Aviso: vulnerabilidades críticas do PHP. As CVE-2026-109618 e CVE-2026-109619 podem permitir que um atacante não autenticado execute código num servidor que corre PHP, incluindo PHP-FPM. Ambas têm uma pontuação de 9,2 no CVSS v4.0 e o projeto PHP indica que a atualização é a única correção...
48 % das violações envolvem agora terceiros. Este guia aborda os padrões de ataque do SolarWinds, MOVEit e XZ Utils, bem como os controlos de acesso, as práticas de gestão de credenciais e os requisitos regulamentares que realmente os travam.
Pelo terceiro trimestre consecutivo, o Passwork recebeu o distintivo Top Performer do SourceForge, desta vez o de outono de 2026. Eis o que dizem os avaliadores verificados e os números por trás da distinção.
Uma exportação do KeePass é um ficheiro em texto simples à espera de uma fuga de dados. Veja como mover as credenciais para o Passwork, provar que a migração funcionou com um teste de aceitação de 6 controlos e desativar o cofre antigo sem perder nada.
Pegnitz, uma cidade bávara perto de Nuremberga, geria as TI municipais com um cofre baseado em ficheiros que não suportava o acesso simultâneo, obrigando os administradores a coordenar cada alteração verbalmente.
Auerbach in der Oberpfalz, uma cidade bávara com 9470 habitantes, geria a TI municipal com dois gestores de palavras-passe baseados em ficheiros, propensos a falhas de sincronização e sem controlo de acesso baseado em funções.
Todos os fornecedores dizem «AES-256, zero-knowledge». Isso não revela o que uma única chave comprometida realmente abre. Testámos esta questão com o Passwork, o Bitwarden, o Passbolt, o 1Password e o Keeper.
Um cofre em Frankfurt pode responder a uma ordem judicial estrangeira, e o selo «alojado na UE» nada diz sobre onde estão as cópias de segurança. Use o mapa de seis zonas para encontrar todos os locais das suas credenciais, o dever do RGPD de cada um e as provas a reunir antes de uma auditoria.
Um estudante diplomado, um docente convidado sem contrato e um demissionário são três eventos distintos, mas a maioria das ferramentas de identidade trata-os como uma só «saída». Crie ciclos de acesso separados, una-os num registo de identidade e retire apenas o acesso que já não se justifica.
Em setembro, os atacantes contornaram a palavra-passe: um JWT forjado, uma aprovação de código de dispositivo e uma chave de API da Cloudflare com privilégios excessivos que expôs mais de 100000 sites. Eis o que aconteceu e que controlos de tokens e de chaves corrigir primeiro.
