Guias de Segurança
Aprenda com incidentes reais. Defenda o seu próprio site.
Não como atacar — como defender, a partir de violações que realmente aconteceram. Defesa prática que você pode aplicar hoje, mesmo sem experiência em segurança.
Por onde começar
ITD / DEFENSEFeed de ameaçasCVE13 Incidentes e Vulnerabilidades37 Glossário226 Guias de SegurançaDEFENSE-ONLY — NO ATTACK STEPS
01ÚLTIMAS / Notícias de segurança
O que verificar agora.
Relatos urgentes sobre incidentes e vulnerabilidades, falhas sob exploração ativa e vulnerabilidades críticas divulgadas recentemente.Feed de vulnerabilidades atualizado em 2026-11-12 02:01 JSTLista obtida 2026-11-12 02:46 JST
Relatos urgentesCom fontes
- First reportem inglêsFireworks AI Security Incident (October 2026): Billing Data and Some Datasets and Model Weights Affected, Company Says Cloud Provider Breach Was Involved. What Customers Should Do
- First reportem inglêsNEAR AI Breached Through an Inference Engine Flaw (Account Details of About 100 Users): What Was Confirmed and What Users and AI Infrastructure Operators Should Do
- First reportem inglêsSAP Security Patch Day, November 2026: four CVSS 10.0 flaws. Patch internet-facing Web Dispatcher and ICM first; how to check if you are affected and what to do today
- First reportem inglêsUnauthorized access to Sharefull's internal management system (up to about 7.5 million accounts): names, bank details, emergency contacts and more may have leaked — what workers should do
- First reportem inglêsUnauthorized access to Sumitomo Life's Vitality application system (about 80,000 people): names, addresses, phone numbers and partly masked card numbers leaked — what users should do
Os relatos urgentes são publicados em inglês e japonês.
Ver todos os relatos urgentesExploradas ativamenteNovas no CISA KEV
- CVE-2026-125350CVSS 8.8AnáliseGoogle ChromeUse after free em XML no Google Chrome anterior à versão 157.0.8103.50 permitia que um atacante remoto executasse código arbitrário dentro do sandbox por meio de uma página HTML especialmente elaborada. (Gravidade de segurança do Chromium: Alta)
- CVE-2026-116606CVSS 9.3AnáliseUm bypass de autenticação no Barracuda Email Security Gateway em versões anteriores à 9.4.0.030 permite que um atacante remoto não autenticado invoque uma função de importação de configuração e restaure um arquivo de backup elaborado e compatível, resultando na modificação não autorizada da configuração global do equipamento.
- CVE-2026-20320CVSS 7.5AnáliseUma vulnerabilidade no Open Client Interface (OCI) XML Parser do Cisco BroadWorks pode permitir que um atacante remoto, não autenticado, leia informações de configuração sensíveis em um sistema afetado. Esta vulnerabilidade existe porque entradas XML são analisadas de forma inadequada, uma vez que a resolução de entidades externas é permitida por padrão. Um atacante pode explorar essa vulnerabilidade enviando uma mensagem XML especialmente elaborada para o serviço Open Client Interface – Provisioning (OCI-P). Uma exploração bem-sucedida pode permitir que o atacante visualize arquivos sensíveis do sistema de arquivos com os privilégios do usuário do Cisco BroadWorks.
- CVE-2026-111560CVSS 8.6Neutralização imprópria de metacaracteres de shell no campo de configuração de fuso horário em determinados produtos da linha Barracuda, utilizando código comum da Barracuda, permite que um administrador autenticado injete comandos do sistema operacional que são executados com privilégios de root quando o valor de fuso horário elaborado é posteriormente processado.
- CVE-2026-124194CVSS 6.5AnáliseA interface do produto não alerta o usuário sobre ações inseguras no Microsoft Office Outlook, permitindo que um atacante não autorizado realize spoofing pela rede.
Falhas críticas divulgadas recentementeCVSS 8.8+
- CVE-2026-123710CVSS 9.8A flaw was found in Red Hat Quay. An unauthenticated client can obtain an anonymous registry token with an audience it controls, present that token to the service key rotation endpoint, and install its own approved signing key with no expiry. Registry tokens signed with that key are accepted for any repository, allowing read and write access to private images and replacement of repository tags.
- CVE-2026-89324CVSS 9.8The Basel Post Types plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.18. The vulnerability exists because a missing-quotes coding error in the defined() call for SECURE_AUTH_SALT inside BASEL_Auth::get_config() causes PHP to evaluate the constant's value rather than its name, making the check always fail and permanently falling back to the static hardcoded salt 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O that is publicly visible in the theme source code; because this salt is static and known, an attacker can compute a valid Opauth signature entirely offline and submit a forged ?opauth callback to the unauthenticated init hook endpoint processed by register_or_login. This makes it possible for unauthenticated attackers to authenticate as any existing WordPress user, including administrators, by forging a callback tied to a known target account email address — bypassing all password verification, multi-factor authentication, and ownership checks, and receiving a fully authenticated session cookie via wc_set_customer_auth_cookie(). Exploitation requires WooCommerce to be active and at least one Basel social-login provider (Facebook, Google, or VKontakte) to be configured with a valid app_id and app_secret in the theme settings.
- CVE-2026-121908CVSS 9.9Adobe Connect is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121906CVSS 9.9Adobe Connect is affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could lead to arbitrary file system read. An attacker could exploit this vulnerability to access sensitive files and directories outside the intended access scope. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121904CVSS 9.6Adobe Connect is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.
O status de exploração vem do CISA KEV e a gravidade do NVD. Confirme sempre as versões corrigidas e o escopo afetado no aviso de cada fornecedor.
01 — Sections
Por onde começar
Escolha um ponto de partida pelo seu objetivo. Tudo gratuito, sem cadastro.
02 — Field notes
Incidentes e vulnerabilidades notáveis
Capital One, Log4Shell, MOVEit e muito mais — violações e vulnerabilidades públicas, transformadas em como você se defende.
03 — Our stance
O que este site defende
Um produto de segurança precisa manter a própria casa em ordem.
We don't hold secrets
We never store your real API keys — only metadata. The safest secret is the one we can't leak.
Scan only what you own
Diagnostics run on verified domains only. Internal IPs and metadata endpoints are blocked — SSRF defense is built in.
Minimal blast radius
Isolation so one breach can't cascade. This site itself runs on a dedicated, isolated host.
We test on ourselves
This site watches its own dependencies for CVEs. The incident that started this never gets missed by a human again.