Bem-vindo ao nosso blog.

O aumento repentino de vulnerabilidades CVE nas principais empresas de software constitui um problema de correção

O volume de CVE está a aumentar nas principais empresas de software, e uma auditoria federal revela que nem mesmo o NIST conseguiu acompanhar o ritmo. Eis porque é que a rapidez na correção, e não o número de divulgações, é o valor que realmente importa.

Jason Haddix: Deixem de ter medo pentest de IA

Jason Haddix: 90% dos testes de penetração serão realizados por IA

Jason Haddix explica por que razão os testes de penetração manuais não conseguem acompanhar a evolução, o que desaparece primeiro e por que razão a metodologia humana é o que faz com que a abordagem « pentest de IA » resulte

Um pacote Flutter comprometido no pub.dev contém o malware XCSSET

Detetámos o malware XCSSET num pacote Flutter comprometido no pub.dev. Aqui está uma análise completa da cadeia de infeção, dos módulos de propagação e da lógica do programa de roubo de dados que encontrámos no seu interior.

Shai-Hulud ressuscita após 111 dias

Uma carga útil do Shai-Hulud no npm reapareceu 111 dias depois

Uma carga útil conhecida do worm Shai-Hulud permaneceu inativa durante 111 dias, tendo sido posteriormente republicada no npm, passando despercebida pela verificação de malware destinada a detetá-la.

Correção do StyleSmuggler: aplicar o patch para a vulnerabilidade RCE no Magento e no Adobe Commerce

Correção do StyleSmuggler: correção de vulnerabilidade de execução de código (RCE) no Magento e no Adobe Commerce

O StyleSmuggler é uma vulnerabilidade de execução de código remoto (RCE) sem necessidade de autenticação que afeta o Magento e o Adobe Commerce, sem CVE e sem patch da Adobe até ao momento. O Aikido já disponibilizou a correção.

O StyleSmuggler está a afetar o Magento e o Adobe Commerce neste momento, e a Adobe ainda não disponibilizou uma correção. Aqui está o patch de que já dispomos e como funciona.

Dirty Frag (CVE-2026-43284): a falha no kernel do Linux que transforma o acesso de leitura em acesso de root

Dirty Frag (CVE-2026-43284): Escalada de privilégios para o utilizador root no Linux | Aikido

O «Dirty Frag» transforma um acesso com privilégios reduzidos no Linux num acesso de root e pode « escape » contentores. As vulnerabilidades CVE afetadas, como verificar se está exposto e como resolver o problema.

As melhores alternativas ao « Trivy » para o « container » e a digitalização na nuvem em 2026

As melhores alternativas ao « Trivy » em 2026: comparação

Seis alternativas ao Trivy comparadas para 2026 em termos de análise de container , IaC, SAST, definição de prioridades e correções, indicando onde cada uma se enquadra efetivamente.

Deixe de violar os SLAs: como aplicar correções às vulnerabilidades antes mesmo de a correção ser lançada

O seu SLA está prestes a ser violado e a dependência não tem qualquer correção

Como utilizar as bibliotecas do « Aikido » para corrigir dependências vulneráveis e cumprir os SLAs de segurança.

Saiba como cumprir os SLAs de segurança relativos a vulnerabilidades de dependências nas bibliotecas « Aikido », através da aplicação de correções seguras e retrocompatíveis.

Aikido

O MECCHA CHAMELEON não consegue esconder-se do RCE

Descobrimos uma segunda vulnerabilidade RCE de execução diferida no MECCHA CHAMELEON: um mapa personalizado malicioso podia gravar ficheiros em qualquer local do sistema e executar código após um reinício. Esta vulnerabilidade já foi corrigida na versão 4.0.0.

As melhores ferramentas de DSPM em 2026

As melhores ferramentas de DSPM em 2026: comparação e classificação

Compare as principais ferramentas de DSPM de 2026: Aikido, Wiz, Cyera, Varonis e Orca, no que diz respeito ao acesso aos dados, à correção de falhas e à forma como identificam as vulnerabilidades

Compare as principais ferramentas de DSPM de 2026 — Aikido, Wiz, Cyera, Varonis e Orca — no que diz respeito ao acesso aos dados, à correção de vulnerabilidades e à forma como identificam as exposições

A face obscura da deteção na cadeia de abastecimento

As regras baseadas em cadeias de caracteres apenas detetam malware que já tenha sido identificado. A deteção comportamental é a forma de identificar o ataques à Supply chain.

Gerador de código popular para o TanStack Query foi afetado por um worm da cadeia de abastecimento

Foi detetado um worm na cadeia de abastecimento escondido no @7nohe/openapi-react-query-codegen, um gerador de código popular para o TanStack Query, que roubava credenciais e se propagava para todos os pacotes mantidos pela vítima.

Proteger imagens do Docker

Proteger imagens do Docker: reforçar a segurança, aplicar correções e mantê-las

A maioria das vulnerabilidades de uma imagem do Docker ( container) provém da imagem base. Como reforçar a segurança das imagens do Docker, por que razão esse reforço é um processo contínuo e como aplicar correções à imagem base que já está a utilizar.

