PHP alerta para outro RCE, CVE-2026-115560, não corrigido pelos releases 8.5.12/8.4.27/8.3.36/8.2.35. Afeta apps que trocam session.serialize_handler via ini_set() antes do session_start(). Mitigação: session.upload_progress.enabled=0. thehackernews.com/2026/10/ur…

OpenCode (agente de código com IA) tinha RCE crítico no Windows/WSL: servidor MCP remoto malicioso executa código durante o OAuth. Afeta 1.0.137 a 1.18.32; corrigido na 1.18.33, sem CVE nem advisory. Atualize: scanners não vão alertar. pillar.security/blog/open-an…

SDKs x402 corrigiram 3 falhas: o client padrão não tinha limite de gasto, e uma API maliciosa podia fazer o agente de IA assinar pagamento do saldo inteiro. Sem advisory, npm audit e PyPI não avisam. Atualize o SDK e defina limites de valor. thehackernews.com/2026/10/cr…

8 CAs intermediárias da eMudhra tinham chaves privadas triviais de derivar; navegadores já bloquearam. O pip usa o certifi embutido, então distrust do SO não basta. Atualize: pip 26.2.2, certifi 2026.10.19, uv 0.13.4, sigstore 4.5.1. bleepingcomputer.com/news/se…

CISA adicionou ao KEV a CVE-2026-110447: command injection (CWE-78) no Built-in CODE Server do Nextcloud/Collabora, RCE sem autenticação, explorada desde setembro. Corrigido na 26.4.303. Atualize e procure web shells, principalmente via proxy.php. windowsforum.com/news/cisa-k…

A Railway detectou acesso suspeito ao sistema que guarda variáveis de ambiente: um terceiro pode ter obtido o conteúdo decifrado de algumas. A empresa pede que todos os usuários rotacionem API keys e credenciais de banco/registry. Revogue, não só troque. bleepingcomputer.com/news/se…

Node.js corrigiu 10 falhas. A mais grave, CVE-2026-111497, é uma escrita fora dos limites no decoder Brotli embutido (RCE). Atualize para 22.23.4, 24.22.1 ou 26.12.1. Outros softwares que embarcam Brotli também precisam de 1.2.1, 1.1.1 ou 1.0.10. thehackernews.com/2026/10/no…

litellm 1.107.0 foi comprometido no PyPI: os 7 wheels trazem um .pth que roda um stealer a cada início do Python e um loader remoto. Versão removida, mas quem instalou deve rotacionar SSH, cloud e API keys. Cheque CI e imagens Docker. mend.io/blog/litellm-1-107-0…

PHP lançou correções emergenciais para CVE-2026-109618 e CVE-2026-109619 (PHP2Shell): RCE sem autenticação, CVSS v4 9.2. Maior risco com mod_php. Atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e cheque imagens Docker e pacotes da distro. bleepingcomputer.com/news/se…

Rank Math PRO 3.0.123, baixado do site oficial entre 15/10 20:02 UTC e 16/10 07:12 UTC, veio com malware/backdoor. Se instalou nessa janela: apague a pasta do plugin, use a 3.0.124, procure admins novos e rotacione credenciais do banco e API keys. bleepingcomputer.com/news/se…

OpenCode confirmou invasão de um sistema legado do Console: chaves de API de provedores de IA salvas em workspaces vazaram e geraram cobranças indevidas. App e CLI não foram afetados. Se usou o Console, revogue e rotacione as chaves. techcrunch.com/2026/10/19/ha…

Plex2Shell, cadeia de 4 falhas no Plex Media Server (inclui CVE-2026-96656), já é explorada para instalar miners e proxy reverso, um dia após o PoC público. A correção saiu em 3/ago (1.43.3.10861). PoC público + patch antigo = alvo fácil. Atualize. thehackernews.com/2026/10/ha…

ConnectWise suspendeu o Cloud Backup após uma credencial roubada do app ser usada para acessar ao menos 162 tenants Microsoft 365, segundo a Huntress. Quem mantém apps multi-tenant: reduza permissões, rotacione segredos e monitore sign-ins do app. helpnetsecurity.com/2026/10/…

Pacote npm imgdecode (1.0.0 a 1.0.3), da campanha MALFEX, esconde loader em addon nativo do Node.js. Sem install script: roda no require(), só em console Windows interativo, fugindo de CI. --ignore-scripts não protege. Revise suas dependências. thehackernews.com/2026/10/ma…