SardinhaNews
Threat intelligence · CVEs & notícias · atualizado em 14/11, 13:47
Tendências mensais
Novos CVEs publicados
quantidade por mês
Contagem mensal de novos CVEs publicados no NVD (National Vulnerability Database). A linha de média móvel de 3 meses filtra a oscilação mês a mês. De 2024 para 2025, o volume variou +23%. Em 2026, até out, a variação é de +124% sobre o mesmo período de 2025. Não ajustamos curva exponencial de propósito: o crescimento não tem taxa constante, e uma curva sugeriria um ritmo que os dados não mostram.
Novos CVEs, ano a ano
quantidade por mês, uma linha por ano
2026 até out: 92.318 · 2025 no mesmo período: 41.213 (+124%)
A mesma contagem de “Novos CVEs publicados”, sobreposta por ano para comparar mês com mês. A série começa em 2022 porque, antes de ago/2021, a base não tem o histórico completo do NVD. O mês corrente só entra depois de fechado.
CVEs por faixa de EPSS
% dos CVEs do mês com EPSS ≥1%, por faixa de probabilidade (absoluto no tooltip)
Cada CVE é classificado pela probabilidade de ser explorado nos próximos 30 dias (EPSS/FIRST). O gráfico mostra só as faixas de risco; o restante fica abaixo de 1% (97,5% em out/26). O percentual mostra o mix sem o efeito do volume crescente, e o risco real se concentra na linha vermelha (≥10%). O EPSS é o atual, não o da publicação: CVEs antigos tiveram mais tempo para subir.
CVEs por faixa de CVSS
% dos publicados no mês, por severidade (absoluto no tooltip)
Distribuição por severidade CVSS: baixo (<4.0), médio (4.0–6.9), alto (7.0–8.9) e crítico (≥9.0). “Sem CVSS” = publicado e ainda sem nota, efeito da fila de análise do NVD (5,1% em out/26). Rejeitados ficam de fora. Severidade mede impacto potencial, não probabilidade de ataque.
Confirmações de exploração
CVEs por mês, por catálogo
KEV = catálogo da CISA (EUA) de exploração ativa confirmada; órgãos federais americanos são obrigados a corrigir em prazo definido. EUVD além do KEV = explorados segundo a ENISA (União Europeia) que não estão no KEV. O EUVD contém todo o KEV, então só o excedente vira linha. CTIR Gov = CVEs citados em alertas do CSIRT do governo federal, de tratamento obrigatório para a Administração Pública Federal (Decreto 10.748/2021); a linha começa em ago/2026, quando a coleta começou. O tooltip mostra quantos dos citados pelo CTIR estão fora do KEV.
Exploração confirmada, ano a ano
CVEs adicionados por mês, uma linha por ano
2026 até out: 282 · 2025 no mesmo período: 214 (+32%)
KEV (CISA, EUA) ou EUVD (ENISA, União Europeia), à escolha no seletor. O EUVD inclui todo o KEV, por isso as duas visões quase coincidem. A série começa em 2023 porque 2022 foi a carga inicial do KEV (226 entradas só em março), o que achataria os outros anos.
Registros retirados ou contestados
% dos publicados no mês (absoluto no tooltip)
Rejeitados = o programa CVE anulou o registro (não era vulnerabilidade, era duplicata, ou o solicitante recuou). Contestados = segue publicado, mas alguém, em geral o fabricante, nega que seja falha. A taxa oscila bastante: 1,9% em 2024, 3,7% em 2025 e 2,7% em 2026. Picos isolados costumam ser lotes: em jan/2026, 838 registros foram anulados de uma vez, a maioria de CVEs de 2025. O gráfico tem escala própria porque são poucos casos perto do volume total.
CVEs em alta (últimos 7 dias)
Ranking por score ponderado dos eventos dos últimos 7 dias: entrada em catálogo de exploração confirmada (+10 — CISA KEV ou EUVD/ENISA, contado uma única vez), salto de EPSS (+8), primeira menção na mídia (+5), mudança de CVSS (+2), novas menções (+1) e CVE novo (+1). Somam-se bônus por CVSS e EPSS atuais e por weaponização confirmada: ransomware (+4), notificação do CERT.br (+4), exploit público (+3 — Metasploit ou Exploit-DB, contado uma única vez), grupos APT (+2) e malware (+2).
Fontes:NVDEPSS (FIRST)CISA KEVEUVD (ENISA)CISA Vulnrichment (SSVC)Tenable (VPR)CERT.brCTIR GovMetasploitExploit-DBNucleiBDU/FSTECCloudflare RadarCERT.br honeypotsransomware.live
O sshd no OpenSSH anterior ao 10.6p2 no Linux, quando a musl libc é usada sem PAM, não possui uma solução alternativa para um bypass de autenticação por senha (relacionado à interpretação incorreta de se uma string deve ser um hash de senha). Para algumas configurações de contas, qualquer senha entre 256 e 1024 caracteres é aceita. Um exemplo de plataforma que usa musl libc sem PAM é o Alpine Linux.
Exige: acesso pela rede, condições do alvo · Não exige: autenticação, interação do usuário
Como é explorado
Metodologia de exploração
- O atacante se conecta remotamente ao serviço sshd exposto na rede.
- O atacante tenta autenticação por senha em uma conta cuja configuração se enquadra no caso afetado.
- O atacante fornece uma senha com comprimento entre 256 e 1024 caracteres.
- O sshd, ao usar musl libc sem PAM, interpreta incorretamente se a string é um hash de senha e aceita a autenticação.
- O atacante obtém acesso autenticado à conta sem conhecer a senha correta.
Sou afetado? (aplicabilidade)
- O ambiente executa OpenSSH em versão anterior à 10.6p2.
- O sistema operacional utiliza musl libc sem PAM (por exemplo, Alpine Linux).
- O serviço sshd está acessível pela rede.
- Existem contas configuradas de forma que se enquadrem no caso afetado (a descrição cita 'some configurations of accounts').
Não exige: autenticação, interação do usuário.
Mitigação e detecção
✓ Correção disponível na versão 10.6p2
- Atualizar o OpenSSH para a versão 10.6p2 ou superior.
- Restringir o acesso de rede ao serviço sshd apenas a origens confiáveis.
- Desabilitar a autenticação por senha no sshd, onde possível, como contenção.
Impacto se explorada
Bypass de autenticação por senha no sshd — acesso não autorizado a contas, com potencial de comprometimento da confidencialidade, integridade e disponibilidade do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 6 · PoC 22
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O daemon DynamicCLI do Gaia OS é executado como root e escuta em um socket local com permissão de escrita para todos (/tmp/dynamic_socket) sem autenticar os processos que se conectam. Um usuário local autenticado pode enviar um comando ao socket e fazê-lo ser executado como root.
Exige: acesso local, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante já possui acesso local ao host e uma conta autenticada.
- O atacante se conecta ao socket local /tmp/dynamic_socket, que é gravável por qualquer processo.
- O daemon DynamicCLI do Gaia OS aceita a conexão sem autenticar o processo cliente.
- O atacante envia um comando pelo socket; o daemon, executando como root, processa e executa o comando com privilégios de root.
Sou afetado? (aplicabilidade)
- O host executa o Gaia OS com o daemon DynamicCLI em execução como root.
- O socket /tmp/dynamic_socket existe e é gravável por qualquer usuário local.
- O atacante possui uma conta local autenticada no sistema.
- O daemon DynamicCLI não exige autenticação dos processos que se conectam ao socket.
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor para o Gaia OS.
- Restringir as permissões do socket /tmp/dynamic_socket para impedir gravação por usuários não autorizados.
- Monitorar conexões e comandos enviados ao socket /tmp/dynamic_socket em busca de atividade suspeita.