Ainda bem que já se foram, TeamPCP. Agora vem a parte difícil.

As detenções relacionadas com a TeamPCP não resolvem o risco na cadeia de abastecimento que revelaram

A AFP, o FBI e a Polícia de WA acusaram dois homens que estariam por trás do TeamPCP. Charlie Eriksen explica por que razão a detenção não colmata a lacuna que o TeamPCP revelou.

Dois homens foram acusados de serem alegados membros do TeamPCP, após meses de trabalho transfronteiriço da AFP, do FBI e da Polícia da Austrália Ocidental. Charlie Eriksen, do Aikido, explica por que razão isso não colmata a lacuna que o TeamPCP revelou nas cadeias de abastecimento de software.

As melhores alternativas ao Minimus em 2026

O Minimus vai encerrar. Compare o Aikido, o Chainguard, as imagens reforçadas do Docker, o RapidFort e o Echo, e escolha uma alternativa de imagens reforçadas que não o prenda novamente a um único fornecedor.

Aikido A Security obtém a certificação ISO 42001:2023 para a governação da IA

Aikido Obtenha a certificação ISO 42001 | Governança da IA

Aikido A Security obteve a certificação ISO 42001, a norma global para a governação da IA, que abrange a « pentest de IA », a «Code Security Audit» e a «Deep PR Review».

Conformidade

segurança da supply chain de software exige decisões, em vez de opções por defeito

segurança da supply chain de software: Decisões, não opções predefinidas

A maior parte do software funciona com base em decisões que ninguém tomou. Falamos sobre o motivo pelo qual o «gating», o «pinning», o «backporting» e a manutenção do « SBOM » só funcionam se houver alguém que se responsabilize efetivamente por eles.

Uma porta traseira no xz-utils. Uma compilação com erros no lodash. Ambas as situações têm origem no mesmo hábito: tratar um número de versão como um dado adquirido, em vez de uma escolha. Eis o que achamos que é realmente necessário para tomar decisões, em vez de confiar nos valores predefinidos.

Aikido lança testes de penetração com agente para aplicações Android

Testes de penetração no Android: agora com agentes e autónomos | Aikido

AikidoOs agentes da [nome da empresa] realizam testes de penetração na sua aplicação Android e no seu backend numa única avaliação de tipo «whitebox». Recebe resultados reproduzíveis, a funcionalidade AutoFix e novos testes para cada problema.

Aikido agora realiza testes de penetração autónomos em aplicações Android, tal como um atacante faria, abrangendo a aplicação e o seu backend numa única avaliação, com as funcionalidades AutoFix e retestes integradas.

Será que o OpenClaw conseguiu mesmo invadir aquele ginásio australiano? Decidimos testá-lo.

Recriámos a falha de segurança viral relacionada com a IA numa academia num ambiente controlado. Ao executar o Opus 4.6 no OpenClaw, o modelo explorou a falha no sistema de marcações em nove das dez tentativas.

Como o « Aikido » deteta mais vulnerabilidades do que o «Mythos» pela metade do custo

Como a « Aikido » deteta mais vulnerabilidades do que a «Claude Security» com o «Mythos», por metade do custo

Aikido A AI Code Audit detetou mais 8 vulnerabilidades do que a Claude Security com o Mythos, por menos de metade do custo. Como a conceção do conjunto de testes otimiza a cobertura por dólar.

Aikido A Code Security Audit detetou mais 8 vulnerabilidades do que a Claude Security com o Mythos, por menos de metade do custo. Descubra como o design do conjunto de testes otimiza a cobertura por dólar.

O Shai-Hulud foi o melhor que aconteceu à segurança da cadeia de abastecimento

O npm Trusted Publishing ficou praticamente inativo após o seu lançamento. Depois, o Shai-Hulud e mais 14 « ataques à Supply chain » impulsionaram a sua adoção em 3,4 vezes. O Charlie analisa os dados por trás disso.

O npm Trusted Publishing ficou praticamente inativo durante dois anos. Depois, o Shai-Hulud e mais 14 « ataques à Supply chain » impulsionaram a adoção em 3,4 vezes. O Charlie analisa os dados por trás disso.

As melhores ferramentas de fortificação de imagens em 2026

As melhores ferramentas de endurecimento de imagens em 2026: comparação entre 7 opções

Comparação de ferramentas de reforço de segurança de imagens para 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus e Wiz

As melhores ferramentas de « pentest de IA » empresariais para a segurança das aplicações em 2026

As melhores ferramentas de « pentest de IA » para empresas em 2026

Compare as principais ferramentas de « pentest de IA » para empresas de 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian e Cobalt.

O que é a correção de vulnerabilidades CVE em 2026?

A correção de vulnerabilidades CVE consiste em resolver falhas conhecidas no software que utiliza. Por que razão as atualizações falham frequentemente, o que a correção envolve, na verdade, e como o backporting resolve o problema.

Queimámos 11,7 mil milhões de tokens para encontrar o melhor modelo de IA cibernética

Queimámos 11,7 mil milhões de tokens para encontrar o melhor modelo de IA cibernética | O GLM5.3 e o DeepSeek são agora a vanguarda

Testámos 10 modelos de IA em 32 CVEs recentes. O DeepSeek V4 Pro detetou 28, e três execuções económicas superaram uma passagem do Opus 5 ou do Grok em termos de cobertura total.

