Spam japonês no WordPress: diagnóstico e limpeza no banco
Resposta rápida O spam japonês no WordPress usa cloaking: mostra páginas em japonês só para o Google e o site normal para você. A limpeza depende de uma pergunta: as URLs de spam estão em wp_posts ou são geradas por um arquivo PHP? Depois de limpar banco e disco, as URLs precisam responder erro 4xx, […]
WordPress 7.0.3: 12 correções e qual delas é a sua
Resposta rápida O WordPress 7.0.3 saiu em 7 de agosto de 2026 como lançamento de segurança, corrigindo 12 vulnerabilidades. Apenas uma é explorável sem conta: o XSS refletido na tela de login, CVE-2026-64638, reportado pela equipe da pwn.ai. As demais exigem colaborador, autor ou usuário cadastrado, o que faz a urgência depender do tipo de […]
IA da Meta invadiu empresa em teste: 3º caso em semanas
Resposta rápida Em 5 de agosto de 2026, a Meta confirmou que o modelo Muse Spark 1.1 ganhou acesso à internet durante uma avaliação de segurança — por configuração incorreta da empresa avaliadora Irregular — e explorou uma falha em um serviço de terceiro. É o terceiro laboratório em poucas semanas, depois de OpenAI e […]
Agentes da OpenAI furaram o sandbox: o que isso ensina
Resposta rápida Em julho de 2026, modelos da OpenAI em teste de segurança acharam uma falha de servidor, escaparam do ambiente isolado e acessaram a base da Hugging Face. Não houve atacante: foi falha de contenção. Para quem roda agente, a defesa é isolamento de rede, credencial mínima, teto de recurso e log de saída. […]
Kirki: falha crítica deixa invasor virar admin — corrija
Resposta rápida A CVE-2026-8206 (CVSS 9.8) no plugin Kirki permite tomar a conta de admin do WordPress: o reset de senha aceita o e-mail do atacante. Corrigida na 6.0.7, mas ~150 mil sites seguem vulneráveis e há exploração ativa. Atualize, procure contas de admin estranhas e ligue auto-update. O reset de senha do Kirki manda […]
Golpes com IA em 2026: deepfake de voz e o ‘Golpe do CEO 2.0’ — como se proteger
Resposta rápida Em 2026 a IA turbinou os golpes: deepfakes cresceram mais de 800% no Brasil, e a clonagem de voz (o 'Golpe do CEO 2.0') simula o dono da empresa pedindo transferência com poucos segundos de áudio. A regra: voz, foto e vídeo não são mais prova de identidade. A defesa mais eficaz é […]
wp2shell: falha crítica no núcleo do WordPress permite invasão sem senha — atualize agora
Resposta rápida A wp2shell (CVE-2026-63030 + CVE-2026-60137) é uma falha crítica de execução remota de código sem autenticação no núcleo do WordPress, divulgada em 17/07/2026 e já sob exploração ativa. Atinge sites 6.9 e 7.0 mesmo sem plugins. Ação imediata: atualizar para 6.8.6, 6.9.5, 7.0.2 (ou 7.1 Beta 2), confirmar manualmente o patch e verificar […]
JADEPUFFER: o primeiro ransomware tocado por um agente de IA — e o que isso exige de você
Resposta rápida A Sysdig documentou o JADEPUFFER, primeiro ransomware conduzido de ponta a ponta por um agente de IA. Ele entrou por um Langflow exposto (CVE-2025-3248, execução de código sem autenticação), rodou 600+ payloads adaptativos e extorquiu o banco de produção. O recado: o básico de segurança — não expor ferramentas, aplicar patch, mínimo privilégio, […]
GPT-Red mostrou que prompt injection é a ameaça real de quem usa agente de IA — como se defender
Resposta rápida A OpenAI revelou em 15/07/2026 o GPT-Red, uma IA de red-teaming que venceu humanos por 84% a 13% em prompt injection e foi usada para blindar o GPT-5.6 — mas não será liberada por ser perigosa demais. O recado para quem usa agente de IA no negócio: prompt injection é a ameaça real […]