Relatório sobre Black Friday 2025 identifica dez golpes dominantes — de sites falsos e phishing a deepfakes e fraudes com QR codes — e destaca que sites de golpe subiram 89% ano a ano, com 42% das ameaças sendo phishing e 32% mirando carteiras digitais. O guia traz sinais de alerta e medidas práticas para equipes e consumidores.
Pesquisadores do Pwn2Own Ireland exploraram múltiplas vulnerabilidades na linha de produtos QNAP, demonstrando vetores para remote code execution, divulgação de informações e DoS. A QNAP publicou correções; as matérias não divulgam CVE específicos nem detalhes técnicos das explorações, por isso equipes devem consultar advisories oficiais para instruções de atualização.
Elastic divulgou CVE-2025-37735 (ESA-2025-23), uma falha em Elastic Defend for Windows que decorre de preservação inadequada de permissões no serviço que roda com privilégios SYSTEM. A falha (CVSS 7.0) permite apagar arquivos arbitrários e, em cenários específicos, escalada de privilégios. As versões afetadas são até 8.19.5 e 9.0.0–9.1.5; as correções estão em 8.19.6, 9.1.6 e 9.2.0.
MAD-CAT é uma ferramenta Python para simular os ataques Meow contra MongoDB, Elasticsearch, Cassandra, Redis, CouchDB e Hadoop HDFS; permite testes non-credentialed e credentialed e inclui ambiente Docker para laboratórios.
CVE-2025-34299 é uma RCE pré-autenticada em Monsta FTP com exploração ativa e ao menos 5.000 instâncias expostas; a correção está em Monsta FTP v2.11.3 (26/08/2025). Atualize e isole instâncias expostas.
Foram divulgadas três vulnerabilidades críticas no runtime runc (CVE-2025-31133, CVE-2025-52565 e CVE-2025-52881) que permitem escapar de containers e escrever em arquivos sensíveis do procfs; correções estão disponíveis nas versões 1.2.8, 1.3.3 e 1.4.0-rc.3 ou superiores.
Foi identificada e reportada exploração ativa da vulnerabilidade CVE-2025-34299 em Monsta FTP, que permite execução remota de código pré-autenticada em versões até 2.11.2. Há referência a pelo menos 5.000 instâncias expostas; a correção está disponível na versão 2.11.3 (26/08/2025).
CVE-2025-48593 é um zero-click RCE no componente System do Android que afeta AOSP 13–16. Google liberou patch com nível 2025-11-01; dispositivos não atualizados correm risco de comprometimento total. Há referência a exploração ativa e a presença de um EoP relacionado (CVE-2025-48581).
Golpes que combinam review‑bombing com cobranças por “remoção” de avaliações estão atingindo comerciantes; o Google Maps lançou um formulário oficial para que donos de negócio relatem exigências de resgate e preserve evidências para ações da plataforma e das autoridades.
Pesquisadores do Unit 42 relataram a operação LANDFALL: um zero‑day (CVE‑2025‑21042) na biblioteca de processamento de imagens da Samsung permitiu instalar spyware em Galaxy via imagens DNG enviadas por apps de mensagem. Modelos S22/S23/S24 e Z series com Android 13–15 são citados; correções foram disponibilizadas em abril/2025 (e outra falha relacionada em setembro/2025).