Um ataque à cadeia de abastecimento comprometeu os crates populares do Rust — arrayref, append-only-vec e internment —, introduzindo uma dependência do pacote malicioso «proc-macro1», que descarrega e executa uma carga útil remota durante a compilação.

Um ataque à cadeia de abastecimento comprometeu dois crates populares do Rust, o arrayref e o append-only-vec, introduzindo uma dependência do pacote malicioso proc-macro1, que descarrega e executa uma carga maliciosa remota durante a compilação.

pentest de IA lista de verificação: O que procurar num fornecedor de pentest de IA

pentest de IA Lista de verificação de fornecedores: o que procurar

Uma lista de verificação para avaliar os fornecedores de « pentest de IA » em termos de validação, acesso ao código, controlo do âmbito e fiabilidade, além dos sinais de alerta que distinguem uma plataforma genuína de uma demonstração convincente.

Aikido

Mais um RCE no Gogs, mas desta vez já está corrigido!

CVE-2026-52813 | Um agente de testes de penetração da Aikido detetou uma vulnerabilidade de traversal de caminho no Gogs. Elevámos a gravidade da vulnerabilidade para RCE total e comunicámos mais dois bugs, todos corrigidos na versão 0.14.3.

As melhores ferramentas de « SCA » para empresas em 2026

As melhores ferramentas de « SCA » para empresas em 2026 | Aikido

Compare ferramentas de SCA empresarial para 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck, e Veracode em termos de inteligência, correção e conformidade.

As melhores ferramentas de « DAST » para empresas em 2026

As melhores ferramentas de « DAST » para empresas em 2026 | Aikido

Compare as principais ferramentas de « DAST » para empresas de 2026 em termos de cobertura autenticada, descoberta de API, validação de explorações, governação, conformidade e pentest de IA

Compare as principais ferramentas de « DAST » para empresas de 2026 em termos de cobertura autenticada, descoberta de API, validação de explorações, governação, conformidade e pentest de IA.

As melhores ferramentas de segurança unificada em 2026

As melhores ferramentas de segurança unificada em 2026 | Aikido

Compare as principais ferramentas de segurança unificada de 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca, em termos de cobertura, correlação, governação e custo.

Do Hugging Face ao Fable: este verão mostra que o controlo da IA é mais importante do que a confiança

Segurança da IA: por que razão o controlo é mais importante do que a confiança

Uma falha de segurança relacionada com IA autónoma na Hugging Face e a suspensão do Fable pela Anthropic demonstram o mesmo: confiar num fornecedor não é o mesmo que ter o controlo

Um agente de IA invadiu o Hugging Face por conta própria. O acesso de um fornecedor de IA desapareceu da noite para o dia. Eis o que têm em comum.

Detetar vulnerabilidades em todas as fases: o que executar e quando

De que ferramenta de testes de segurança é que realmente precisa?

SAST, A Análise Aprofundada de Relações Públicas, a Auditoria de Segurança de Código e o Teste de Penetração com IA detetam, cada um, vulnerabilidades diferentes em fases diferentes. Eis quando utilizar cada um deles e porquê

SAST, a Análise Aprofundada de Relações Públicas, a Auditoria de Segurança de Código e o Teste de Penetração com IA detetam vulnerabilidades em diferentes fases. Eis quando utilizar cada um deles e porquê.

O que é a engenharia de sistemas de fixação de IA?

O que é a engenharia de harnesses? | Harnesses de IA e o seu impacto na segurança da IA

A engenharia de harness é o código que envolve um modelo de IA e o transforma num agente. O que faz um harness, por que razão é melhor do que simplesmente escolher um modelo e como construir um.

Quem esteve por trás do ataque? Talvez ninguém

Quem esteve por trás do ataque? Talvez ninguém | Ataques de agentes autónomos da Anthropic, da OpenAI e da AISI

Três revelações ocorridas este verão documentaram ataques de agentes de IA a organizações reais, sem qualquer intervenção humana no processo. A resposta a incidentes ainda não dispõe de um modelo para este tipo de situação.

A Máquina « Aikido »: « pentest de IA » no local que nunca sai da sua rede

Aikido Máquina: servidor « pentest de IA » instalado localmente | Segurança do « Aikido »

pentest de IA o contínuo para equipas que não podem utilizar a nuvem. O Aikido Machine mantém os modelos, o código e os resultados inteiramente dentro da sua rede.

O serviço « pentest de IA » contínuo é disponibilizado no âmbito da rede de organizações altamente regulamentadas. O Belfius, o banco-seguradora belga, é o primeiro a implementá-lo.