Impacto se explorada
Execução de comandos como root a partir de um usuário local autenticado — comprometimento total do host Gaia OS.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
A Adobe Commerce é afetada por uma vulnerabilidade de Neutralização Incorreta de Elementos Especiais Usados em um Mecanismo de Template, que pode resultar na execução arbitrária de código no contexto do usuário atual. Um atacante poderia explorar essa vulnerabilidade para executar código arbitrário. A exploração desse problema não requer interação do usuário. O escopo é alterado.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição pela rede a um endpoint do Adobe Commerce/Magento que processa templates.
- O conteúdo da requisição inclui elementos especiais não neutralizados que são interpretados pelo motor de templates (SSTI).
- O motor de templates executa o código injetado no contexto do usuário atual.
- Não é necessária interação da vítima nem privilégio prévio; o resultado é execução arbitrária de código.
Sou afetado? (aplicabilidade)
- Está em uso Adobe Commerce ou Magento em versão anterior ou igual a 2.4.9 (conforme a fonte de detecção Nuclei).
- O componente Adobe Commerce B2B está presente, se aplicável ao ambiente.
- O serviço Adobe Commerce/Magento está exposto à rede para acesso remoto.
- O motor de templates do Adobe Commerce/Magento está acessível e processa entradas não confiáveis.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão Hotfix for CVE-2026-7565
- Aplicar o hotfix do fornecedor para CVE-2026-7565 (correção conhecida registrada).
- Restringir o acesso de rede aos endpoints do Adobe Commerce/Magento apenas a origens confiáveis.
- Utilizar a detecção automatizada disponível no template Nuclei para identificar instâncias vulneráveis.
- Monitorar requisições anômalas ao motor de templates em busca de tentativas de injeção.
Impacto se explorada
Execução remota de código no contexto do usuário atual, sem interação da vítima, permitindo controle do serviço Adobe Commerce/Magento e comprometimento dos dados e da aplicação.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Relatos da comunidade (não verificados): exploração 10 · PoC 13
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O PHP usa longjmp() para erros de falta de memória (OOM) para sair do contexto atual e abortar o tratamento da requisição. Alguns contextos podem não considerar adequadamente esse cenário e deixar a memória da requisição em um estado não inicializado antes de realizar uma alocação. O procedimento subsequente de limpeza da requisição pode ler ou desviar com base nessa memória. Múltiplas estratégias de OOM podem acionar consistentemente essa condição e levar à execução remota de código (RCE).
Exige: acesso pela rede, condições do alvo · Não exige: autenticação, interação do usuário
Como é explorado
Metodologia de exploração
- O atacante envia requisições remotas ao serviço PHP, sem necessidade de autenticação ou interação da vítima.
- O atacante aciona estratégias de esgotamento de memória (OOM) que fazem o PHP usar longjmp() para abortar o contexto da requisição.
- Em certos contextos, a memória da requisição fica em estado não inicializado antes de uma alocação.
- O procedimento de limpeza da requisição lê ou ramifica sobre essa memória não inicializada.
- A exploração consistente dessa condição leva à execução remota de código (RCE).
Sou afetado? (aplicabilidade)
- O ambiente executa PHP em versões anteriores às correções 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
- O serviço PHP está exposto à rede e acessível pelo atacante.
- O atacante consegue enviar requisições que acionem estratégias de OOM no PHP.
- Produtos que incorporam PHP afetado estão em uso: Siemens RUGGEDCOM APE1808, Siemens Blue Planet 360 NX3 M6 WM OD IISX, Palo Alto Networks PAN-OS, Panorama M-200/M-300/M-500/M-600/M-700, Panorama Virtual Appliance, WF-500 e WF-500-B.
Não exige: autenticação, interação do usuário.
Mitigação e detecção
✓ Correção disponível na versão 8.2.35; 8.3.36; 8.4.27; 8.5.12
- Atualizar o PHP para as versões corrigidas 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
- Aplicar as atualizações do fornecedor nos produtos que incorporam PHP afetado (Siemens, Palo Alto Networks).
- Restringir o acesso de rede ao serviço PHP exposto.
- Utilizar a detecção automatizada disponível no template Nuclei para identificar a condição de exploração.
Impacto se explorada
Execução remota de código (RCE) no contexto do serviço PHP, permitindo ao atacante comprometer o servidor e os dados por ele processados.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 30 · PoC 240
Referências e detalhe técnico
- NVD — registro oficial ↗
- Alerta governamental ↗
- Advisory do fornecedor ↗
- Advisory de terceiros ↗
- Advisory de terceiros ↗
- Advisory de terceiros ↗
- Exploit-DB: PHP2Shell (CVE-2026-109618) - PHP core versions after v5.4 - RCE ↗
- Nuclei — template de detecção ↗
- EUVD (ENISA): EUVD-2026-107260 ↗
- CTIR Gov: ALERTA 93/2026 ↗
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O produto ui não avisa o usuário sobre ações inseguras no Microsoft Office Outlook permite que um invasor não autorizado realize falsificação pela rede.
Exige: acesso pela rede, ação da vítima · Não exige: autenticação, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante prepara uma mensagem ou conteúdo que explora a falha de aviso em ações inseguras no Microsoft Office Outlook.
- A vítima precisa interagir com o conteúdo (por exemplo, abrir uma mensagem ou clicar em um elemento) para que a ação insegura seja executada sem aviso.
- O produto ui não exibe o aviso de segurança esperado, permitindo que a ação prossiga sem consentimento informado.
- Como resultado, o atacante consegue realizar spoofing sobre a rede, potencialmente levando a vítima a confiar em conteúdo falso.
Sou afetado? (aplicabilidade)
- Está em uso uma versão do Microsoft 365 Apps anterior à 16.0.14334.21048 ou 16.0.17932.21140 (conforme o canal).
- Está em uso o Microsoft Office 2021 ou Office 2024 em versão anterior à correção indicada.
- O usuário utiliza o Microsoft Office Outlook para acessar mensagens ou conteúdo pela rede.
- A vítima pode ser induzida a interagir com uma mensagem ou elemento que acione uma ação insegura sem aviso.
Não exige: autenticação, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 16.0.14334.21048; 16.0.17932.21140
- Atualizar o Microsoft 365 Apps, Office 2021 ou Office 2024 para a versão corrigida 16.0.14334.21048 ou 16.0.17932.21140, conforme aplicável.
- Restringir a exposição do Outlook a conteúdo não confiável e orientar usuários a não interagir com mensagens suspeitas.
- Monitorar tentativas de spoofing e ações inseguras que não gerem aviso no Outlook.
Impacto se explorada
Spoofing sobre a rede — a vítima pode ser induzida a confiar em conteúdo falso, comprometendo a integridade das comunicações.
Confidencialidade: altoIntegridade: nenhumDisponibilidade: nenhum
Relatos da comunidade (não verificados): exploração 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Use after free em XML no Google Chrome anterior a 157.0.8103.50 permitiu que um atacante remoto executasse código arbitrário dentro do sandbox por meio de uma página HTML criada. (Gravidade de segurança do Chromium: Alta)
Exige: acesso pela rede, ação da vítima · Não exige: autenticação, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante entrega à vítima uma página HTML especialmente construída, hospedada remotamente ou enviada por qualquer canal.
- A vítima abre a página no Google Chrome em versão anterior a 157.0.8103.50, acionando o processamento de XML pelo navegador.
- O processamento do XML dispara um use-after-free (CWE-416) na memória do navegador.
- O atacante explora a condição para executar código arbitrário dentro do sandbox do Chrome.
Sou afetado? (aplicabilidade)
- Está em uso o Google Chrome em versão anterior a 157.0.8103.50.
