Domingo, 28 de junho.
Três histórias de segurança hoje — distintas o suficiente para valer cada uma. O CVE-2026-55200 ganhou PoC público ontem. A falha está no libssh2, em ssh2_transport_read() no transport.c — a função que analisa pacotes SSH durante o handshake. CVSS 9.2, sem credenciais necessárias, pré-autenticação. O problema maior não é a gravidade: é a distribuição. O libssh2 está embutido estaticamente no curl, no Git, no PHP, em agentes de backup e em atualizadores de firmware. Um pacote de sistema atualizado não cobre cópias estaticamente vinculadas — você pode não saber que tem o libssh2 na infraestrutura. O patch existe desde 12 de junho (PR #2052 do mantenedor). O PoC está público agora.
A segunda história é cirúrgica na metodologia. A JFrog Security Research publicou a análise de dois pacotes npm sequestrados — html-to-gutenberg e fetch-page-assets — mais 16 pacotes Go infectados. A técnica é nova: em vez de lifecycle scripts do npm (que muitos ambientes bloqueiam), os atacantes embutiram um VS Code task chamado "eslint-check" com runOn: 'folderOpen' — que dispara automaticamente quando você abre o workspace no VS Code ou no Cursor. O payload é buscado via TronGrid e Aptos como blockchain dead drop, resistente a takedown, instala um backdoor Socket.io com shell execution e entrega um Python infostealer. É o tipo de ataque que explora a confiança no ambiente de trabalho, não no registry.
O terceiro incidente: Polymarket confirmou na sexta-feira que US$ 3,1 milhões foram drenados de aproximadamente 15 contas via supply chain no frontend — um fornecedor terceirizado comprometido injetou JavaScript malicioso que forçava os usuários a aprovar transações fraudulentas. Backend não foi tocado. Reembolso total prometido. Atenção: o Polymarket apareceu no drop de 23 de junho com a história de vídeos promocionais falsos — este é um incidente técnico completamente diferente.
O IP Crawl ficou no topo do HN hoje: é um atlas ao vivo de câmeras abertas na internet pública, construído por Alec Armbruster. O crawler mapeia feeds sem nenhuma autenticação — sem login, sem exploit — de fabricantes como Hikvision, Blue Iris, Axis, D-Link, Wyze, Dahua e Sony. A conclusão incômoda: esses fabricantes entregam os dispositivos inseguros por padrão, e os donos raramente sabem que qualquer pessoa na internet pode assistir.
Dois itens de privacidade para fechar. A Engadget mapeou o sistema Flock Safety — câmeras de reconhecimento em mais de 100 mil pontos nos EUA. O sistema vai muito além da placa: busca por linguagem natural ("sedan verde com adesivo de bandeira americana"), identifica cor, dano na lataria, carga visível. A ICE tem acesso via acordos com polícias locais. Documentados: dezenas de casos de policiais usando o Flock para monitorar ex-parceiros. E amanhã, 29 de junho, Parlamento Europeu, Conselho e Comissão vão ao trilogue pela regulamentação permanente do Chat Control — na pior hipótese, torna obrigatório o escaneamento de mensagens criptografadas via client-side scanning. O Serviço Jurídico do próprio Conselho avisou em junho que a proposta viola o Artigo 7 da Carta dos Direitos Fundamentais da UE. Mais de 500 criptógrafos assinaram carta de oposição.
Sete itens. Bom domingo.