativas ao Qodo para revisão de código com IA em 2026, comparadas em termos de ruído, segurança e custo, para que possa escolher a ferramenta ideal para a sua equipa.

Principais alternativas ao Aqua Security para segurança nativa da nuvem em 2026

Comparação das 6 principais alternativas ao Aqua Security em 2026

Compare as melhores alternativas ao Aqua Security em 2026: Aikido, Wiz, Prisma Cloud, Sysdig, Orca e CrowdStrike, em termos de cobertura, implementação, preço e adequação.

Dependabot vs Renovate (2026): Qual utilizar?

Dependabot vs Renovate

Comparação entre Dependabot e Renovate em termos de configuração, monorepos, plataformas e segurança, além do motivo pelo qual a atualização automática falha no que é realmente explorável

O aumento repentino de CVEs nas principais empresas de software é um problema de remediação

O volume de CVE está a aumentar em grandes empresas de software, e uma auditoria federal mostra que nem o NIST conseguiu acompanhar o ritmo. Eis porque a velocidade de remediação, e não a contagem de divulgações, é o número que realmente importa.

Um gráfico viral este mês mostrou o aumento acentuado de CVEs em 21 grandes empresas de software, dividindo a indústria em duas facções que debatem o seu significado. Ambas ignoram o número que realmente determina o risco: a rapidez com que as vulnerabilidades importantes são corrigidas.

Jason Haddix: Deixem de ter medo pentest de IA

Jason Haddix: 90% dos testes de penetração serão realizados por IA

Jason Haddix explica por que razão os testes de penetração manuais não conseguem acompanhar a evolução, o que desaparece primeiro e por que razão a metodologia humana é o que faz com que a abordagem « pentest de IA » resulte

Um pacote Flutter comprometido no pub.dev contém o malware XCSSET

Detetámos o malware XCSSET num pacote Flutter comprometido no pub.dev. Aqui está uma análise completa da cadeia de infeção, dos módulos de propagação e da lógica do programa de roubo de dados que encontrámos no seu interior.

Shai-Hulud Ressurge dos Mortos após 111 dias

Uma payload npm do Shai-Hulud regressou 111 dias depois

Uma payload de worm Shai-Hulud conhecida permaneceu dormente durante 111 dias e depois foi republicada no npm, ultrapassando o scanning de malware destinado a detetá-la.

Uma payload do Shai-Hulud de maio acabou de reaparecer no npm, com o mesmo hash, inalterada, passando diretamente pelo scanning no momento da publicação que a deveria ter detetado.

Correção para StyleSmuggler: aplicar o patch à RCE do Magento e Adobe Commerce

O StyleSmuggler é uma RCE não autenticada que afeta o Magento e o Adobe Commerce, sem CVE e ainda sem patch da Adobe. A Aikido já tem a correção.

O StyleSmuggler está a afetar o Magento e o Adobe Commerce neste momento, e a Adobe ainda não lançou uma correção. Eis o patch que já temos e como funciona.

Dirty Frag (CVE-2026-43284): o bug do kernel Linux que transforma acesso de leitura em root

Dirty Frag (CVE-2026-43284): Escalação de Root no Linux | Aikido

O Dirty Frag transforma acesso Linux com privilégios mínimos em root e consegue fazer escape de containers. As CVEs afetadas, como verificar se está exposto e como corrigir.

As melhores alternativas ao Trivy para scanning de container e cloud em 2026

Melhores alternativas ao Trivy em 2026: Comparação

Comparação de seis alternativas ao Trivy para 2026 em termos de scanning de container, IaC, SAST, priorização e correções, indicando onde cada uma se enquadra de facto.

Pare de incumprir SLAs: como corrigir vulnerabilidades antes mesmo de o patch ser lançado

O seu SLA está prestes a expirar e a dependência não tem patch

Como utilizar o Aikido Libraries para corrigir dependências vulneráveis e cumprir os SLAs de segurança.

Saiba como cumprir os SLA de segurança para vulnerabilidades de dependências com o Aikido Libraries, fornecendo patches retroportados e seguros.

O MECCHA CHAMELEON não consegue esconder-se da RCE

Encontrámos uma segunda RCE com atraso no MECCHA CHAMELEON: um mapa personalizado malicioso conseguia escrever ficheiros em qualquer local do seu sistema e executar código após um reinício. Já corrigido na versão 4.0.0.