Keyv e os seus amigos foram alvo de um ataque ativo à cadeia de abastecimento do Shai-Hulud

Keyv e amigos foram afetados por um ataque à cadeia de abastecimento do npm

O malware Mini Shai-Hulud foi introduzido no keyv e em oito pacotes npm relacionados a 4 de agosto de 2026, depois de um atacante ter comprometido a conta do GitHub do responsável pela manutenção

Principais ferramentas SAST empresariais 2026

Principais ferramentas SAST empresariais 2026 | Aikido Security

Comparando as melhores ferramentas SAST empresariais em redução de ruído, remediação com IA, governança, conformidade e custo

Sonho Febril da Anthropic: O pacote de Claude que roubou chaves reais

Sonho Febril da Anthropic: O pacote anthropickit de Claude que roubou chaves reais

A Anthropic revelou um agente que enviou malware real para o PyPI. Acreditamos ter encontrado o pacote, e cada erro nele aponta para a IA.

A Anthropic divulgou que um de seus próprios agentes publicou malware ativo no PyPI e comprometeu uma empresa terceira real no processo. Fui procurar e talvez tenha encontrado o pacote que ele deixou para trás.

Principais alternativas ao Astra Security para pentest automatizado em 2026

Principais Alternativas ao Astra Pentest para Testes de Segurança | Aikido Security

Compare as alternativas da Astra Security para pentest de IA em 2026 em termos de profundidade, testes white-box, resultados de conformidade e amplitude da plataforma.

Quatro decisões de resposta a incidentes da violação da Hugging Face

Quatro lições de resposta a incidentes da violação da Hugging Face

Reconhecimento, credenciais roubadas, C2 oculto e reconstrução ou correção. Quatro decisões da violação da Hugging Face que mostram se você consegue detectar um ataque em andamento.

Melhores ferramentas SAST de 2026

Melhores Ferramentas SAST de 2026: Aikido, Snyk, Semgrep e Mais

Compare as melhores ferramentas SAST de 2026 em termos de profundidade de detecção, ruído, correção e adequação empresarial

Compare as melhores ferramentas SAST de 2026 em termos de profundidade de detecção, ruído, correção e adequação empresarial.

Principais ferramentas de segurança LLM para proteger aplicações de IA

As Melhores Ferramentas de Segurança LLM em 2026 | Aikido Security

Compare as principais ferramentas de segurança LLM para aplicações de IA, incluindo Aikido, Snyk, Semgrep, Endor Labs e Wiz, em código, cadeia de suprimentos e tempo de execução.

Principais alternativas ao Acunetix para varredura automatizada de vulnerabilidades

Principais Alternativas ao Acunetix para Varredura de Vulnerabilidades | Aikido Security

Explorando alternativas ao Acunetix? Seu DAST cobre verificações baseadas em regras, mas não consegue analisar a lógica de negócios ou produzir pentests com nível de auditoria. Cinco opções que vão além.

Explorando alternativas ao Acunetix? Seu DAST cobre verificações padrão, mas não consegue analisar a lógica de negócios ou produzir pentests com nível de auditoria. Cinco opções que vão além.

Melhor detecção genérica de Secrets começa com a descoberta de não-Secrets

Algumas chaves de API são feitas para serem públicas. Betterleaks agora as remove de descobertas genéricas de Secrets, reduzindo milhares de falsos positivos por varredura.

SQL injections (e Little Bobby Tables) não morreram

SQL injection não morreu

A correção para SQL injection tem décadas e ainda funciona. Então, por que o core do WordPress precisou de um patch de emergência para uma? Os dados e como se defender dela.

CISO da Tyro: Ser o "Einstein da cibersegurança" não é suficiente se os desenvolvedores não confiarem em você

O Einstein da cibersegurança ainda precisa da confiança dos desenvolvedores

Arun Singh, CISO da Tyro, sobre a confiança dos desenvolvedores como um recurso finito e o que acontece quando ataques à Supply chain forçam as equipes a gastá-la

O que os desenvolvedores precisam saber sobre DSPM e exposição de dados em código

O DSPM tradicional encontra onde os dados sensíveis residem. O DSPM baseado em código encontra como eles são expostos e aponta para a correção em seu código.

A armadilha do upgrade: quando o upgrade é a resposta errada para uma CVE

Por que fazer upgrade para corrigir uma CVE frequentemente piora as coisas | Aikido

Fazer um upgrade para corrigir uma CVE parece simples. Mas a versão corrigida frequentemente quebra seu aplicativo, ainda não foi lançada ou não existe. Veja o porquê e o que realmente funciona.

"Atualizar para corrigir" pressupõe que uma versão corrigida existe, que foi lançada e que não irá quebrar sua aplicação. Frequentemente, nenhuma dessas premissas é verdadeira. Esta é a "armadilha da atualização", onde tanto atualizar quanto não atualizar trazem riscos de segurança e quebras na produção. Analisamos qual seria a saída.

SleeperGem: ataque à cadeia de suprimentos do RubyGems visa contas de mantenedores dormentes

SleeperGem: duas contas de mantenedores dormentes do RubyGems foram sequestradas para injetar malware em gems confiáveis, uma com mais de 500.000 downloads no total

RCE não autenticado no core do WordPress (wp2shell), via injeção de SQL

Vulnerabilidade de RCE não autenticado no core do WordPress (wp2shell), via injeção de SQL. Corrija a vulnerabilidade agora!

