.avif)
Notícias sobre Segurança da Supply Chain de Software
Mantenha-se atualizado sobre os últimos incidentes de segurança da supply chain de software, incluindo pacotes maliciosos, ataques de dependência e violações reais. Analisamos o que aconteceu, por que é importante e o que os desenvolvedores devem corrigir para se manterem à frente.
A campanha «wfx-loot» espalha um programa de roubo de segredos de CI por dezenas de milhares de repositórios
Uma onda de contas comprometidas está a propagar um programa de roubo de informações confidenciais (CI). Verifique se foi afetado, o que este programa rouba e quais as credenciais que deve alterar.
Uma vulnerabilidade crítica do kernel do Linux relacionada com o TCP pode permitir a execução remota de código (CVE-2026-98432)
A CVE-2026-98432 é uma falha crítica no kernel do Linux relacionada com o protocolo TCP, com uma classificação de 9,8, que pode permitir a execução remota de código. Veja quem está afetado, como aplicar a correção e o que fazer agora.
O Node2Shell evolui para o HTTP2Shell. O alcance da vulnerabilidade do Brotli (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP.
A falha do Brotli subjacente ao Node2Shell (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP e têm o Brotli ou o brotlicffi instalados. Verifique as suas versões e atualize para a versão corrigida.
A campanha «wfx-loot» espalha um programa de roubo de segredos de CI por dezenas de milhares de repositórios
Uma onda de contas comprometidas está a propagar um programa de roubo de informações confidenciais (CI). Verifique se foi afetado, o que este programa rouba e quais as credenciais que deve alterar.
Até mesmo a lista de gemas pode executar o código de outra pessoa
As gems do Ruby podem executar código durante a instalação e sempre que se executa um comando «gem», incluindo o «gem list». Verifique se existem quatro gems que facilitam a fuga de dados e desative a execução durante a instalação.
Uma vulnerabilidade crítica do kernel do Linux relacionada com o TCP pode permitir a execução remota de código (CVE-2026-98432)
A CVE-2026-98432 é uma falha crítica no kernel do Linux relacionada com o protocolo TCP, com uma classificação de 9,8, que pode permitir a execução remota de código. Veja quem está afetado, como aplicar a correção e o que fazer agora.
O Node2Shell evolui para o HTTP2Shell. O alcance da vulnerabilidade do Brotli (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP.
A falha do Brotli subjacente ao Node2Shell (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP e têm o Brotli ou o brotlicffi instalados. Verifique as suas versões e atualize para a versão corrigida.
Node2Shell: Vulnerabilidade do Brotli no Node.js permite a execução remota de código (CVE-2026-111497)
A vulnerabilidade CVE-2026-111497 (Node2Shell) do Node.js é uma falha no Brotli que pode permitir a execução remota de código. Veja quem está afetado, as versões corrigidas e a correção.
Vulnerabilidade no eMudhra CA: oito chaves privadas, sendo que uma delas é a 4 - CVE-2026-111943
Oito chaves CA do eMudhra podiam ser descobertas em, no máximo, 256 tentativas, e uma delas é simplesmente o número 4. Quem é afetado, por que razão os navegadores com o curl ficavam lentos e como resolver o problema.
LiteLLM voltou a ser comprometido: foram detetados um infostealer e um RAT na versão 1.107.0
O LiteLLM 1.107.0 contém um programa de roubo de informações e um RAT, e o PyPI colocou o pacote em quarentena. Verifique se foi afetado, o que é roubado e o que deve ser substituído.
PHP2Shell: Vulnerabilidades críticas do PHP, versões afetadas e correções | CVE-2026-109618 e CVE-2026-109619
Uma vulnerabilidade crítica do PHP permite que os atacantes executem código remotamente em servidores sem correções. Veja as versões afetadas, as correções, as medidas de mitigação e como verificar se está exposto a este risco. Duas falhas de execução remota de código (RCE) do PHP (CVE-2026-109618, CVE-2026-109619) estão a ser exploradas neste momento. Aqui ficam as versões para as quais deve atualizar e o que fazer se não for possível aplicar as correções hoje.
Pacote NPM «tensorlake» comprometido pelo verme Shai Hulud
detetado código malicioso no TensorLake 0.5.144
Surge um novo worm «supplychain.local Go»
"supplychain.local": foi detetado código malicioso no plugin npm do MemTensor (0.1.21, 0.1.23) e no MemoryOS do PyPI (2.0.34).
Fique seguro agora
Proteja seu código, Cloud e runtime em um único sistema centralizado.
Encontre e corrija vulnerabilidades rapidamente de forma automática.