- O navegador é usado para abrir páginas HTML de origens não confiáveis ou recebidas por e-mail/mensagem.
- A vítima pode ser induzida a abrir uma página HTML especialmente construída (interação exigida pelo vetor).
Não exige: autenticação, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 157.0.8103.50
- Atualizar o Google Chrome para a versão 157.0.8103.50 ou superior.
- Restringir a abertura de páginas HTML não confiáveis até a atualização ser aplicada.
- Monitorar o navegador para indícios de execução de código dentro do sandbox após abertura de páginas suspeitas.
Impacto se explorada
Execução de código arbitrário dentro do sandbox do Chrome — comprometimento do navegador e dos dados acessíveis a ele.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 4
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O VMware vCenter contém uma vulnerabilidade de travessia de diretório no servidor Syslog. Um ator malicioso com acesso à rede ao vCenter pode explorar esse problema para executar código arbitrário.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- Atacante com acesso de rede ao vCenter alcança o servidor Syslog.
- Envia uma requisição que explora a travessia de diretórios (CWE-22) no servidor Syslog.
- O sistema resolve o caminho indevidamente e permite acesso a arquivos fora do diretório previsto.
- A falha leva à execução de código arbitrário no contexto do serviço.
Sou afetado? (aplicabilidade)
- O ambiente usa VMware vCenter Server em versão anterior à correção (9.1.0.0300, 9.0.2.0100 ou 8.0 U3k).
- O servidor Syslog do vCenter está em uso e acessível pela rede.
- O ambiente inclui VMware Telco Cloud Infrastructure, Telco Cloud Platform, Cloud Foundation ou vSphere Foundation em versão afetada.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 9.1.0.0300; 9.0.2.0100; 8.0 U3k
- Atualizar para as versões corrigidas: 9.1.0.0300, 9.0.2.0100 ou 8.0 U3k.
- Restringir o acesso de rede ao servidor Syslog do vCenter.
- Segmentar a rede para limitar a exposição do vCenter.
Impacto se explorada
Execução remota de código arbitrário no vCenter, com alto impacto à confidencialidade, integridade e disponibilidade.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 14 · PoC 13
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Uma vulnerabilidade no XML Parser da Open Client Interface (OCI) do Cisco BroadWorks poderia permitir que um atacante remoto não autenticado lesse informações confidenciais de configuração em um sistema afetado. Essa vulnerabilidade existe porque as entradas XML são analisadas de forma inadequada, devido à resolução de entidades externas ser permitida por padrão. Um atacante poderia explorar essa vulnerabilidade enviando uma mensagem XML especialmente elaborada para o serviço Open Client Interface – Provisioning (OCI-P). Uma exploração bem-sucedida poderia permitir que o atacante visualizasse arquivos confidenciais do sistema de arquivos com os privilégios do usuário do Cisco BroadWorks.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma mensagem XML ao serviço Open Client Interface – Provisioning (OCI-P) do Cisco BroadWorks pela rede, sem autenticação.
- O parser XML da OCI resolve entidades externas por padrão, pois as entradas XML são analisadas de forma inadequada.
- A mensagem faz o parser buscar recursos externos, permitindo a leitura de arquivos sensíveis do sistema de arquivos.
- O atacante obtém informações de configuração sensíveis com os privilégios do usuário do Cisco BroadWorks.
Sou afetado? (aplicabilidade)
- O serviço Open Client Interface – Provisioning (OCI-P) do Cisco BroadWorks está exposto à rede e acessível pelo atacante.
- O sistema afetado é uma das plataformas Cisco BroadWorks listadas: broadworks_application_delivery_platform, broadworks_application_server, broadworks_profile_server ou broadworks_xtended_services_platform.
- O parser XML da OCI está com a resolução de entidades externas habilitada por padrão (configuração não alterada).
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor (Cisco) para o Cisco BroadWorks.
- Restringir o acesso de rede ao serviço Open Client Interface – Provisioning (OCI-P) apenas a origens confiáveis.
- Desabilitar a resolução de entidades externas no parser XML da OCI, se a configuração permitir.
- Monitorar tentativas de envio de mensagens XML com entidades externas ao serviço OCI-P.
Impacto se explorada
Leitura de arquivos sensíveis do sistema de arquivos com os privilégios do usuário do Cisco BroadWorks, expondo informações de configuração sensíveis.
Confidencialidade: altoIntegridade: nenhumDisponibilidade: nenhum
Relatos da comunidade (não verificados): exploração 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
GPUStack é um gerenciador de cluster de GPU de código aberto para servir modelos de IA e provisionar instâncias de GPU. Antes da versão 2.2.0, get_current_user em gpustack/api/auth.py tratava uma origem de requisição de loopback como o administrador integrado quando force_auth_localhost era falso, que era o padrão. Uma requisição remota poderia parecer originar-se de 127.0.0.1 porque client_ip_getter aceitava um par de proxy reverso do mesmo host ou um valor de loopback X-GPUStack-Real-IP fornecido pelo cliente. O bypass permitia acesso administrativo não autenticado, incluindo alterações de usuários e modelos, criação persistente de chave de API de administrador, divulgação de segredos de worker e de provedor de nuvem, e execução de código por meio de POST /v2/inference-backends/from-yaml. A exploração foi observada em ambiente real contra uma implantação 2.1.1. Este problema é corrigido na versão 2.2.0.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição remota ao serviço GPUStack, que pode parecer originar-se de 127.0.0.1 porque o client_ip_getter aceita um par de proxy reverso no mesmo host ou um valor de loopback fornecido pelo cliente no cabeçalho X-GPUStack-Real-IP.
- A função get_current_user em gpustack/api/auth.py trata a requisição de loopback como o administrador embutido quando force_auth_localhost é falso (padrão).
- O atacante obtém acesso administrativo não autenticado e pode alterar usuários e modelos, criar chaves de API de administrador persistentes, divulgar segredos de worker e provedor de nuvem e executar código via POST /v2/inference-backends/from-yaml.
Sou afetado? (aplicabilidade)
- A versão do GPUStack em uso é anterior à 2.2.0.
- A configuração force_auth_localhost está como falsa (padrão).
- O serviço GPUStack está exposto à rede e acessível por atacantes remotos.
- Existe um proxy reverso no mesmo host que pode encaminhar requisições com origem aparente de loopback, ou o atacante consegue enviar o cabeçalho X-GPUStack-Real-IP com valor de loopback.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Atualizar para a versão 2.2.0 ou superior.
- Definir force_auth_localhost como verdadeiro para exigir autenticação mesmo em requisições de loopback.
- Restringir o acesso de rede ao serviço GPUStack apenas a clientes confiáveis.
- Monitorar requisições com o cabeçalho X-GPUStack-Real-IP contendo valores de loopback e acessos administrativos não autenticados.
Impacto se explorada
Acesso administrativo não autenticado — alteração de usuários e modelos, criação persistente de chaves de API de administrador, divulgação de segredos de worker e provedor de nuvem e execução de código.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 2
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Mais CVEs (39)
IBM Aspera Faspex 5.0.0 até 5.0.19 pode permitir que um usuário autorizado crie uma mensagem específica para contornar a autorização do usuário e obter privilégios administrativos completos.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, já autenticado como usuário autorizado no IBM Aspera Faspex, envia uma mensagem especialmente construída para o sistema.
- O sistema processa a mensagem sem validar corretamente a autorização do usuário (CWE-863).
- A falha de controle de acesso permite que o usuário contorne a verificação de autorização.
- Como resultado, o atacante obtém privilégios administrativos totais na aplicação.
Sou afetado? (aplicabilidade)
- Está em uso a versão 5.0.0 até 5.0.19 do IBM Aspera Faspex.