O core do WordPress possui um RCE não autenticado (wp2shell), confirmado como injeção de SQL. Atualize para 7.0.2 ou 6.9.5 agora, com mitigações se você ainda não puder aplicar o patch. Bloqueie a classe de ataque em tempo de execução com Aikido Zen.

Principais alternativas ao Pentera para pentest automatizado

Principais Alternativas ao Pentera para Pentest Automatizado | Aikido Security

Compare as principais alternativas ao Pentera para pentest automatizado em 2026. Veja onde Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra e Astra se encaixam melhor.

Benchmarking de 13 modelos de IA na redescoberta de CVEs conhecidas

Benchmarking de 13 modelos de IA na detecção de CVEs conhecidas

Testamos 13 modelos de IA contra 26 CVEs conhecidas para ver qual encontra mais vulnerabilidades — e se o modelo mais caro vale o custo.

Testamos 13 modelos de IA na busca por 26 CVEs conhecidas. O GPT-5.6 encontrou a maioria, mas o modelo mais caro não foi o melhor uso do orçamento.

O checklist prático para defesa contra ataques à Supply chain

O checklist prático de ataques à supply chain | Aikido

Trinta defesas priorizadas contra a recente onda de ataques à supply chain de software. Classificadas como críticas, altas ou médias.

Pacotes npm do AsyncAPI com backdoor via GitHub Actions

Cinco versões de pacotes, incluindo especificações com aproximadamente 2 milhões de downloads semanais, distribuíram um dropper ofuscado em 14/07/2026. Aqui está o que confirmamos até agora.

Como o Aikido Intel detecta malware e vulnerabilidades primeiro

O Aikido Intel é um feed em tempo real que detecta malware e vulnerabilidades não divulgadas em ecossistemas de código aberto, muitas vezes em até 8 minutos após o lançamento.

O Aikido Intel é um feed de inteligência de supply chain em tempo real que detecta rapidamente malwares e vulnerabilidades não divulgadas em ecossistemas open-source.

Descoberta de oito vulnerabilidades de alta severidade no NodeBB em seis horas

Oito vulnerabilidades de alta severidade no NodeBB, encontradas pelo nosso AI Pentest em seis horas. Análise técnica completa das cadeias de cross-site scripting, bypasses de autenticação e sequestro de posts.

O que é um firewall de dependências?

O que é um firewall de dependências? | Aikido Security

Um firewall de dependência bloqueia pacotes open-source maliciosos antes que sejam instalados. Saiba como funcionam e como o Aikido Safe Chain interrompe ataques à Supply chain.

Como manter padrões de qualidade de código com código de IA e vibe coding

Vibe coding entrega funcionalidades rapidamente e deixa a dívida de revisão para trás. Veja como as verificações de qualidade de código por regra, com benchmarking, fornecem às equipes uma resposta consistente em todos os PRs e repositórios.

Comprometido @injectivelabs/sdk-ts exfiltra chaves de carteira através de telemetria falsa

Uma versão maliciosa de @injectivelabs/sdk-ts escondeu um ladrão de chaves de carteira dentro de um código rotulado como telemetria de uso, depois o espalhou por mais 17 pacotes npm. Veja como funcionou e como verificar seus projetos.

Guia do Comprador de Pentest de IA: Como avaliar fornecedores de pentest de IA

Guia do Comprador de Pentest de IA | Avalie Fornecedores de Pentest de IA

Saiba como avaliar fornecedores de pentest de IA com critérios práticos de compra, pesquisa de mais de 1.000 pentests de IA e um checklist de avaliação para download.

Saiba como avaliar fornecedores de pentest de IA com critérios práticos de compra, pesquisa de mais de 1.000 pentests de IA e um checklist de avaliação.

Principais alternativas ao Burp Suite para testes de segurança de aplicações web

Principais Alternativas ao Burp Suite para Testes de Segurança de Aplicações Web | Aikido Security

Compare as principais alternativas ao Burp Suite para DAST e pentest de IA, incluindo Aikido, Caido, ZAP e Invicti.

Principais alternativas ao Chainguard 2026

Principais Alternativas ao Chainguard em 2026 | Aikido

Comparando as melhores alternativas ao Chainguard em 2026, da Aikido Security a Docker Hardened Images, Minimus, RapidFort e Echo.

Alternativas ao Chainguard comparadas para imagens de Container endurecidas e remediação de CVE sem migração forçada.

Principais Festas, Eventos Paralelos e Encontros de Segurança da Black Hat USA 2026

Um guia selecionado para as festas, happy hours, jantares de CISO e encontros de segurança da Black Hat USA 2026 em Las Vegas, incluindo o Omega Mart After Hours da Aikido com AWS e Tailscale.

Previsão contínua de MongoDB ObjectId no Rocket.Chat

O AI pentester da Aikido encontrou esta falha de acesso a arquivos no Rocket.Chat. Uma análise mais aprofundada do MongoDB ObjectId revelou a fraca aleatoriedade que o torna explorável.

O pentester de IA da Aikido encontrou esta falha de acesso a arquivos no Rocket.Chat. Uma análise mais detalhada do ObjectId() do MongoDB revelou a fraca aleatoriedade que o torna explorável.

