.avif)
Notícias sobre Segurança da Supply Chain de Software
Mantenha-se atualizado sobre os últimos incidentes de segurança da supply chain de software, incluindo pacotes maliciosos, ataques de dependência e violações reais. Analisamos o que aconteceu, por que é importante e o que os desenvolvedores devem corrigir para se manterem à frente.
A campanha «wfx-loot» espalha um programa de roubo de segredos de CI por dezenas de milhares de repositórios
Uma onda de contas comprometidas está a propagar um programa de roubo de informações confidenciais (CI). Verifique se foi afetado, o que este programa rouba e quais as credenciais que deve alterar.
Uma vulnerabilidade crítica do kernel do Linux relacionada com o TCP pode permitir a execução remota de código (CVE-2026-98432)
A CVE-2026-98432 é uma falha crítica no kernel do Linux relacionada com o protocolo TCP, com uma classificação de 9,8, que pode permitir a execução remota de código. Veja quem está afetado, como aplicar a correção e o que fazer agora.
O Node2Shell evolui para o HTTP2Shell. O alcance da vulnerabilidade do Brotli (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP.
A falha do Brotli subjacente ao Node2Shell (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP e têm o Brotli ou o brotlicffi instalados. Verifique as suas versões e atualize para a versão corrigida.
Shai-Hulud Ressurge dos Mortos após 111 dias
Uma payload de worm Shai-Hulud conhecida permaneceu dormente durante 111 dias e depois foi republicada no npm, ultrapassando o scanning de malware destinado a detetá-la.
Correção para StyleSmuggler: aplicar o patch à RCE do Magento e Adobe Commerce
O StyleSmuggler é uma RCE não autenticada que afeta o Magento e o Adobe Commerce, sem CVE e ainda sem patch da Adobe. A Aikido já tem a correção.
O MECCHA CHAMELEON não consegue esconder-se da RCE
Encontrámos uma segunda RCE com atraso no MECCHA CHAMELEON: um mapa personalizado malicioso conseguia escrever ficheiros em qualquer local do seu sistema e executar código após um reinício. Já corrigido na versão 4.0.0.
Gerador de código popular para TanStack Query infetado por worm na cadeia de abastecimento
Foi detetado um worm na cadeia de abastecimento oculto em @7nohe/openapi-react-query-codegen, um gerador de código popular para o TanStack Query, que rouba credenciais e se propaga para todos os pacotes mantidos pela vítima.
As crates populares do Rust «arrayref», «append-only-vec» e «internment» foram comprometidas num ataque à cadeia de abastecimento
Um ataque à cadeia de abastecimento comprometeu os crates populares do Rust — arrayref, append-only-vec e internment —, introduzindo uma dependência do pacote malicioso «proc-macro1», que descarrega e executa uma carga útil remota durante a compilação.
Mais um RCE no Gogs, mas desta vez já está corrigido!
CVE-2026-52813 | Um agente de pentest do Aikido detetou um path traversal no Gogs. Escalámos para RCE completo e reportámos mais dois bugs, todos corrigidos na versão 0.14.3.
Keyv e ferramentas associadas comprometidos num ataque ativo à cadeia de fornecimento Shai-Hulud
O malware Mini Shai-Hulud foi injetado no keyv e em oito pacotes npm relacionados a 4 de agosto de 2026, após um atacante comprometer a conta de GitHub do programador responsável
Sonho Febril da Anthropic: O pacote de Claude que roubou chaves reais
A Anthropic revelou um agente que enviou malware real para o PyPI. Acreditamos ter encontrado o pacote, e cada erro nele aponta para a IA.
Descoberta de oito vulnerabilidades de alta severidade no NodeBB em seis horas
Oito vulnerabilidades de alta severidade no NodeBB, encontradas pelo nosso AI Pentest em seis horas. Análise técnica completa das cadeias de cross-site scripting, bypasses de autenticação e sequestro de posts.
SleeperGem: ataque à cadeia de suprimentos do RubyGems visa contas de mantenedores dormentes
SleeperGem: duas contas de mantenedores dormentes do RubyGems foram sequestradas para injetar malware em gems confiáveis, uma com mais de 500.000 downloads no total
RCE não autenticado no core do WordPress (wp2shell), via injeção de SQL
O core do WordPress possui um RCE não autenticado (wp2shell), confirmado como injeção de SQL. Atualize para 7.0.2 ou 6.9.5 agora, com mitigações se você ainda não puder aplicar o patch. Bloqueie a classe de ataque em tempo de execução com Aikido Zen.
Fique seguro agora
Proteja seu código, Cloud e runtime em um único sistema centralizado.
Encontre e corrija vulnerabilidades rapidamente de forma automática.
