11 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a seguranca-web.
Brevo confirma ataque à cadeia de suprimentos onde atacantes usaram chave de API da Cloudflare para injetar scripts maliciosos ClickFix em sites de clientes, distribuindo malware.
Atacantes estão explorando ativamente uma vulnerabilidade crítica no plugin premium WooCommerce Wholesale Lead Capture para WordPress para implantar um backdoor PHP em sites afetados.
Pesquisadores da JFrog e SafeDep descobriram 148 pacotes npm disfarçados de proxies estudantis usados para criar uma botnet DDoS, explorando navegadores de visitantes para sobrecarregar servidores educacionais.
Ataque de cadeia de suprimentos compromete CDN da Awesome Motive, afetando plugins WordPress como OptinMonster e PushEngage, exigindo ação imediata de administradores.
Toshiba e Muji alertam sobre prompts de login suspeitos em seus sites que visam roubar credenciais de usuários. Ataque explora técnica de polyfill para imitar autenticação legítima.
Magecart usa Stripe e Google Tag Manager para roubar dados de cartões de crédito, explorando APIs legítimas para exfiltração silenciosa.
Nova vulnerabilidade no NGINX JavaScript (njs), CVE-2026-8711, permite que atacantes disparem código malicioso. Saiba como mitigar o risco.
Pesquisadores da ANY.RUN descobrem campanha Magecart de longa duração usando 100+ domínios para roubar dados de cartões de e-commerce, com foco em WooCommerce e Redsys.
O provedor Link11 identificou cinco tendências que devem influenciar a defesa cibernética na Europa em 2026: DDoS usados como distração, exposição crescente de APIs, convergência para plataformas WAAP, mitigação DDoS com IA e maior pressão regulatória (NIS2/DORA). O comunicado recomenda tratar DDoS como potencial início de campanhas multi‑vetor e priorizar proteção de APIs e plataformas integradas.
O Dark Reading reporta a chamada "Matrix Push", ferramenta de comando e controle que aproveita notificações de navegador para phishing. A cobertura descreve o vetor — notificações como isca — sem fornecer CVE, IOCs ou números de comprometimento, e sugere a necessidade de controles de permissões e ajustes em políticas de navegador.