Bypass de Autenticação na configuração padrão do phpBB

Nossos agentes de pentest de IA encontraram um bypass de autenticação crítico no phpBB (CVE-2026-48611): uma única requisição não autenticada permite que você faça login em qualquer conta. Veja o exploit e a correção.

Aikido adquire Root para proteger a cadeia de suprimentos

A Aikido adquiriu a Root para proteger a cadeia de suprimentos de software, corrigindo vulnerabilidades de código aberto na versão que você já executa, sem necessidade de upgrade. Correções críticas são devolvidas à comunidade, gratuitamente.

E mais uma. GitHub disponibiliza a revogação de credenciais break-glass

GitHub disponibiliza a revogação de credenciais break glass

A revogação de credenciais break-glass está ativa no GitHub Enterprise. As repetições dos incidentes com Trivy e Microsoft durabletask demonstram por que uma revogação rápida e completa era necessária.

O GitHub Enterprise agora pode revogar todas as credenciais de uma conta em uma única ação. O ataque ao Trivy e o próprio comprometimento do durabletask da Microsoft demonstram por que isso era algo esperado há muito tempo.

npm agora congela contas de alto impacto após mudanças de conta arriscadas

Uma análise do novo congelamento de conta de 72 horas do npm, o que o aciona, o que ele bloqueia e como funciona em conjunto com a publicação confiável e em fases.

Principais alternativas ao Koi em 2026

Principais Alternativas de Koi Security em 2026 | Aikido

Procurando uma alternativa ao Koi Security após a aquisição pela Palo Alto? Compare concorrentes em proteção de dispositivos, abrangência da plataforma e preços.

Ação comprometida do GitHub codfish/semantic-release-action rouba Secrets de CI/CD

codfish/semantic-release-action foi comprometida em 24 de junho de 2026. Atacantes redirecionaram as tags v2–v5 para um payload Miasma de roubo de credenciais visando Secrets de CI/CD. Veja o que aconteceu e como verificar se você foi afetado.

Todo mundo está enviando código que não consegue ler

Com a IA, todos são desenvolvedores agora, e muito código é entregue sem uma revisão cuidadosa de olhos treinados.

Aikido x Drydock | Uma forma para mantenedores detectarem malware antes do lançamento

Aikido faz parceria com Drydock para trazer revisão de malware pré-publicação para npm e PyPI

Aikido faz parceria com Drydock para trazer a revisão de pacotes pré-publicação para npm e PyPI. Veja exatamente o que está dentro de um lançamento antes que ele seja distribuído, malware detectado antes do primeiro download.

Aikido está fazendo parceria com Drydock para que os mantenedores de npm e PyPI possam ver exatamente o que está dentro de um lançamento antes que ele seja publicado. Detecte malware antes do lançamento, não depois.

Packagist agora está protegido por Aikido Intel e outras atualizações para o registro PHP

O feed de malware do Aikido agora bloqueia versões de pacotes maliciosos no Composer por padrão. Uma análise de como o Packagist está fechando classes inteiras de ataques à Supply chain.

O feed de malware da Aikido agora bloqueia versões de pacotes sinalizadas no Composer por padrão, para todos que instalam do Packagist.org, sem necessidade de ativação. No último ano, Packagist e Composer vêm fechando classes inteiras de ataques à cadeia de suprimentos no nível do registro. Aqui está o que eles lançaram e por que todo registro deveria funcionar dessa maneira.

Aikido x OWASP: 200 créditos gratuitos para membros individuais

Aikido e OWASP: 200 créditos gratuitos para membros

Membros individuais da OWASP recebem 200 créditos Aikido gratuitos para executar o Code Audit. Veja quem se qualifica e como reivindicar os seus em duas etapas.

Membros individuais da OWASP recebem 200 créditos Aikido gratuitos para executar o Code Audit. Veja como reivindicar os seus em duas etapas.

Aikido

Mais de 140 pacotes npm populares do Mastra atingidos por ataque à cadeia de suprimentos

Vários plugins de IDE da JetBrains flagrados roubando chaves de IA

Uma campanha coordenada de pelo menos 15 plugins de IDE da JetBrains, publicados sob sete contas de fornecedores, exfiltra a chave de API do provedor de IA que você cola em suas configurações.

Full Fathom Five: O contexto do lançamento público da classe Mythos da Anthropic

Full Fathom Five: O que significa o lançamento público da classe Mythos da Anthropic

5 alternativas de segurança ao Socket e por que são melhores

5 Alternativas de Segurança ao Socket e Por Que São Melhores

npm v12 oferece uma das maiores melhorias de segurança em anos

npm v12 torna os scripts de instalação opt-in por padrão, fechando o caminho de execução em tempo de instalação após um ano de "worms" na Supply chain do npm, de Nx a Red Hat.

Aikido x Docker: menos ruído, mais sinal em seus contêineres

Aikido Suporta Docker Hardened Images com VEX

Escaneie Imagens Hardened do Docker no Aikido com filtragem VEX automática para CVEs não exploráveis.

