MITRE divulgou o CWE Top 25 de 2025, baseado em 39.080 CVEs. Cross‑site scripting permanece no topo; OS command injection e diversas fraquezas de memória seguem entre as principais. Recomendações incluem integrar checagens CWE no CI/CD e priorizar correções por KEV.
Análise da cadeia que segue após um phishing: dados coletados por formulários são enviados por e‑mail, bots do Telegram ou painéis administrativos; depois são verificados, agrupados e vendidos em mercados escuros. Estatísticas mostram 88,5% das campanhas visavam credenciais. Recomendações vão de bloqueio de cartões a adoção de FIDO2.
Relatos recentes destacam que o navegador é hoje a interface principal para GenAI em empresas e que prompts com dados sensíveis expõem informação confidencial. Recomendações incluem políticas claras, isolamento de sessões GenAI, controle de extensões e remoção automática de PII antes do envio a serviços externos.
Pesquisadores identificaram o BlackForce, kit de phishing MitB comercializado em Telegram que captura credenciais e códigos MFA em tempo real. O kit usa páginas React legítimas, filtros anti‑análise e já foi observado visando grandes marcas; ao menos cinco versões foram documentadas. Medidas recomendadas incluem zero‑trust e autenticação resistente a MitM.
CISA incluiu CVE‑2025‑58360 (XXE em OSGeo GeoServer) no catálogo KEV após confirmações de exploração ativa. A falha afeta /geoserver/wms (GetMap); aplique patches e siga BOD 22‑01 quando aplicável.
CVE‑2025‑62472 e CVE‑2025‑62474 permitem a contas de baixo privilégio escalarem para SYSTEM no Windows. Microsoft liberou updates em 9/12/2025; aplicar patches e monitorar telemetria é urgente.
CVE-2025-64775 afeta o processamento multipart do Apache Struts 2 e permite exaustão de disco via file leak, causando indisponibilidade. Atualize para Struts 6.8.0+/7.1.1+ ou aplique workarounds temporários.
O time do React divulgou três novas vulnerabilidades em React Server Components que permitem DoS e exposição de código-fonte de Server Functions (CVE-2025-55184, CVE-2025-67779 e CVE-2025-55183). Correções anteriores foram incompletas; atualize para 19.0.3 / 19.1.4 / 19.2.3 conforme o ramo.
Exploração ativa de uma vulnerabilidade não documentada na implementação criptográfica dos produtos CentreStack e Triofox, da Gladinet, permite execução remota de código (RCE). Fontes públicas não detalham versões afetadas nem patches; recomenda-se isolar instâncias, monitorar acessos e contactar o fornecedor.
O Information Commissioner’s Office (ICO) do Reino Unido multou a LastPass em £1,2 milhão por falhas de segurança ligadas a um incidente de 2022 que permitiu o roubo de dados pessoais e cofres de senha criptografados de até 1,6 milhão de usuários no país, segundo reportagem.
Pesquisa descreve 'ConsentFix', variação do ClickFix que abusa do aplicativo OAuth do Azure CLI para sequestrar contas Microsoft sem senha e com bypass de MFA. A matéria disponível não lista mitigação ou versões afetadas.
Notepad++ corrigiu falha no seu atualizador (WinGUp) que permitia redirecionamento e download de instaladores comprometidos. Projeto adotou verificação de assinatura e passou a assinar binários com certificado GlobalSign; versão com correção é 8.8.9.
GitHub apresentou falhas intermitentes em vários serviços nesta quinta-feira, com usuários vendo a mensagem “No server is currently available to service your request.” Episódios curtos afetaram Git operations, Actions e Pages; a página de status reportou investigação em curso.
Arquivos vazados atribuídos ao Charming Kitten (APT35) expõem pessoal, empresas de fachada e milhares de sistemas comprometidos em múltiplos continentes. Os materiais incluem dashboards, folhas de pagamento e listas de alvos; vetores citados: spear‑phishing, páginas falsas e documentos maliciosos.
Elastic Security Labs descreve o NANOREMOTE, um backdoor para Windows que usa a API do Google Drive como canal de comando e controle. O relatório destaca semelhanças de código com o implant FINALDRAFT/Squidoor, que emprega a Microsoft Graph API para C2.