- O atacante possui uma conta de usuário autorizado válida no IBM Aspera Faspex.
- O serviço IBM Aspera Faspex está acessível pela rede.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor (versão corrigida não informada no registro CVE).
- Restringir o acesso de rede ao serviço IBM Aspera Faspex apenas a origens confiáveis.
- Revisar e limitar as permissões das contas de usuário autorizado, aplicando o menor privilégio possível.
- Monitorar tentativas de envio de mensagens que resultem em elevação de privilégio ou acesso administrativo não esperado.
Impacto se explorada
Um usuário autorizado pode obter privilégios administrativos totais no IBM Aspera Faspex, comprometendo a confidencialidade, integridade e disponibilidade do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Uma vulnerabilidade de estouro de buffer no decodificador Brotli (c/dec/decode.c) no Google Brotli versões 1.0.3 até 1.2.0 em todas as plataformas permite que um atacante remoto não autenticado corrompa a memória de estado adjacente do decodificador, divulgue conteúdos sensíveis da memória, cause uma negação de serviço ou potencialmente execute código arbitrário usando um fluxo compactado com Brotli especialmente criado. Os usuários precisam atualizar quaisquer bibliotecas ou binários do Brotli entre 1.0.3 e 1.2.0 para a versão mais recente disponível: 1.0.10 ou 1.1.1 ou 1.2.1.
Exige: acesso pela rede, condições do alvo · Não exige: autenticação, interação do usuário
Como é explorado
Metodologia de exploração
- O atacante fornece um fluxo comprimido em Brotli especialmente construído a um componente que usa a biblioteca Brotli para descomprimir dados (por exemplo, uma aplicação que aceita conteúdo comprimido pela rede).
- O decodificador Brotli (c/dec/decode.c) processa o fluxo sem validar corretamente o tamanho, resultando em buffer overflow.
- A memória adjacente ao estado do decodificador é corrompida, podendo expor conteúdo sensível da memória, derrubar o processo ou permitir execução de código.
Sou afetado? (aplicabilidade)
- Está em uso Google Brotli nas versões 1.0.3 até 1.2.0 (biblioteca ou binário).
- Algum produto afetado da lista (por exemplo, nodejs node.js, python-hyper brotlicffi, microsoft .net, envoyproxy envoy, istio istio, anthropic bun, apache arrow, clickhouse clickhouse, duckdb duckdb, google woff2, 7-zip p7zip, mcmilk 7-zip-zstd, andybalholm brotli, tianocore edk2, debian debian_linux, siemens ruggedcom_ape1808_firmware, siemens common_configurator, siemens data_flow_monitoring) está presente no ambiente.
- O componente que usa Brotli recebe ou descomprime dados controlados por atacante não autenticado, pela rede.
- O serviço que descomprime Brotli está exposto à rede e acessível ao atacante.
Não exige: autenticação, interação do usuário.
Mitigação e detecção
✓ Correção disponível na versão 1.0.10; 1.1.1; 1.2.1; V1.24.3
- Atualizar as bibliotecas ou binários Brotli das versões 1.0.3 até 1.2.0 para 1.0.10, 1.1.1 ou 1.2.1 (ou V1.24.3, conforme o registro da correção).
- Restringir o acesso de rede aos serviços que descomprimem Brotli, limitando a exposição a atacantes não autenticados.
- Identificar no inventário os produtos afetados listados e priorizar a atualização dos que processam dados externos.
Impacto se explorada
Corrupção de memória no decodificador Brotli pode causar negação de serviço, exposição de conteúdo sensível da memória e potencial execução remota de código não autenticada.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 8 · PoC 97
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O Plugin Simple-File-List para WordPress é vulnerável a Remote Code Execution nas versões até, e incluindo, 4.2.2 através da função rename que pode ser usada para renomear código PHP enviado com extensão png para usar uma extensão php. Isso permite que atacantes não autenticados executem código no servidor.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição HTTP não autenticada ao plugin Simple File List para fazer upload de um arquivo com extensão permitida (por exemplo, png) contendo código PHP.
- O atacante aciona a função de renomear do plugin, que não aplica as restrições de extensão, e altera o arquivo para uma extensão PHP.
- O código PHP renomeado é executado no servidor, resultando em execução remota de código.
Sou afetado? (aplicabilidade)
- O plugin Simple File List está instalado e ativo no WordPress.
- A versão do plugin é até 4.2.2 (inclusive).
- O WordPress está acessível pela rede para requisições não autenticadas.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 4.2.3
- Atualizar o plugin Simple File List para a versão 4.2.3 ou superior.
- Se a atualização não for possível, desabilitar ou remover o plugin.
- Restringir o acesso de rede ao WordPress conforme necessário.
- Utilizar o template Nuclei disponível para detecção automatizada da vulnerabilidade.
Impacto se explorada
Execução remota de código não autenticada no servidor WordPress, permitindo controle total do servidor.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 4
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Ausência de autenticação para função crítica no Microsoft Office SharePoint permite que um invasor não autorizado eleve privilégios em uma rede.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição de rede ao serviço Microsoft SharePoint Server exposto.
- A requisição alcança uma função crítica que não exige autenticação (CWE-306).
- O sistema processa a requisição sem validar credenciais e concede acesso indevido.
- O atacante obtém elevação de privilégios sobre a rede, com impacto alto em confidencialidade, integridade e disponibilidade.
Sou afetado? (aplicabilidade)
- O ambiente utiliza Microsoft SharePoint Server em versão anterior à correção 16.0.5561.1001, 16.0.10417.20175 ou 16.0.19725.20434.
- O serviço SharePoint Server está exposto à rede acessível pelo atacante.
- A função crítica sem autenticação está habilitada e acessível remotamente.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 16.0.5561.1001; 16.0.10417.20175; 16.0.19725.20434
- Atualizar o Microsoft SharePoint Server para a versão corrigida 16.0.5561.1001, 16.0.10417.20175 ou 16.0.19725.20434.
- Restringir o acesso de rede ao serviço SharePoint Server apenas a origens confiáveis.
- Segmentar a rede para limitar a exposição do SharePoint Server a atacantes não autorizados.
Impacto se explorada
Elevação de privilégios não autenticada sobre a rede — o atacante pode comprometer confidencialidade, integridade e disponibilidade do SharePoint Server.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 4 · PoC 4
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O módulo labeled-response no UnrealIRCd 6.0.0 anterior a 6.2.7.1 não escapa a tag de mensagem "label" do IRCv3 ao ecoá-la nas respostas, o que permite a qualquer usuário em uma rede com dois ou mais servidores vinculados injetar comandos servidor-a-servidor que são executados com autoridade de servidor.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, atuando como usuário comum em uma rede IRC com dois ou mais servidores interligados, envia uma mensagem IRCv3 contendo uma tag 'label' especialmente construída.
- O módulo labeled-response do UnrealIRCd não escapa o valor da tag 'label' ao ecoá-lo nas respostas.
- O valor não escapado é interpretado como comandos de servidor para servidor.
- Os comandos injetados são executados com autoridade de servidor, permitindo ao atacante realizar ações administrativas no servidor.
Sou afetado? (aplicabilidade)
- O ambiente utiliza UnrealIRCd na versão 6.0.0 até anterior à 6.2.7.1.
- O módulo labeled-response está habilitado e em uso.
- A rede IRC possui dois ou mais servidores interligados (linked servers).
- O atacante possui uma conta de usuário comum na rede IRC.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 6.2.7.1
- Atualizar o UnrealIRCd para a versão 6.2.7.1 ou superior.
- Se a atualização imediata não for possível, desabilitar o módulo labeled-response.
