.avif)
Notícias sobre Segurança da Supply Chain de Software
Mantenha-se atualizado sobre os últimos incidentes de segurança da supply chain de software, incluindo pacotes maliciosos, ataques de dependência e violações reais. Analisamos o que aconteceu, por que é importante e o que os desenvolvedores devem corrigir para se manterem à frente.
A campanha «wfx-loot» espalha um programa de roubo de segredos de CI por dezenas de milhares de repositórios
Uma onda de contas comprometidas está a propagar um programa de roubo de informações confidenciais (CI). Verifique se foi afetado, o que este programa rouba e quais as credenciais que deve alterar.
Uma vulnerabilidade crítica do kernel do Linux relacionada com o TCP pode permitir a execução remota de código (CVE-2026-98432)
A CVE-2026-98432 é uma falha crítica no kernel do Linux relacionada com o protocolo TCP, com uma classificação de 9,8, que pode permitir a execução remota de código. Veja quem está afetado, como aplicar a correção e o que fazer agora.
O Node2Shell evolui para o HTTP2Shell. O alcance da vulnerabilidade do Brotli (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP.
A falha do Brotli subjacente ao Node2Shell (CVE-2026-111497) afeta muitas bibliotecas e aplicações que utilizam HTTP e têm o Brotli ou o brotlicffi instalados. Verifique as suas versões e atualize para a versão corrigida.
Chaves de API do Google continuam funcionando após a exclusão
Excluir uma chave de API do Google não a revoga imediatamente. Nossos testes encontraram autenticações bem-sucedidas até 23 minutos após a exclusão, e o Google se recusou a corrigir isso.
O Velho Oeste das extensões do VS Code e como uma extensão envenenada violou o GitHub
Uma extensão envenenada do VS Code violou o GitHub ontem, um dia depois que o Nx Console (2,2 milhões de instalações) foi comprometido por 18 minutos no Visual Studio Marketplace e atingiu todos os usuários com atualização automática ativada.
GitHub violado via uma extensão maliciosa do VS Code: por que os dispositivos dos desenvolvedores são o verdadeiro alvo
O GitHub confirmou que uma extensão envenenada do VS Code comprometeu um dispositivo de funcionário, expondo 3.800 repositórios internos. Por que as estações de trabalho dos desenvolvedores são agora o principal alvo da supply chain.
Pacote durabletask da Microsoft no PyPi Comprometido. Mini Shai Hulud ataca novamente... novamente!
Três versões progressivamente comprometidas de um pacote Python adjacente à Microsoft entregam um infostealer completo que se espalha por AWS e Kubernetes, exfiltra todas as credenciais Cloud que consegue encontrar, e apaga discos em sistemas israelenses e iranianos.
Mini Shai-Hulud ataca novamente: worm npm compromete centenas de pacotes @antv
O worm npm Mini Shai-Hulud atingiu os pacotes @antv da Alibaba, echarts-for-react e timeago.js. O payload rouba Secrets de CI/CD, instala backdoors no VS Code e Claude Code, e se espalha republicando pacotes comprometidos. Aqui está o que aconteceu e como proteger sua equipe.
Mini Shai-Hulud Está de Volta: Worm de npm Atinge mais de 160 Pacotes, incluindo Mistral e Tanstack
Mini Shai-Hulud está de volta, comprometendo 169 pacotes npm em TanStack, UiPath, Squawk e outros para roubar Secrets de desenvolvedores e de CI/CD, e então se espalhar por meio de workflows de publicação confiáveis.
Pacote Popular PyTorch Lightning Comprometido por Mini Shai-Hulud
Malware encontrado nas versões populares 2.6.2 e 2.6.3 do PyTorch Lightning, roubando credenciais, carteiras de criptomoedas e configurações de VPN como parte da campanha Mini Shai-Hulud.
Mini Shai-Hulud Visa Pacotes npm da SAP Com um Secret Stealer Baseado em Bun
Pacotes npm da SAP comprometidos usam um payload de pré-instalação baseado em Bun para roubar Secrets do GitHub, npm, Cloud e CI, e depois se espalham via GitHub usando OhNoWhatsGoingOnWithGitHub.
Alguém publicou quatro versões de um pacote falso "tanstack" em 27 minutos para roubar seus arquivos .env
Um pacote npm falso "tanstack" publicou quatro versões maliciosas em 27 minutos hoje, exfiltrando arquivos .env via um hook de postinstall. Veja o que aconteceu, quem foi afetado e como rotacionar suas credenciais.
É hora de tratar as extensões de navegador como vetores de ataque à supply chain
A violação da Vercel seguiu um padrão bem conhecido na indústria de segurança, onde o código de terceiros é implicitamente confiado e, em seguida, comprometido a montante. Temos uma estrutura para isso. Apenas não a aplicamos ainda às extensões de navegador. (Spoiler: Fazemos isso para dependências de software)
Shai-Hulud Está de Volta? CLI do Bitwarden Comprometida Contém um Verme npm Autopropagável
Malware encontrado em @bitwarden/cli v2026.4.0 rouba chaves SSH, Secrets da Cloud e credenciais de ferramentas de codificação de IA, e então se espalha através dos próprios pacotes npm das vítimas. Dentro: um verme que se autodenomina "Shai-Hulud: The Third Coming."
Fique seguro agora
Proteja seu código, Cloud e runtime em um único sistema centralizado.
Encontre e corrija vulnerabilidades rapidamente de forma automática.
