SecureChain para software de código aberto

Pontos principais: O FedRAMP 20x já está em vigor para as Classes A, B e C, e as regras de 2026 passarão a ser obrigatórias para todos a partir de 1º de janeiro de 2027. Um dos principais indicadores de segurança descreve o monitoramento automático...

Pontos-chave: Os elementos mínimos da CISA para 2026 substituíram a linha de base de 2021 da Administração Nacional de Telecomunicações e Informação (NTIA) em 29 de julho de 2026 e estabeleceram 17 campos de dados. O Escritório de Gestão e...

A versão resumida: O que aconteceu: Um [email protected] malicioso atingiu o npm às 01h12 UTC do dia 8 de outubro de 2026. Desta vez, não se trata de um typosquat. É o verdadeiro SDK do Tensorlake para TypeScript, desenvolvido pela equipe do projeto...

Lembra do `git blame`? Em algum momento, alguém vai executá-lo na base de código herdada, e isso vai trazer à tona decisões que você tomou há anos. Essa pessoa vai ficar perplexa. Talvez o...

Você executa o comando `npm audit` e lá está: 14 vulnerabilidades (3 de risco baixo, 6 moderado, 4 alto e 1 crítico). Ora, veja só, quatorze vulnerabilidades. Provavelmente, esse é um projeto que...

Pontos principais: Desde 11 de setembro de 2026, o Artigo 14 da CRA exige que você notifique, no prazo de 24 horas após tomar conhecimento da existência de uma vulnerabilidade que esteja sendo explorada ativamente em seu produto. Um nível superior...

Principais conclusões: erros de digitação e “alucinações” da IA fornecem aos invasores um nome de pacote utilizável, e nenhum dos dois requer uma vulnerabilidade. A proveniência comprova de onde um artefato veio, não que o commit...

Cada comando `npm install` é um ato de confiança. Você já ficou olhando para a pasta `node_modules` e se perguntou: o que realmente tem aqui dentro? No desenvolvimento de software moderno, vivemos em...

Você já pediu a um LLM para gerar código e se perguntou: será que isso é realmente seguro? Com as empresas contratando “unicórnios da IA” e ferramentas como o Claude ou o Copilot se tornando o padrão, é fácil...

Principais conclusões: O Third Coming e o Miasma se valeram indevidamente de caminhos de publicação confiáveis do CI, em vez de tokens de mantenedor de longa duração roubados. Um registro que analisa o conteúdo das versões pode detectar essas publicações mesmo quando o...

Pontos-chave: A verificação informa o que há dentro de um JAR, mas não se ele corresponde ao código-fonte publicado pelo projeto. Uma compilação adulterada com coordenadas válidas é a lacuna que nem...