- Restringir o acesso à rede IRC apenas a usuários confiáveis e monitorar a criação de contas.
Impacto se explorada
Injeção de comandos de servidor para servidor executados com autoridade de servidor, permitindo que um usuário comum comprometa a integridade e o controle do servidor IRC.
Confidencialidade: nenhumIntegridade: altoDisponibilidade: nenhum
Atinge também outros componentes além do vulnerável.
Relatos da comunidade (não verificados): exploração 1 · PoC 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O FreeSWITCH é uma Pilha de Telecomunicações Definida por Software que possibilita a transformação digital de centrais de telecomunicações proprietárias para uma implementação de software que roda em qualquer hardware de prateleira. Antes da versão 1.11.3, sofia_presence_handle_sip_i_message() dividia o usuário To de uma MESSAGE SIP de entrada em um sinal de mais e tratava o lado esquerdo como um seletor de protocolo de chat. Selecionar o api chat proto alcançava switch_api_execute(), permitindo que um par cuja MESSAGE fosse aceita executasse comandos da API do FreeSWITCH, incluindo sinks de comandos do sistema operacional, com os privilégios do daemon. O chat de entrada está habilitado nos perfis internos e externos padrão, e qualquer conta de perfil autenticada é suficiente; usuários de diretório padrão sem material de senha também podem remover essa barreira em configurações afetadas. A falha permite a divulgação de configuração e credenciais, controle arbitrário de chamadas e execução de comandos, e a exploração foi observada em ambiente real. Este problema é corrigido na versão 1.11.3.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma mensagem SIP MESSAGE para um perfil SIP interno ou externo do FreeSWITCH, que aceita chat de entrada por padrão.
- O campo To do MESSAGE é manipulado para incluir um sinal de mais seguido do identificador de protocolo de chat 'api'.
- A função sofia_presence_handle_sip_i_message() divide o usuário do To no sinal de mais e trata a parte esquerda como seletor de protocolo de chat.
- Ao selecionar o protocolo 'api', a execução chega a switch_api_execute(), permitindo que o par cujo MESSAGE foi aceito execute comandos da API do FreeSWITCH.
- Com isso, o atacante pode acionar comandos do sistema operacional com os privilégios do daemon, resultando em execução de comandos, controle de chamadas e vazamento de configurações e credenciais.
Sou afetado? (aplicabilidade)
- O FreeSWITCH está em versão anterior à 1.11.3.
- O chat de entrada está habilitado nos perfis internos ou externos (padrão de fábrica).
- O atacante consegue se autenticar em uma conta de perfil SIP ou, em configurações afetadas, usuários do diretório sem material de senha podem remover essa barreira.
- O serviço SIP do FreeSWITCH está acessível pela rede a partir da origem do atacante.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Atualizar para a versão 1.11.3 ou superior.
- Desabilitar o chat de entrada nos perfis SIP interno e externo, se não for necessário.
- Restringir o acesso de rede ao serviço SIP apenas a origens confiáveis.
- Monitorar logs em busca de mensagens SIP MESSAGE com o campo To contendo sinal de mais e o seletor 'api', bem como execuções inesperadas de comandos da API.
Impacto se explorada
Execução de comandos com os privilégios do daemon FreeSWITCH, permitindo divulgação de configurações e credenciais, controle arbitrário de chamadas e execução de comandos no sistema operacional.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 1 · PoC 3
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Existe uma vulnerabilidade de use-after-free na análise de cabeçalhos de conexão HTTP no Tinyproxy 1.11.1 e Tinyproxy 1.10.0. Um cabeçalho HTTP especialmente criado pode acionar a reutilização de memória previamente liberada, o que leva à corrupção de memória e pode resultar em execução remota de código. Um atacante precisa fazer uma requisição HTTP não autenticada para acionar essa vulnerabilidade.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição HTTP não autenticada ao serviço Tinyproxy.
- A requisição inclui um cabeçalho HTTP Connection especialmente construído.
- Durante a análise dos cabeçalhos de conexão, a função remove_connection_headers() em reqs.c libera um ponteiro de valor de cabeçalho.
- Esse ponteiro liberado é reutilizado na iteração subsequente dos cabeçalhos, caracterizando use-after-free.
- A reutilização de memória liberada causa corrupção de memória e pode levar à execução remota de código.
Sou afetado? (aplicabilidade)
- Está em uso Tinyproxy 1.11.1 ou Tinyproxy 1.10.0.
- O serviço Tinyproxy está acessível pela rede para requisições HTTP não autenticadas.
- O fluxo de análise de cabeçalhos HTTP Connection está ativo (comportamento padrão do proxy).
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor (atualizar para versão corrigida, quando disponível).
- Restringir o acesso de rede ao serviço Tinyproxy apenas a clientes confiáveis.
- Utilizar a detecção automatizada disponível no template Nuclei para identificar instâncias vulneráveis.
Impacto se explorada
Corrupção de memória que pode levar à execução remota de código não autenticada — comprometimento total do serviço proxy e do host.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 3 · PoC 8
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de Cross Site Scripting no Wonder CMS v.3.2.0 até v.3.4.2 permite que um atacante remoto execute código arbitrário por meio de um script especialmente criado enviado ao componente installModule.
Exige: acesso pela rede, ação da vítima · Não exige: autenticação, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição HTTP ao componente installModule do WonderCMS com um script especialmente construído.
- O script é carregado no servidor como parte do fluxo de instalação de módulo.
- A falha de Cross Site Scripting (CWE-79) permite que o script seja executado no contexto do navegador da vítima.
- A execução do script leva à execução arbitrária de código no servidor, conforme descrito nas fontes de exploração pública.
Sou afetado? (aplicabilidade)
- O WonderCMS está em uso na versão 3.2.0 até 3.4.2.
- O componente installModule está acessível e funcional.
- A vítima precisa interagir com o script enviado (ex.: abrir uma página ou link que carregue o conteúdo malicioso).
- O atacante não precisa de privilégio prévio, mas a exploração bem-sucedida conforme o módulo Metasploit requer autenticação.
Não exige: autenticação, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 3.4.2
- Atualizar o WonderCMS para a versão 3.4.2 ou superior.
- Restringir o acesso ao componente installModule a usuários autenticados e confiáveis.
- Monitorar requisições HTTP ao endpoint installModule em busca de uploads suspeitos.
Impacto se explorada
Execução remota de código no servidor que hospeda o WonderCMS, permitindo controle total do sistema.
Confidencialidade: baixoIntegridade: baixoDisponibilidade: nenhum
Atinge também outros componentes além do vulnerável.
Relatos da comunidade (não verificados): PoC 27
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
vBulletin 5.x até 5.7.5 e 6.x até 6.2.1 contém uma vulnerabilidade de injeção eval no método vB5_Template_Runtime::runMaths() dentro do runtime de template, que permite que atacantes remotos não autenticados executem código PHP arbitrário fornecendo entrada manipulada através do parâmetro pagenav[pagenumber]. Os atacantes podem explorar o filtro regex insuficientemente restritivo usando codificação estilo phpfuck com caracteres permitidos para injetar e executar código PHP arbitrário via a rota de template ajax/render não autenticada, sem qualquer autenticação.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição HTTP não autenticada à rota ajax/render do vBulletin.
- Na requisição, o parâmetro pagenav[pagenumber] é preenchido com entrada especialmente construída.
- O método vB5_Template_Runtime::runMaths() processa essa entrada e o filtro regex insuficientemente restritivo é contornado com codificação no estilo phpfuck usando apenas caracteres permitidos.
- O código PHP injetado é avaliado e executado pelo servidor.
Sou afetado? (aplicabilidade)
- Está em uso vBulletin 5.x até 5.7.5 ou 6.x até 6.2.1.
