CISA incluiu a vulnerabilidade CVE-2021-26829 (XSS, CVSS 5.4) do OpenPLC ScadaBR em seu catálogo Known Exploited Vulnerabilities, citando exploração ativa. A falha afeta versões para Windows e Linux; as fontes não detalham vetores, PoC ou escopo de vítimas.
Asahi Group Holdings concluiu a investigação de um ataque cibernético ocorrido em setembro e informou que até 1,9 milhão de pessoas foram impactadas. O material disponível apresenta variação entre 1,5 milhão e 1,9 milhão; não há detalhes públicos sobre o vetor, tipos de dados expostos ou medidas técnicas adotadas.
Reportagem relata vazamento que confirma testes internos da OpenAI para inserir anúncios no ChatGPT, apontados como parte de preparação para um possível lançamento público; não há detalhes oficiais sobre formato, cronograma ou implicações de privacidade.
A CISA adicionou CVE-2021-26829 (XSS em OpenPLC ScadaBR) ao seu catálogo KEV em 28/11/2025, informando exploração ativa. A falha em system_settings.shtm permite injeção de script no navegador de administradores, com risco a redes OT; há orientação de correção imediata e prazo de remediação para agências FCEB até 19/12/2025.
Scanner que varreu 5,6 milhões de repositórios públicos no GitLab Cloud encontrou mais de 17.000 segredos expostos relacionados a mais de 2.800 domínios. A reportagem traz os números agregados, mas não detalha tipos de segredos nem ações de remediação.
A Microsoft avisou que atualizações do Windows 11 distribuídas desde agosto podem fazer com que a opção de login por senha desapareça visualmente da tela de bloqueio, ainda que a função permaneça operacional. O comunicado não traz KBs ou mitigação detalhada.
Um homem de 44 anos foi condenado a sete anos e quatro meses por operar pontos de acesso Wi‑Fi 'evil twin' em aeroportos da Austrália, usados para roubar dados de viajantes. A reportagem cita o modus operandi geral, mas não detalha quantas vítimas foram identificadas nem as técnicas forenses utilizadas.
Atores associados à Coreia do Norte publicaram 197 pacotes maliciosos no npm usados para distribuir uma variante do OtterCookie; segundo a Socket, os artefatos foram baixados mais de 31.000 vezes e mesclam funcionalidades do BeaverTail e de versões anteriores do OtterCookie.
Pesquisadores da ReversingLabs detectaram código vulnerável em arquivos bootstrap do zc.buildout que pode permitir domain takeover e comprometer a cadeia de suprimentos no PyPI; as fontes não reportam exploração ativa nem quantificam pacotes afetados, mas recomendam remoção de referências externas e adoção de verificações de integridade.
A French Football Federation (FFF) confirmou que criminosos obtiveram acesso administrativo a seu software centralizado por meio de uma conta comprometida e exfiltraram dados pessoais de membros e licenciados, incluindo nomes, data/local de nascimento, endereços, telefones e números de licença; a FFF notificou ANSSI e CNIL e impôs reset de senhas.
A Federação de futebol da França confirmou acesso não autorizado e roubo de dados de membros por meio de uma conta comprometida. Fontes não informam número de afetados, tipos de dados expostos nem medidas tomadas pela entidade, limitando avaliação do impacto.
Com ambientes de TI distribuídos e terceiros exigindo acesso remoto, organizações estão migrando de PAM on‑premises para RPAM, que centraliza o acesso privilegiado remoto e promete reduzir a dependência do perímetro; o texto destaca benefícios e pontos de controle necessários.
Pesquisas apontam registro de mais de 18.000 domínios temáticos em três meses e exploração ativa de CVEs críticos (incluindo CVE‑2025‑54236 e CVE‑2025‑61882) para instalar skimmers e obter acesso administrativo em lojas online; mais de 1,57 milhão de contas e 250 lojas comprometidas são citadas.
O grupo Handala publicou no dark web um conjunto de dados com nomes e perfis de profissionais israelenses dos setores de alta tecnologia e aeroespacial, associado a descrições hostis e recompensa por informações adicionais. A Trustwave identificou uso extensivo de scraping de LinkedIn e inconsistências que indicam mistura de dados verificados e fabricados, criando riscos reputacionais e de segurança pessoal.
A Microsoft anunciou que bloqueará a execução de scripts externos na página de login do Entra ID (login.microsoftonline.com), com aplicação global prevista para meados/final de outubro de 2026; a medida visa mitigar ataques XSS e recomenda que administradores testem fluxos de login previamente.