CTO e co-fundador da CAME · cibersegurança e TheatIntel Curadoria diária do que importa em LLM, Cyber e cripto
Joined December 2009
- Tweets677
- Following91
- Followers41
- Likes27
A CISA pôs a CVE-2026-119977 do WordPress na lista de falhas exploradas. O ataque pega o site no meio da atualização do core: a pasta temporária fica acessível pela web e dá pra rodar código sem login.
Atualiza pra 7.1.4 e bloqueia /wp-content/upgrade/ no servidor.
Node-RED sem senha exposto na internet virou alvo: a CVE-2026-58115 (CVSS 10) é explorada desde 30/10 com um único POST que cria um flow e baixa um bot Linux. Vem até em equipamento industrial, como o Siemens IoT2050.
Tem Node-RED aberto? Liga o adminAuth e tira da internet.
Drizzle-drizzle-BOP! (bop bop) ☔🎵
Let the rainy weather pop!
My entry for #TheWorldsCatchiestAd: Drizzlebop, the umbrella that turns rain into a beat. Jingle made in ElevenCreative.
@elevencreative @elevenlabs #ElevenCreativeCompetitionVol1
🤖 Made with AI
In 2010, electricity from new solar farms cost $0.46/kWh.
By 2023: $0.044. That's -90%.
Every doubling of solar makes panels ~20% cheaper. Clinics that never go dark and water pumped by the sun aren't sci-fi. They're a cost curve, and it's still falling. ☀️
Sources: IRENA 2024, Our World in Data
#xhopememeprize
In 2010, electricity from new solar farms cost $0.46/kWh.
By 2023: $0.044. That's -90%.
Every doubling of solar makes panels ~20% cheaper. Clinics that never go dark and water pumped by the sun aren't sci-fi. They're a cost curve, and it's still falling. ☀️
Sources: IRENA 2024, Our World in Data
#xhopememeprize
A OpenAI refez o incidente da Hugging Face com os novos monitores de agente: o alerta sairia 30 min após a fuga do sandbox, 30h antes da invasão. Mas no Codex interno o alerta nem chama o plantão.
Roda agente com ferramenta sem log de ação e sem plantão? Tá no escuro.
A CISA confirmou exploração da CVE-2026-97229 no GitLab (CVSS 10): uma regex maliciosa no CI/CD vira execução de código no servidor, sem login. A correção saiu dia 13.
Tem GitLab self-hosted ainda sem atualizar? É prioridade de hoje, não da próxima sprint.
O grupo UAT-11473 (Talos) explora no Cisco Catalyst SD-WAN uma falha corrigida em fevereiro, a CVE-2026-20127, pra instalar o KeyDrift: malware que vive no controlador e rouba chave de tráfego.
Ficou sem patch? Só atualizar não basta. Troca as chaves e revisa os peers.
A CISA pôs o PolyShell do Magento (CVE-2026-48356) na lista de falhas exploradas. Sem login, um PHP disfarçado de imagem sobe pelo carrinho de convidado. A Sansec já conta centenas de lojas invadidas.
Patch não apaga webshell já plantado. Atualiza e vasculha o custom_options.
A Strategy solta o balanço do 3º tri hoje à noite com 848.517 BTC a preço médio de US$ 75.446. Com o BTC perto de US$ 80 mil, a margem é de uns 6%.
E a compra está quase parada desde maio. No balanço eu olharia o plano de financiamento, não o preço.
A Mistral liberou hoje o Large 4 com pesos abertos: 1 trilhão de parâmetros, 41% no Terminal-Bench 4.0, empatado com o GLM-5.3 e gastando 47% menos tokens. O Mythos 5.1, fechado, faz 60,9%.
Pra rodar agente de código em casa sem mandar dado pra API de fora, já dá pra considerar.
A Palo Alto confirmou exploração do PHP2Shell contra a interface de gerência do PAN-OS exposta na internet. Pega PA-Series, VM-Series e Panorama do 10.2 ao 12.2, na web UI e na XML API.
Gerência de firewall aberta pra internet nunca foi boa ideia. Fecha num jump box e aplica o hotfix.
A Cisco corrigiu ontem uma falha no VPN SSL do ASA e do FTD que já está sendo explorada (CVE-2026-76418). Sem login, uma requisição forjada reinicia o firewall quando há autenticação secundária no tunnel group.
Firewall de borda caindo é a empresa toda sem VPN. Atualiza hoje.
A Sony confirmou vazamento de 2,58 milhões de cadastros do provedor So-net, incluindo clientes plala da Docomo. Invasão em 19/10, detectada só em 23/10, e 54 mil e-mails saíram junto com a senha.
Com nome, telefone e nascimento na mão, o próximo passo é phishing sob medida.
Em 27/10 o Itaú protocolou no BC a formalização de negociação e custódia de cripto pela Resolução 520, antes do prazo de 30/10. São 70 milhões de clientes e 15 ativos no app.
Na prática, o varejo vai comprar BTC onde já tem conta. Corretora pequena sem adequação perde espaço.
O GitHub liberou o Copilot Fusion: você não escolhe mais o modelo, ele roteia e combina vários por tarefa (um rascunha, outro revisa). Ficou 2 pontos atrás do Claude Code com Opus 5.5 Max num índice de agentes de código, gastando metade. Escolher modelo na mão vai virar detalhe.
A Forever Security achou um AGENTS.md malicioso no Downloads de um cliente mandando o Codex mudar a própria config e instalar pacote npm com malware. Site consegue soltar arquivo no Downloads sem clique. Regra simples: nunca abra agente de código nessa pasta.
GoAhead, servidor web embutido em câmera, impressora e equipamento industrial, carregava a lista de certificados revogados e nunca checava (CVE-2026-115881, nota 9.1). Device roubado seguia autenticando. A correção está na 6.1.1, mas só chega via firmware do fabricante.
Skimmer no checkout da Convertr, que atende dezenas de lojas de moda no Brasil: invadiram o Plausible desatualizado e o script de analytics passou a levar cartão, CVV e CPF desde 24/10. Comprou com cartão nessas lojas? Fala com o banco. Script de terceiro no checkout é risco.