- A rota ajax/render está acessível pela rede.
- O parâmetro pagenav[pagenumber] é processado pelo método vB5_Template_Runtime::runMaths().
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 6.2.2
- Atualizar para a versão 6.2.2 ou superior.
- Restringir o acesso de rede à rota ajax/render enquanto a atualização não for aplicada.
- Utilizar a detecção automatizada disponível no template Nuclei para identificar instâncias vulneráveis.
Impacto se explorada
Execução remota de código PHP não autenticada — o atacante pode comprometer totalmente o servidor vBulletin.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 1 · PoC 18
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Uma burla de autenticação no Barracuda Email Security Gateway em versões anteriores à 9.4.0.030 permite que um atacante remoto não autenticado invoque uma função de importação de configuração e restaure um arquivo de backup compatível e manipulado, resultando em modificação não autorizada da configuração global do appliance.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, sem autenticação e a partir da rede, alcança a função de importação de configuração do Barracuda Email Security Gateway.
- Ele envia um arquivo de backup compatível, construído para esse fim.
- O sistema restaura o backup sem validar a autenticação, aceitando a configuração importada.
- A configuração global do appliance é modificada de forma não autorizada.
Sou afetado? (aplicabilidade)
- O ambiente usa Barracuda Email Security Gateway em versão anterior a 9.4.0.030.
- O appliance é um dos modelos listados: Email Security Gateway 300, 400, 600, 800 ou 900.
- A interface de administração do appliance está acessível pela rede a partir de origens não confiáveis.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 9.4.0.030
- Atualizar para a versão 9.4.0.030 ou posterior.
- Restringir o acesso de rede à interface de administração do appliance a origens confiáveis.
- Usar a detecção automatizada disponível (template Nuclei) para identificar instâncias expostas.
Impacto se explorada
Modificação não autorizada da configuração global do appliance por atacante remoto não autenticado, comprometendo a integridade das regras de segurança de e-mail.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 2
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Neutralização inadequada de metacaracteres de shell no campo de configuração de fuso horário em determinados produtos de appliance Barracuda que usam código comum do Barracuda permite que um administrador autenticado injete comandos do sistema operacional que são executados com privilégios de root quando o valor de fuso horário manipulado é subsequentemente processado.
Exige: acesso pela rede, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante precisa estar autenticado como administrador em um produto Barracuda afetado.
- Ele acessa o campo de configuração de fuso horário (timezone) na interface administrativa.
- Insere um valor de fuso horário contendo metacaracteres de shell.
- Quando o sistema processa esse valor posteriormente, os comandos injetados são executados com privilégios de root.
Sou afetado? (aplicabilidade)
- O ambiente utiliza um dos produtos Barracuda listados (Email Security Gateway 300, 400, 600, 800, 900 ou modelos similares) com firmware afetado.
- O atacante possui credenciais válidas de administrador no dispositivo.
- A interface administrativa está acessível pela rede para o atacante.
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor (atualização de firmware) assim que disponível.
- Restringir o acesso à interface administrativa a redes e usuários confiáveis.
- Monitorar e revisar alterações no campo de fuso horário e atividades administrativas suspeitas.
Impacto se explorada
Execução de comandos arbitrários com privilégios de root no dispositivo — comprometimento total do appliance.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 3 · PoC 3
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de execução remota de código por travessia de diretório na criação de modelos do MLflow Tracking Server. Esta vulnerabilidade permite que atacantes remotos executem código arbitrário em instalações afetadas do MLflow Tracking Server. A autenticação não é necessária para explorar esta vulnerabilidade. A falha específica existe no tratamento de caminhos de arquivos de modelo. O problema resulta da falta de validação adequada de um caminho fornecido pelo usuário antes de usá-lo em operações de arquivo. Um atacante pode aproveitar esta vulnerabilidade para executar código no contexto da conta de serviço. Foi ZDI-CAN-26921.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição não autenticada à API de criação de versão de modelo do MLflow Tracking Server.
- Na requisição, fornece um caminho de origem (source) arbitrário com travessia de diretório.
- O servidor valida o parâmetro source e rejeita caminhos relativos/locais, mas ignora essa validação quando a requisição carrega a tag mlflow.prompt.is_prompt (a requisição é tratada como prompt).
- Com a validação contornada, o caminho de travessia é usado em operações de arquivo, permitindo que o atacante execute código no contexto da conta de serviço.
Sou afetado? (aplicabilidade)
- O MLflow Tracking Server está em uso e exposto à rede.
- A API de criação de versão de modelo está acessível a atacantes não autenticados.
- O servidor não aplica validação de caminho quando a requisição contém a tag mlflow.prompt.is_prompt.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor (versão corrigida não informada).
- Restringir o acesso de rede ao MLflow Tracking Server, limitando a exposição da API de criação de versão de modelo.
- Utilizar a detecção automatizada disponível (template Nuclei) para identificar instâncias vulneráveis.
Impacto se explorada
Execução remota de código não autenticada no contexto da conta de serviço — comprometimento total do servidor MLflow Tracking.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Um problema de autenticação foi resolvido com melhor gerenciamento de estado. Este problema foi corrigido no macOS Sequoia 15.7.9, macOS Sonoma 14.8.9, macOS Tahoe 26.6.1. Um atacante na rede pode conseguir autenticar no Screen Sharing sem credenciais válidas.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, posicionado na mesma rede, inicia uma conexão com o serviço de Compartilhamento de Tela (Screen Sharing) do macOS alvo.
- O atacante tenta autenticar-se no serviço sem apresentar credenciais válidas.
- Devido a uma falha de gerenciamento de estado na autenticação, o sistema aceita a autenticação indevida.
- O atacante obtém acesso autenticado ao Compartilhamento de Tela, podendo interagir com a sessão remota.
Sou afetado? (aplicabilidade)
- O serviço de Compartilhamento de Tela (Screen Sharing) está habilitado no macOS.
- O macOS está em uma versão anterior à correção: macOS Sequoia anterior a 15.7.9, macOS Sonoma anterior a 14.8.9, macOS Tahoe anterior a 26.6.1 ou 26.7, ou macOS Golden Gate anterior a 27.
- O serviço de Compartilhamento de Tela está acessível a partir da rede onde o atacante se encontra.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 14.8.9; 15.7.9; 26.6.1; 26.7
- Atualizar para as versões corrigidas: macOS Sequoia 15.7.9, macOS Sonoma 14.8.9, macOS Tahoe 26.6.1 ou 26.7, ou macOS Golden Gate 27.
- Desabilitar o serviço de Compartilhamento de Tela (Screen Sharing) onde não for necessário.
- Restringir o acesso de rede ao serviço de Compartilhamento de Tela a hosts e redes confiáveis.
- Segmentar a rede para limitar a exposição do serviço a atacantes na mesma rede.
Impacto se explorada
Autenticação indevida no Compartilhamento de Tela sem credenciais válidas — acesso não autorizado à sessão remota, com risco à confidencialidade, integridade e disponibilidade do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 16 · PoC 4
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de injeção de comando remoto no serviço embutido heap profiler no Apache bRPC ((todas as versões < 1.15.0)) em todas as plataformas permite que o atacante injete comando remoto. Causa raiz: O serviço embutido heap profiler do bRPC (/pprof/heap) não valida o parâmetro extra_options fornecido pelo usuário e o executa como argumento de linha de comando. Atacantes podem executar comandos remotos usando o parâmetro extra_options.. Cenários afetados: Use o serviço embutido heap profiler do bRPC para realizar o profiling de memória do jemalloc. Como corrigir: fornecemos dois métodos, você pode escolher um deles: 1. Atualize o bRPC para a versão 1.15.0. 2. Aplique este patch ( https://github.com/apache/brpc/pull/3101 ) manualmente.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição HTTP ao endpoint /pprof/heap do serviço de heap profiler embutido do Apache bRPC.