Principais ferramentas de DSPM em 2026

Principais ferramentas de DSPM em 2026: Comparadas e classificadas

Compare as principais ferramentas de DSPM de 2026: Aikido, Wiz, Cyera, Varonis e Orca, em termos de acesso a dados, remediação e forma como detetam a exposição

Compare as principais ferramentas de DSPM de 2026, Aikido, Wiz, Cyera, Varonis e Orca, em termos de acesso a dados, remediação e forma como detetam a exposição

O número oculto da deteção da cadeia de abastecimento

As regras baseadas em strings apenas detetam malware que já foi visto anteriormente. A deteção comportamental é a forma como encontra ataques à Supply chain.

Gerador de código popular para TanStack Query infetado por worm na cadeia de abastecimento

Foi detetado um worm na cadeia de abastecimento oculto em @7nohe/openapi-react-query-codegen, um gerador de código popular para o TanStack Query, que rouba credenciais e se propaga para todos os pacotes mantidos pela vítima.

Proteger imagens do Docker: reforçar a segurança, aplicar correções e mantê-las

Proteger imagens Docker

A maior parte das vulnerabilidades de um container provém da imagem base. Como endurecer (harden) imagens Docker, porque razão esse endurecimento é um processo contínuo e como corrigir a base que já está a executar.

Ainda bem que já se foram, TeamPCP. Agora vem a parte difícil.

As detenções relacionadas com a TeamPCP não resolvem o risco na cadeia de abastecimento que revelaram

A AFP, o FBI e a Polícia de WA acusaram dois homens que estariam por trás do TeamPCP. Charlie Eriksen explica por que razão a detenção não colmata a lacuna que o TeamPCP revelou.

Dois homens foram acusados de serem alegados membros dos TeamPCP após meses de trabalho transfronteiriço pela AFP, FBI e Polícia da Austrália Ocidental (WA Police). Charlie Eriksen, da Aikido, explica porque é que isso não fecha a lacuna que os TeamPCP expuseram nas cadeias de fornecimento de software.

Principais alternativas ao Minimus em 2026

O Minimus vai encerrar. Compare o Aikido, o Chainguard, o Docker Hardened Images, o RapidFort e o Echo, e escolha uma alternativa de imagem reforçada que não volte a deixá-lo preso a um fornecedor.

Aikido A Security obtém a certificação ISO 42001:2023 para a governação da IA

O Aikido obtém a certificação ISO 42001 | Governança de IA

O Aikido Security obteve a certificação ISO 42001, a norma global para a governação de IA, abrangendo pentest de IA, auditoria de segurança de código e Deep PR Review.

segurança da supply chain de software exige decisões, em vez de opções por defeito

Segurança da supply chain de software: decisões, e não predefinições

A maior parte do software funciona com base em decisões que ninguém tomou. Discutimos o motivo pelo qual a filtragem, a fixação de versões, a retroportabilidade e a manutenção de SBOM só funcionam se alguém assumir verdadeiramente a responsabilidade por elas.

Uma porta dos fundos (backdoor) no xz-utils. Uma compilação corrompida no lodash. Ambas remetem para o mesmo hábito: tratar um número de versão como um facto em vez de uma escolha. Eis o que consideramos ser necessário para tomar decisões em vez de confiar em predefinições.

Aikido lança testes de intrusão baseados em agentes para aplicações Android

Testes de intrusão para Android, agora baseados em agentes e autónomos | Aikido

Os agentes do Aikido testam a segurança da sua aplicação Android e do respetivo backend numa única avaliação whitebox. Obtém resultados reproduzibles, AutoFix e novos testes para cada problema.

A Aikido executa agora pentests autónomos em aplicações Android da mesma forma que um atacante o faria, cobrindo a aplicação e o seu backend numa única avaliação, com AutoFix e novos testes integrados.

Será que o OpenClaw conseguiu mesmo invadir aquele ginásio australiano? Decidimos testá-lo.

Recriamos o ataque de IA viral a um ginásio num ambiente controlado. A executar o Opus 4.6 no OpenClaw, o modelo explorou a falha de reservas em nove de dez execuções.

Como a Aikido encontra mais vulnerabilidades do que o Mythos a metade do custo

Como o Aikido encontra mais vulnerabilidades do que o Claude Security com o Mythos a metade do custo

O Aikido AI Code Audit encontrou mais 8 vulnerabilidades do que o Claude Security com o Mythos a menos de metade do custo. Como a conceção do arnés impulsiona a cobertura por dólar.

O Aikido Code Security Audit encontrou mais 8 vulnerabilidades do que o Claude Security com o Mythos, a menos de metade do custo. Descubra como o design da estrutura impulsiona a cobertura por dólar.

