Hackers reescreveram tags de versão nos repositórios laravel-lang/lang, laravel-lang/attributes e outros pacotes populares de localização PHP, injetando código que executa automaticamente via autoload.files do Composer. O payload rouba chaves de AWS, GCP, Azure, Docker, SSH, carteiras de crypto, histórico de shell e senhas de browser. O vetor foi elegante: tags apontando para commits em um fork malicioso sem alterar nenhuma linha nos repos oficiais. O Packagist removeu as versões; qualquer composer install entre 22 e 23 de maio precisa ser auditado.

Fundada em 2022 por um ex-engenheiro da Stripe, a Stainless automatizava criação e manutenção de SDKs para APIs e tinha como clientes as três maiores plataformas de IA do mundo ao mesmo tempo. A Anthropic pagou mais de $300M e vai encerrar os produtos hospedados, mas os SDKs já gerados ficam com os clientes. O movimento consolida internamente capacidade crítica de developer tooling numa empresa crescendo 80x ao ano.

A falha combina CORS mal configurado com cookie SameSite=None, permitindo que um site malicioso faça requisições autenticadas cross-origin numa instância do Langflow e execute código remoto com as permissões do serviço — geralmente elevadas. A CISA adicionou também na mesma rodada o CVE-2026-34926 do Trend Micro Apex One ao catálogo KEV. Quem usa Langflow para orquestrar agentes em produção deve aplicar o patch imediatamente.

O Edge carregava todo o cofre de senhas em memória não criptografada desde o início de cada sessão — ao contrário do Chrome, que decripta credenciais sob demanda. Após um pesquisador expor o comportamento, a Microsoft primeiro defendeu a prática como design intencional e depois recuou. A partir do Edge 148, senhas não ficam mais em plaintext na RAM durante a sessão inteira.

A Oracle vai suplementar os Critical Patch Updates trimestrais com atualizações mensais focadas em vulnerabilidades de alta prioridade que não podem esperar 90 dias. O primeiro Critical Security Patch Update mensal chega em 28 de maio. A mudança reconhece que o ciclo trimestral não é adequado para CVEs críticos com exploração ativa — pressão que vinha crescendo há anos da comunidade de segurança.