- Na requisição, o atacante define o parâmetro display e fornece um valor malicioso no parâmetro extra_options.
- O serviço não valida nem sanitiza extra_options e o concatena diretamente em uma string de comando shell passada para popen().
- O comando injetado é executado pelo sistema operacional com os privilégios do processo bRPC, permitindo execução remota de comandos.
Sou afetado? (aplicabilidade)
- O ambiente utiliza Apache bRPC em versão anterior à 1.15.0.
- O serviço de heap profiler embutido do bRPC está habilitado e acessível pela rede.
- O endpoint /pprof/heap está exposto a atacantes não autenticados.
- O perfilamento de memória jemalloc está em uso por meio do serviço de heap profiler.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 1.15.0
- Atualizar o Apache bRPC para a versão 1.15.0.
- Aplicar manualmente o patch disponível em https://github.com/apache/brpc/pull/3101.
- Restringir o acesso de rede ao endpoint /pprof/heap, permitindo apenas origens confiáveis.
- Utilizar a detecção automatizada disponível (template Nuclei) para identificar instâncias vulneráveis.
Impacto se explorada
Execução remota de comandos arbitrários no servidor com os privilégios do processo bRPC, permitindo comprometimento total da confidencialidade, integridade e disponibilidade do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 3
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O Openwave Webtop Media Transcoder não aplica as restrições de tipo de arquivo definidas pelo administrador para limitar os tipos de arquivo a serem convertidos. Isso pode permitir que um usuário autenticado processe e converta tipos de documento não intencionais se contornar a experiência do Webmail.
Exige: acesso pela rede, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, autenticado no Webmail, contorna a experiência normal de Webmail para acessar o Webtop Media Transcoder.
- Ele envia ou aciona a conversão de um tipo de documento não permitido pelas restrições definidas pelo administrador.
- O Webtop Media Transcoder não aplica as restrições de tipo de arquivo e processa a conversão do documento não intencional.
- O processamento do tipo não permitido consome recursos e pode causar indisponibilidade limitada do serviço de transcodificação.
Sou afetado? (aplicabilidade)
- O ambiente utiliza o Openwave Webtop Media Transcoder.
- O atacante possui uma conta autenticada no Webmail.
- O atacante consegue contornar a experiência de Webmail para acionar o transcoder diretamente.
- O transcoder está acessível pela rede a partir da posição do atacante.
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 1.1.22.0
- Atualizar para a versão corrigida 1.1.22.0.
- Restringir o acesso de rede ao Webtop Media Transcoder apenas às origens necessárias.
- Monitorar conversões de tipos de documento não permitidos pelas restrições administrativas.
Impacto se explorada
Processamento e conversão de tipos de documento não intencionais, com possível indisponibilidade limitada do serviço de transcodificação.
Confidencialidade: nenhumIntegridade: nenhumDisponibilidade: baixo
Relatos da comunidade (não verificados): exploração 1 · PoC 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
MajorDoMo (também conhecido como Major Domestic Module) é vulnerável a injeção de comando de SO não autenticada via rc/index.php. A variável $param proveniente da entrada do usuário é interpolada em uma string de comando entre aspas duplas sem sanitização via escapeshellarg(). O comando é inserido em uma fila de banco de dados por safe_exec(), que não realiza sanitização. O script cycle_execs.php, que é acessível via web sem autenticação, recupera comandos enfileirados e os passa diretamente para exec(). Um atacante pode explorar uma condição de corrida disparando primeiro o cycle_execs.php (que limpa a fila e entra em um loop de polling) e, em seguida, injetando um comando malicioso via o endpoint rc enquanto o worker está em polling. Os metacaracteres de shell injetados se expandem dentro de aspas duplas, alcançando execução remota de código em até um segundo.
Exige: acesso pela rede, condições do alvo · Não exige: autenticação, interação do usuário
Como é explorado
Metodologia de exploração
- O atacante acessa o endpoint cycle_execs.php sem autenticação para iniciar o worker de polling, que limpa a fila de comandos e entra em loop infinito consultando a tabela safe_execs a cada segundo.
- Enquanto o worker está em polling, o atacante envia uma requisição ao endpoint rc/index.php com o parâmetro param contendo metacaracteres de shell.
- O parâmetro é interpolado em uma string de comando entre aspas duplas sem sanitização via escapeshellarg() e inserido na fila do banco de dados pela função safe_exec(), que não realiza sanitização.
- Na próxima iteração, o worker recupera o comando da fila e o passa diretamente para exec(), executando o comando injetado e resultando em execução remota de código.
Sou afetado? (aplicabilidade)
- O MajorDoMo está instalado e o endpoint rc/index.php está acessível pela rede sem autenticação.
- O script cycle_execs.php está acessível via web sem autenticação.
- O worker cycle_execs.php pode ser iniciado pelo atacante (por exemplo, via requisição HTTP) e permanece em polling.
- O parâmetro param é aceito pelo endpoint rc/index.php e interpolado em comando sem sanitização.
- O comando injetado referencia um arquivo .bat válido no diretório rc/commands/ (a instalação padrão inclui shutdown.bat).
Não exige: autenticação, interação do usuário.
Mitigação e detecção
- Aplicar a correção do fornecedor (versão corrigida não informada).
- Restringir o acesso de rede aos endpoints rc/index.php e cycle_execs.php, permitindo apenas origens confiáveis.
- Utilizar o template Nuclei disponível para detecção automatizada da vulnerabilidade.
Impacto se explorada
Execução remota de código sem autenticação no servidor que hospeda o MajorDoMo, permitindo ao atacante controle total do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
As versões 6.3.0 a 6.5.4 do Zammad são vulneráveis a uma vulnerabilidade de sequestro de sessão que leva à execução remota de código como o usuário zammad. A vulnerabilidade também está presente na versão 7.0.0 até a versão 7.1.3, mas não é explorável devido às condições do ambiente.
Exige: acesso pela rede, ação da vítima · Não exige: autenticação, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante acessa a aplicação Zammad pela rede, sem privilégio prévio.
- O atacante induz a vítima a uma interação (ex.: clicar em um link ou abrir uma página) para viabilizar o sequestro de sessão.
- O sequestro da sessão permite ao atacante assumir a identidade da vítima na aplicação.
- Com a sessão sequestrada, o atacante executa código remoto com as permissões do usuário zammad.
Sou afetado? (aplicabilidade)
- A versão do Zammad em uso está entre 6.3.0 e 6.5.4 (inclusive).
- A versão do Zammad em uso está entre 7.0.0 e 7.1.2 (inclusive) — a falha está presente, mas não é explorável devido a mudanças no framework subjacente.
- A aplicação Zammad está exposta à rede e acessível pelo atacante.
- Um usuário do Zammad pode ser induzido a realizar a interação necessária para o sequestro de sessão.
Não exige: autenticação, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 6.3.0; 6.5.4; 7.1.3
- Atualizar para as versões corrigidas: 6.3.0, 6.5.4 ou 7.1.3.
- Restringir o acesso de rede à aplicação Zammad apenas a origens confiáveis.
- Monitorar e invalidar sessões suspeitas de usuários.