Shai-Hulud foi a melhor coisa que aconteceu à segurança da supply chain

O npm Trusted Publishing permaneceu quase inativo após o seu lançamento. Em seguida, o Shai-Hulud e mais 14 ataques à Supply chain impulsionaram a adoção em 3,4x. O Charlie analisa os dados subjacentes.

A funcionalidade Trusted Publishing do npm esteve praticamente inativa durante dois anos. Depois, o Shai-Hulud e mais 14 ataques à Supply chain impulsionaram a adoção em 3,4 vezes. O Charlie analisa os dados subjacentes.

Principais ferramentas de endurecimento de imagens em 2026

Principais Ferramentas de Endurecimento de Imagens 2026: 7 Comparadas

Comparação de ferramentas de endurecimento de imagens para 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus e Wiz

As melhores ferramentas empresariais de pentest de IA para segurança de aplicações em 2026

As Melhores Ferramentas Empresariais de Pentest de IA em 2026

Compare as principais ferramentas empresariais de pentest de IA de 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian e Cobalt.

O que é a remediação de CVE em 2026?

O Que É a Remediação de CVE em 2026?

A remediação de CVE consiste em corrigir falhas conhecidas no software que executa. Por que a atualização muitas vezes falha, o que a remediação realmente envolve e como o backporting resolve o problema.

Queimámos 11,7 mil milhões de tokens para encontrar o melhor modelo de IA cibernética

Gastámos 11.7 mil milhões de tokens para encontrar o melhor modelo de IA de cibersegurança | O GLM5.3 e o DeepSeek estão agora na vanguarda

Testámos 10 modelos de IA em 32 CVEs recentes. O DeepSeek V4 Pro encontrou 28, e três execuções económicas superaram uma única passagem do Opus 5 ou do Grok na cobertura total.

Um ataque à cadeia de abastecimento comprometeu os crates populares do Rust — arrayref, append-only-vec e internment —, introduzindo uma dependência do pacote malicioso «proc-macro1», que descarrega e executa uma carga útil remota durante a compilação.

Um ataque à cadeia de suprimentos comprometeu dois crates populares do Rust, arrayref e append-only-vec, injetando uma dependência do pacote malicioso proc-macro1, que descarrega e executa uma payload remota em tempo de compilação.

Lista de verificação para avaliação de pentest de IA: O que procurar num fornecedor de pentest de IA

Lista de Verificação de Fornecedores de Pentest de IA: O Que Procurar

Uma lista de verificação para pontuar fornecedores de pentest de IA com base na validação, acesso ao código, controlo de âmbito e fiabilidade, além dos sinais de alerta que distinguem uma plataforma real de uma boa demonstração.

Mais um RCE no Gogs, mas desta vez já está corrigido!

CVE-2026-52813 | Um agente de pentest do Aikido detetou um path traversal no Gogs. Escalámos para RCE completo e reportámos mais dois bugs, todos corrigidos na versão 0.14.3.

Principais ferramentas SCA empresariais em 2026

Principais Ferramentas SCA Empresariais 2026 | Aikido

Compare as ferramentas SCA empresariais para 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck e Veracode em termos de inteligência, remediação e conformidade.

Principais ferramentas DAST empresariais em 2026

Principais ferramentas DAST para empresas em 2026 | Aikido

Compare as principais ferramentas DAST empresariais de 2026 em termos de cobertura autenticada, descoberta de API, validação de exploits, governação, conformidade e pentest de IA

Compare as principais ferramentas DAST empresariais de 2026 com base na cobertura autenticada, descoberta de API, validação de exploits, governação, conformidade e pentest de IA.

As principais ferramentas de segurança unificadas em 2026

As principais ferramentas de segurança unificadas em 2026 | Aikido

Compare as principais ferramentas de segurança unificadas de 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca Security, tendo em conta a cobertura, correlação, governação e custos.

Do Hugging Face ao Fable: este verão mostra que o controlo da IA é mais importante do que a confiança

Segurança de IA: porque é que o controlo importa mais do que a confiança

Uma violação autónoma de IA na Hugging Face e a suspensão da Fable da Anthropic mostram a mesma coisa: confiar num fornecedor não é o mesmo que estar no controlo

Um agente de IA invadiu a Hugging Face por conta própria. O acesso de um fornecedor de IA desapareceu da noite para o dia. Eis o que têm em comum.

Detetar vulnerabilidades em todas as fases: o que executar e quando

De que ferramenta de teste de segurança é que realmente precisa?

O SAST, Deep PR Review, Code Security Audit e o AI Pentest detetam vulnerabilidades diferentes em fases distintas. Eis quando deve utilizar cada um e porquê

O SAST, Deep PR Review, Code Security Audit e o AI Pentest detetam vulnerabilidades em fases distintas. Eis quando deve utilizar cada um e porquê.

