Falhas no Chainlit AI permitem roubo de dados via leitura de arquivos e SSRF.
Vulnerabilidades de alta severidade, apelidadas de ChainLeak, foram descobertas no popular framework de inteligência artificial de código aberto Chainlit, que podem permitir que atacantes roubem chaves de API de ambiente de nuvem e arquivos confidenciais, possibilitando movimentação lateral em organizações vulneráveis.
Framework Malware VoidLink Linux com IA atinge 88 mil linhas de código.
A recentemente descoberta e sofisticada estrutura de malware Linux conhecida como VoidLink foi desenvolvida por uma única pessoa com auxílio de um modelo de inteligência artificial, segundo novas descobertas da Check Point Research baseadas em falhas de segurança operacional do autor.
LastPass alerta sobre falsos alertas de manutenção visando senhas mestras.
A LastPass está alertando os usuários sobre uma nova campanha de phishing ativa, iniciada por volta de 19 de janeiro de 2026, que se passa pelo serviço de gerenciamento de senhas. Esta campanha envia e-mails de phishing alegando manutenção iminente, pressionando os usuários a criar um backup local de seus cofres de senhas nas próximas 24 horas, com o objetivo de roubar suas senhas mestras.
Hackers usam VS Code para injetar cargas maliciosas em sistemas
Hackers estão utilizando a campanha "Contagious Interview" de forma sofisticada, abusando de arquivos de configuração do Microsoft Visual Studio Code para entregar e executar cargas maliciosas em sistemas comprometidos, começando quando vítimas clonam e abrem repositórios Git maliciosos hospedados no GitHub ou GitLab.
CERT/CC Alerta: Bug no binary-parser permite execução de código Node.js
Uma vulnerabilidade de segurança foi descoberta na popular biblioteca npm binary-parser, que, se explorada, pode permitir a execução de JavaScript arbitrário. A falha, que afeta todas as versões anteriores à 2.3.0, foi corrigida com patches lançados em 26 de novembro de 2025.
Chrome 144 corrige falha crítica no motor V8 JavaScript
O Google lançou a versão 144.0.7559.96/.97 do Chrome para Windows, Mac e Linux, corrigindo uma vulnerabilidade crítica de condição de corrida no motor JavaScript V8. Esta atualização de segurança, que está sendo liberada gradualmente, visa resolver uma falha de alta severidade no motor V8.
Endpoints Privados Azure Expondo Recursos a Ataques DoS
Uma falha crítica na arquitetura dos *deployments* de Endpoint Privado do Azure pode permitir ataques de Negação de Serviço (DoS), intencionais ou acidentais, contra recursos na nuvem devido à forma como a resolução da zona DNS privada do Azure interage com configurações de rede híbrida.
Grupo Everest Ransomware alega ataque aos sistemas do McDonald's Índia.
O grupo de ransomware Everest alegou ser responsável por um grande ataque cibernético contra o McDonald's Índia, afirmando ter exfiltrado 861 GB de dados corporativos e de clientes confidenciais. Os invasores publicaram os detalhes da violação em seu site de vazamento na dark web em 20 de janeiro de 2026, ameaçando divulgar publicamente os dados caso a rede de fast-food não responda dentro do prazo estipulado.
Google afirma que Gemini não terá anúncios, enquanto ChatGPT se prepara para adicioná-los
A OpenAI implementou anúncios no ChatGPT, tanto para assinantes do plano de US$ 8 quanto para usuários da conta gratuita nos Estados Unidos, enquanto o Google afirmou que não planeja exibir publicidade no seu modelo Gemini.
Bug no plugin ACF concede admin a hackers em 50 mil sites WordPress
Uma vulnerabilidade de criticidade elevada no plugin ACF Extended para WordPress permite que invasores remotos e não autenticados obtenham permissões de administrador. Essa falha grave possibilita a escalada de privilégios para o nível mais alto no sistema de gerenciamento de conteúdo.
UE planeja revisar cibersegurança para barrar fornecedores de risco.
A Comissão Europeia propôs nova legislação de cibersegurança que obriga a remoção de fornecedores de alto risco para proteger as redes de telecomunicações e reforça as defesas contra grupos de cibercrime e apoiados por estados que visam infraestruturas críticas.
Três falhas no Git Server da Anthropic permitem acesso a arquivos e execução de código
Tradução e Resumo: Um conjunto de três vulnerabilidades de segurança foi divulgado no mcp-server-git, o servidor oficial do Protocolo de Contexto de Modelo Git (MCP) mantido pela Anthropic, que poderiam ser exploradas para ler ou excluir arquivos arbitrários e executar código sob certas condições. Essas falhas podem ser exploradas por meio de injeção de prompt, o que significa que um atacante que possa influenciar o que um assistente de IA lê (como um README malicioso) pode explorá-las.
Resumo em português: Três vulnerabilidades graves foram descobertas no mcp-server-git da Anthropic, o servidor oficial do Protocolo de Contexto de Modelo Git, permitindo que invasores leiam, excluam arquivos ou executem código mediante certas condições. A exploração ocorre através de injeção de prompt, aproveitando a influência do atacante sobre o conteúdo lido pela IA.
Hackers usam LinkedIn e DLL Sideloading para espalhar RAT
Pesquisadores de cibersegurança descobriram uma nova campanha de phishing que utiliza mensagens privadas de redes sociais para distribuir cargas maliciosas, visando instalar um trojan de acesso remoto (RAT), empregando a técnica de carregamento lateral de DLL (DLL sideloading) combinada com um script de teste de invasão Python de código aberto.