O código está sendo escrito em todos os lugares, e o dispositivo é a única constante

O Código É Escrito Em Todos os Lugares e o Dispositivo É a Única Constante | Aikido Security

Desenvolvedores estão codificando em todos os lugares. Agentes de IA, bots do Slack e servidores MCP transformaram o dispositivo do desenvolvedor no maior ponto cego de segurança.

SBOMs em 2026: Todos estão gerando-os, ninguém os está usando

SBOMs em 2026: Todos Estão Gerando-os, Ninguém os Está Usando | Aikido Security

O relatório de adoção de SBOM da ENISA de 2026 abrange 334 organizações e revela uma lacuna consistente entre a geração de SBOMs e o uso efetivo deles. Aqui está o que se destacou.

Crate Rust onering comprometido realiza exfiltração de código

O crate Rust onering v1.4.1 comprometido no crates.io distribuiu um build.rs malicioso que exfiltra o diff do seu último commit para um endpoint Sentry hospedado toda vez que você compila.

Vulnerabilidade crítica de 10 anos no phpBB afetando dezenas de milhões de usuários em milhares de fóruns

Vulnerabilidade Crítica no phpBB: Auth Bypass + RCE Desde 2014

Espere, binding.gyp pode fazer o quê? Explorando o sistema de build mais estranho do npm

O que é AI SAST?

As 5 melhores alternativas ao Tenable Nessus em 2026

As 5 Melhores Alternativas ao Tenable Nessus em 2026 | Aikido Security

Por que EDR e proxy não vão te salvar de malware de supply chain

EDR e proxies não foram feitos para malware de supply chain. Quando um código malicioso chega via npm install, ele parece um comportamento normal. Veja por que isso importa.

Abra espaço, Mythos. Chegou... praticamente qualquer outro modelo com um bom arcabouço

Abra espaço, Mythos. Chegou qualquer modelo com um bom arcabouço.

Mythos tem vantagens reais na construção de cadeias de exploração. Mas para a maioria dos trabalhos de AppSec, o arcabouço em torno do modelo importa mais do que o modelo que você escolhe.

Pacotes npm da Red Hat Comprometidos para Disseminar um Worm de Roubo de Credenciais

Apresentamos o « análise de código com IA »: Descubra vulnerabilidades complexas escondidas no seu código-fonte

SAST deteta padrões. O análise de código com IA analisa o seu código tal como um atacante o faria, identificando as falhas lógicas que só se revelam após a publicação.

O que o MDM não consegue proteger em máquinas de desenvolvedores (e o que fazer a respeito)

O que o MDM Não Consegue Proteger em Máquinas de Desenvolvedores

Principais alternativas ao GitGuardian para varredura de segredos em 2026

Principais Alternativas ao GitGuardian para Varredura de Segredos em 2026

UI Remota do Codex com Aparência Legítima Rouba Secretamente Seus Tokens de IA

Aikido vs Xbow: 58% mais vulnerabilidades encontradas em benchmark independente

Por que as máquinas de desenvolvedores são agora o alvo número um para ataques à Supply chain

Por que Máquinas de Desenvolvedores São o Alvo #1 para Ataques à Supply chain | Aikido

Equipes da Omnea, Cognism, Glasswall, Raisin e do setor público do Reino Unido revelam por que EDR e MDM não detectam o que realmente está acontecendo nas máquinas de desenvolvedores.

Equipes de engenharia e segurança da Omnea, Cognism, Glasswall e do setor público do Reino Unido identificaram independentemente o mesmo ponto cego. É isso que eles estão fazendo a respeito.

Ataque à Cadeia de Suprimentos Visa Pacotes Laravel-Lang com Ladrão de Credenciais

5 alternativas ao Gitleaks e por que são melhores

5 Alternativas ao Gitleaks para uma melhor varredura de segredos em 2026

Procurando uma alternativa ao Gitleaks? Comparamos Betterleaks, TruffleHog, Aikido, GitHub Advanced Security e Spectral para que você possa encontrar o melhor scanner de segredos para sua equipe.

Obrigado! Seu envio foi recebido!

Ops! Algo deu errado ao enviar o formulário.

29 de julho de 2026

•

Notícias

Quatro decisões de resposta a incidentes da violação da Hugging Face

Reconhecimento, credenciais roubadas, C2 oculto e reconstrução ou correção. Quatro decisões da violação da Hugging Face que mostram se você consegue detectar um ataque em andamento.

Tags/

#AI

#Segurança de IA

#Infrastructure as a Code IaC

23 de julho de 2026

•

Notícias

Melhor detecção genérica de Secrets começa com a descoberta de não-Secrets

Algumas chaves de API são feitas para serem públicas. Betterleaks agora as remove de descobertas genéricas de Secrets, reduzindo milhares de falsos positivos por varredura.

Tags/

#Secrets

#AppSec

#open-source

22 de julho de 2026

•

Vulnerabilidades e Ameaças

Descoberta de oito vulnerabilidades de alta severidade no NodeBB em seis horas

Tags/

#Testes de Penetração com IA

#Vulnerabilidades

22 de julho de 2026

•

Notícias

SQL injection não morreu

A correção para SQL injection tem décadas e ainda funciona. Então, por que o core do WordPress precisou de um patch de emergência para uma? Os dados e como se defender dela.