O que é a engenharia de sistemas de fixação de IA?

O que é a engenharia de "harness"? | Os "harnesses" de IA e o seu impacto na segurança de IA

A engenharia de "harness" é o código em redor de um modelo de IA que o transforma num agente. O que faz um "harness", porque supera a escolha de um modelo e como construir um.

Quem esteve por trás do ataque? Talvez ninguém

Quem esteve por trás do ataque? Possivelmente ninguém | Ataques de agentes autónomos da Anthropic, OpenAI e AISI

Três divulgações de verão documentaram agentes de IA a atacar organizações reais sem qualquer intenção humana na cadeia. A resposta a incidentes ainda não tem uma categoria para isto.

The Aikido Machine: pentest de IA on-prem que nunca sai da sua rede

Aikido Machine: servidor de pentest de IA on-prem | Aikido Security

Pentest de IA contínuo para equipas que não podem utilizar a Cloud. O Aikido Machine mantém os modelos, o código e os resultados inteiramente dentro da sua rede.

Pentest de IA contínuo entregue dentro da rede de organizações altamente reguladas. O Belfius, o banco-segurador belga, é o primeiro a implementá-lo.

Keyv e ferramentas associadas comprometidos num ataque ativo à cadeia de fornecimento Shai-Hulud

Keyv e ferramentas associadas comprometidos num ataque à cadeia de fornecimento do npm

O malware Mini Shai-Hulud foi injetado no keyv e em oito pacotes npm relacionados a 4 de agosto de 2026, após um atacante comprometer a conta de GitHub do programador responsável

Obrigado! Seu envio foi recebido!

Ops! Algo deu errado ao enviar o formulário.

6 de maio de 2026

•

Guias e Melhores Práticas

Implementando segurança para desenvolvedores em uma organização com mais de 5.000 engenheiros

A maioria das implementações de segurança para desenvolvedores falha porque são projetadas como implantações de software, e não como mudanças culturais. Aqui está o modelo faseado que CISOs experientes adotam para corrigir isso.

Tags/

#Vulnerabilidades

#AppSec

#Modelagem de Ameaças

#SCA

#SAST

5 de maio de 2026

•

Guias e Melhores Práticas

Metamorfose da segurança: um checklist de arquitetura Mythos-ready para ataques de IA autônomos

A AppSec estagnou diante da complexidade moderna. O Projeto Glasswing e a era Mythos exigem uma disciplina de segurança que opere na velocidade das ameaças que enfrenta.

Tags/

#Segurança de IA

#Segurança da Supply Chain de Software

29 de abril de 2026

•

Vulnerabilidades e Ameaças

Mini Shai-Hulud Visa Pacotes npm da SAP Com um Secret Stealer Baseado em Bun

Tags/

#Malware

#NPM

25 de abril de 2026

•

Vulnerabilidades e Ameaças

É hora de tratar as extensões de navegador como vetores de ataque à supply chain

A violação da Vercel seguiu um padrão bem conhecido na indústria de segurança, onde o código de terceiros é implicitamente confiado e, em seguida, comprometido a montante. Temos uma estrutura para isso. Apenas não a aplicamos ainda às extensões de navegador. (Spoiler: Fazemos isso para dependências de software)

Tags/

Nenhum item encontrado.

23 de abril de 2026

•

Vulnerabilidades e Ameaças

Shai-Hulud Está de Volta? CLI do Bitwarden Comprometida Contém um Verme npm Autopropagável

Malware encontrado em @bitwarden/cli v2026.4.0 rouba chaves SSH, Secrets da Cloud e credenciais de ferramentas de codificação de IA, e então se espalha através dos próprios pacotes npm das vítimas. Dentro: um verme que se autodenomina "Shai-Hulud: The Third Coming."

Tags/

#Malware

22 de abril de 2026

•

Notícias

Principais Festas, Eventos Paralelos e Encontros de Segurança da Black Hat USA 2026

Tags/

#Software de Auto-proteção

17 de abril de 2026

•

Vulnerabilidades e Ameaças

Múltiplas Vulnerabilidades de cross-site scripting em Mailcow

Os agentes de pentest de IA do Aikido encontraram três vulnerabilidades XSS no Mailcow, um servidor de e-mail auto-hospedado amplamente utilizado. A mais grave permitia que atacantes não autenticados injetassem um payload nos logs do Autodiscover que seria executado quando um administrador os visualizasse, possibilitando a tomada total da conta. Todas as três foram corrigidas desde a versão 2026-03b.

Tags/

#Vulnerabilidades

#open-source

14 de abril de 2026

•

Vulnerabilidades e Ameaças

Axios CVE-2026-40175: um bug crítico que… não é explorável

Axios CVE-2026-40175 é classificado como crítico, mas em ambientes Node.js reais não é praticamente explorável. Veja o porquê.

Tags/

Nenhum item encontrado.

13 de abril de 2026

•

Notícias

Bug bounty não está morto, mas o modelo antigo está em colapso

O bug bounty está chegando a um ponto de ruptura à medida que a IA sobrecarrega os programas, impulsionando uma mudança para modelos de segurança mais sustentáveis e focados na qualidade.

Tags/

#AI

#Testes de Penetração com IA

#Ferramentas

#Vulnerabilidades

8 de abril de 2026

•

Vulnerabilidades e Ameaças

Aikido Attack encontra múltiplos 0-days no Hoppscotch

Aikido Attack identificou três vulnerabilidades de alta gravidade no Hoppscotch: um redirecionamento aberto levando à tomada de conta, XSS armazenado e um problema de controle de acesso quebrado permitindo a injeção de requisições entre equipes.

Tags/

#Malware

#Testes de Penetração com IA

#open-source

18 de março de 2026

•

Vulnerabilidades e Ameaças

Extensão fast-draft Open VSX Comprometida por BlokTrooper

Uma popular extensão do Open VSX foi comprometida e usada para implantar um RAT e um infostealer a partir de infraestrutura controlada por atacantes. Seu histórico de versões revela a verdadeira história, com lançamentos maliciosos aparecendo entre os limpos.

Tags/

#Malware

#open-source

16 de março de 2026

•

Vulnerabilidades e Ameaças

Glassworm Atinge Pacotes Populares de Número de Telefone React Native

Dois pacotes npm populares do React Native foram comprometidos com backdoors por supostos atores Glassworm e usados para entregar malware multiestágio. Veja o que o malware faz e o que procurar.

Tags/

#Malware

#NPM

atualizações de produtos e da empresa

20 de outubro de 2026

•

Atualizações da Empresa

Aikido lança o Noon: segurança no local de trabalho para todos os colaboradores

6 de outubro de 2026

•

Atualizações da Empresa

A Aikido Security obtém a autorização FedRAMP Moderate

O Aikido obteve a autorização FedRAMP Moderate, trazendo remediação de vulnerabilidades automatizada e nativa de IA para as agências federais dos EUA.

21 de setembro de 2026

•

Atualizações da Empresa

Apresentação do Aikido Altar: o modelo que torna possível a inteligência de segurança soberana

O Aikido Altar é um modelo de IA comprimido e de pesos abertos construído para inteligência de segurança soberana, que alimenta o pentest on-prem e em air-gap do Aikido Machine.

Vulnerabilidades e Ameaças

12 de novembro de 2026

•

Vulnerabilidades e Ameaças

A campanha «wfx-loot» espalha um programa de roubo de segredos de CI por dezenas de milhares de repositórios

Malware

2 de novembro de 2026

•

Vulnerabilidades e Ameaças

Uma vulnerabilidade crítica do kernel do Linux relacionada com o TCP pode permitir a execução remota de código (CVE-2026-98432)

22 de outubro de 2026

•

Vulnerabilidades e Ameaças

Vulnerabilidade no eMudhra CA: oito chaves privadas, sendo que uma delas é a 4 - CVE-2026-111943

Ferramentas DevSec e Comparações

28 de agosto de 2026

•

Ferramentas DevSec e Comparações

As 10 Melhores Ferramentas de Análise de Composição de Software (SCA) em 2026

As ferramentas SCA são nossa melhor linha de defesa para a segurança de código aberto; este artigo explora os 10 principais scanners de dependências de código aberto para 2026.

Ferramentas

SCA

25 de agosto de 2026

•

Ferramentas DevSec e Comparações

Melhores Alternativas ao SonarQube em 2026

Explore as principais alternativas ao SonarQube para análise estática de código, detecção de bugs e código limpo em 2026.

Ferramentas

19 de agosto de 2026

•

Ferramentas DevSec e Comparações

As 10 melhores ferramentas do « Testes Dinâmicos de Segurança de Aplicações (ou Testes de Segurança em Tempo de Execução) » (DAST) em 2026

Descubra as 10 melhores ferramentas de « Testes Dinâmicos de Segurança de Aplicações (ou Testes de Segurança em Tempo de Execução) » (DAST) em 2026. Compare funcionalidades, vantagens, desvantagens e integrações para escolher a solução de « DAST » mais adequada.

Ferramentas

DAST

Guias e Melhores Práticas