Tags/

#SQL Injections

#Aikido Zen

21 de julho de 2026

•

Guias e Melhores Práticas

CISO da Tyro: Ser o "Einstein da cibersegurança" não é suficiente se os desenvolvedores não confiarem em você

Arun Singh, CISO da Tyro, sobre a confiança dos desenvolvedores como um recurso finito e o que acontece quando ataques à Supply chain forçam as equipes a gastá-la

Tags/

#Ferramentas

#Segurança da Supply Chain de Software

17 de julho de 2026

•

Vulnerabilidades e Ameaças

RCE não autenticado no core do WordPress (wp2shell), via injeção de SQL

Tags/

#Vulnerabilidades

#AppSec

#SQL Injections

16 de julho de 2026

•

Pesquisa

Benchmarking de 13 modelos de IA na redescoberta de CVEs conhecidas

Testamos 13 modelos de IA na busca por 26 CVEs conhecidas. O GPT-5.6 encontrou a maioria, mas o modelo mais caro não foi o melhor uso do orçamento.

Tags/

#Testes de Penetração com IA

#AI

#Avaliação comparativa de IA

14 de julho de 2026

•

Guias e Melhores Práticas

O checklist prático para defesa contra ataques à Supply chain

Trinta defesas priorizadas contra a recente onda de ataques à supply chain de software. Classificadas como críticas, altas ou médias.

Tags/

#Segurança da Supply Chain de Software

#open-source

13 de julho de 2026

•

Notícias

Como manter padrões de qualidade de código com código de IA e vibe coding

Tags/

#Qualidade do Código

#Vibe Coding

#AI

9 de julho de 2026

•

Vulnerabilidades e Ameaças

Comprometido @injectivelabs/sdk-ts exfiltra chaves de carteira através de telemetria falsa

Tags/

#Malware

#open-source

9 de julho de 2026

•

Guias e Melhores Práticas

Guia do Comprador de Pentest de IA: Como avaliar fornecedores de pentest de IA

Saiba como avaliar fornecedores de pentest de IA com critérios práticos de compra, pesquisa de mais de 1.000 pentests de IA e um checklist de avaliação.

Tags/

#Testes de Penetração com IA

6 de julho de 2026

•

Vulnerabilidades e Ameaças

Previsão contínua de MongoDB ObjectId no Rocket.Chat

O pentester de IA da Aikido encontrou esta falha de acesso a arquivos no Rocket.Chat. Uma análise mais detalhada do ObjectId() do MongoDB revelou a fraca aleatoriedade que o torna explorável.

Tags/

#Vulnerabilidades

#Testes de Penetração com IA

#open-source

12 de agosto de 2026

•

Atualizações de Produto e da Empresa

Detetar vulnerabilidades em todas as fases: o que executar e quando

Pentest com IA

5 de agosto de 2026

•

Atualizações de Produto e da Empresa

A Máquina « Aikido »: « pentest de IA » no local que nunca sai da sua rede

pentest de IA o contínuo para equipas que não podem utilizar a nuvem. O Aikido Machine mantém os modelos, o código e os resultados inteiramente dentro da sua rede.

Pentest com IA

Anúncios

Pentest Contínuo

Cibersegurança Europeia

14 de julho de 2026

•

Atualizações de Produto e da Empresa

Como o Aikido Intel detecta malware e vulnerabilidades primeiro

O Aikido Intel é um feed em tempo real que detecta malware e vulnerabilidades não divulgadas em ecossistemas de código aberto, muitas vezes em até 8 minutos após o lançamento.

inteligência

Aikido Device Protection

SCA

8 de setembro de 2026

•

Vulnerabilidades e Ameaças

Um pacote Flutter comprometido no pub.dev contém o malware XCSSET

Malware

7 de setembro de 2026

•

Vulnerabilidades e Ameaças

Shai-Hulud ressuscita após 111 dias

inteligência

Malware

Vulnerabilidades

7 de setembro de 2026

•

Vulnerabilidades e Ameaças

Correção do StyleSmuggler: aplicar o patch para a vulnerabilidade RCE no Magento e no Adobe Commerce

12 de junho de 2026

•

Ferramentas DevSec e Comparações

5 alternativas de segurança ao Socket e por que são melhores

Aikido Zen

Malware

open source

19 de agosto de 2025

•

Ferramentas DevSec e Comparações

As 13 melhores Ferramentas de Testes Dinâmicos de Segurança de Aplicações (DAST) em 2026

Descubra as 13 melhores ferramentas de Testes Dinâmicos de Segurança de Aplicações (DAST) em 2026. Compare recursos, prós, contras e integrações para escolher a solução DAST certa.

Ferramentas

DAST

18 de julho de 2025

•

Ferramentas DevSec e Comparações

As 14 Melhores Ferramentas de Container Scanning em 2026

Descubra as 14 melhores ferramentas de Container Scanning em 2026. Compare recursos, prós, contras e integrações para escolher a solução certa para seu pipeline de DevSecOps.

Ferramentas

Varredura de Container