Impacto se explorada
Sequestro de sessão seguido de execução remota de código como o usuário zammad — comprometimento da aplicação e dos dados acessíveis a esse usuário.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Relatos da comunidade (não verificados): exploração 4 · PoC 5
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Uma falha foi encontrada no Samba. Um atacante remoto pode explorar uma configuração incorreta em servidores de arquivos Samba e controladores de domínio clássicos que usam o recurso "check password script". Se esse script estiver configurado com o caractere de substituição %u, o nome de usuário controlado pelo cliente é passado sem o escape adequado de meta-caracteres do shell. Essa vulnerabilidade permite que um atacante alcance execução remota de comandos no sistema afetado. Esse problema afeta principalmente configurações não padrão em que o "check password script" é usado com %u e o serviço samba-dcerpcd é iniciado como um serviço do sistema.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição de autenticação remota ao servidor Samba configurado com o recurso 'check password script'.
- O nome de usuário fornecido pelo cliente é passado ao script sem escape adequado dos meta-caracteres de shell, devido ao uso do caractere de substituição %u.
- O script é executado pelo serviço samba-dcerpcd com os meta-caracteres interpretados pelo shell.
- O atacante consegue executar comandos arbitrários no sistema afetado.
Sou afetado? (aplicabilidade)
- O servidor Samba ou controlador de domínio clássico está configurado com o recurso 'check password script'.
- O script de verificação de senha utiliza o caractere de substituição %u.
- O serviço samba-dcerpcd está iniciado como um serviço de sistema.
- A versão do Samba em uso é anterior à versão corrigida indicada (0:4.23.5-109.el10_2, 0:4.21.3-114.el10_0.1, 0:4.10.16-26.el7_9.1, 0:4.19.4-16.el8_10).
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 0:4.23.5-109.el10_2; 0:4.21.3-114.el10_0.1; 0:4.10.16-26.el7_9.1; 0:4.19.4-16.el8_10
- Atualizar o Samba para a versão corrigida: 0:4.23.5-109.el10_2, 0:4.21.3-114.el10_0.1, 0:4.10.16-26.el7_9.1 ou 0:4.19.4-16.el8_10.
- Revisar a configuração do 'check password script' e evitar o uso do caractere de substituição %u, se possível.
- Restringir o acesso de rede aos serviços Samba afetados apenas a clientes confiáveis.
- Monitorar logs do samba-dcerpcd e do script de verificação de senha para atividades suspeitas.
Impacto se explorada
Execução remota de comandos no sistema afetado, permitindo ao atacante comprometer completamente o servidor Samba ou controlador de domínio.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Uma vulnerabilidade de path traversal: '../filedir' no Fortinet FortiSandbox 5.0.0 até 5.0.5, FortiSandbox 4.4.0 até 4.4.8 pode permitir que o atacante escale privilégios por meio de requisições HTTP especialmente criadas.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia requisições HTTP à API JRPC do FortiSandbox.
- O atacante fornece um valor de sessão manipulado contendo '../filedir'.
- A função is_valid_session() passa o valor para os.path.join() sem validação.
- O caminho resolvido aponta para um diretório existente (ex.: /tmp/), fazendo a verificação de sessão ser bem-sucedida.
- O atacante obtém acesso não autenticado para leitura.
Sou afetado? (aplicabilidade)
- FortiSandbox nas versões 5.0.0 a 5.0.5 ou 4.4.0 a 4.4.8.
- A API JRPC do FortiSandbox está acessível pela rede.
- A função is_valid_session() é usada para validar sessões.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor.
- Restringir o acesso de rede à API JRPC do FortiSandbox.
- Utilizar a detecção automatizada disponível (template Nuclei) para identificar a vulnerabilidade.
Impacto se explorada
Bypass de autenticação com acesso não autenticado para leitura, permitindo escalação de privilégio.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 4 · PoC 3
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de bypass de autenticação usando caminho ou canal alternativo no N-able N-central permite bypass de autenticação. Este problema afeta o N-central: até 2026.1.
Exige: acesso pela rede, condições do alvo · Não exige: autenticação, interação do usuário
Como é explorado
Metodologia de exploração
- O atacante acessa o N-central pela rede, sem precisar de credenciais válidas.
- Ele utiliza um caminho ou canal alternativo na autenticação para contornar a verificação de identidade.
- O sistema concede acesso autenticado indevido, permitindo ao atacante atuar como usuário legítimo.
Sou afetado? (aplicabilidade)
- O N-central está em uso em versão até 2026.1 (inclusive).
- O serviço N-central está exposto à rede e acessível pelo atacante.
- A autenticação do N-central está habilitada e utiliza o caminho ou canal alternativo vulnerável (CWE-288).
Não exige: autenticação, interação do usuário.
Mitigação e detecção
- Aplicar a correção do fornecedor (versão corrigida não informada no registro CVE).
- Restringir o acesso de rede ao serviço N-central apenas a origens confiáveis.
- Segmentar a rede para limitar a exposição do N-central.
- Monitorar tentativas de autenticação e acessos por caminhos ou canais alternativos.
Impacto se explorada
Bypass de autenticação no N-central — um atacante remoto não autenticado obtém acesso autenticado indevido, comprometendo a confidencialidade do sistema.
Confidencialidade: altoIntegridade: nenhumDisponibilidade: nenhum
Relatos da comunidade (não verificados): exploração 3
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
A função check_alu_op em kernel/bpf/verifier.c no kernel Linux até 4.4 permite que usuários locais causem uma negação de serviço (corrupção de memória) ou possivelmente tenham outro impacto não especificado, aproveitando a extensão de sinal incorreta.
Exige: acesso local, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante precisa de acesso local ao sistema alvo, com uma sessão ou código já em execução no host.
- O atacante aciona o mecanismo de BPF (Berkeley Packet Filter) por meio de chamadas que exploram a verificação de deslocamento de sinal (sign extension) na função check_alu_op do verificador BPF.
- A verificação incorreta de sinal permite que o verificador seja contornado, resultando em leitura e escrita arbitrária na memória do kernel.
- Com leitura/escrita arbitrária no kernel, o atacante pode corromper memória (negação de serviço) ou obter outros impactos não especificados, como elevação de privilégios.
Sou afetado? (aplicabilidade)
- O kernel Linux em uso é anterior à versão 4.14.8 (conforme o módulo Metasploit) ou está na faixa 'through 4.4' indicada pela NVD; verificar a versão exata do kernel no host.
- O sistema foi compilado com suporte a BPF.
- O acesso não privilegiado a BPF é permitido, ou seja, o parâmetro kernel.unprivileged_bpf_disabled não está definido como 1.
- O atacante possui uma conta local com privilégios baixos que permita executar código no host.
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor para o kernel Linux (atualizar para versão corrigida).
- Definir kernel.unprivileged_bpf_disabled como 1 para impedir o acesso não privilegiado a BPF.
- Restringir o acesso local ao host apenas a usuários confiáveis.
Impacto se explorada
Corrupção de memória no kernel (negação de serviço) ou possível elevação de privilégios e outros impactos não especificados, comprometendo a integridade e confidencialidade do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 8
Referências e detalhe técnico
- NVD — registro oficial ↗
- Advisory do fornecedor ↗
- Advisory do fornecedor ↗
- Advisory do fornecedor ↗
- Advisory do fornecedor ↗
- Advisory do fornecedor ↗
- Metasploit: exploit/linux/local/bpf_sign_extension_priv_esc ↗
- Exploit-DB: Linux - BPF Sign Extension Local Privilege Escalation (Metasploit) ↗
- Exploit-DB: Linux Kernel < 4.13.9 (Ubuntu 16.04 / Fedora 27) - Local Privilege Escalation ↗
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Uma falha foi encontrada no subsistema de impressão do Samba. O Samba passa a string de descrição do trabalho controlada pelo cliente para o comando configurado na opção "print command" por meio do caractere de substituição "%J" sem escapar metacaracteres do shell. Um atacante remoto poderia explorar essa vulnerabilidade enviando uma descrição de trabalho de impressão especialmente criada que contenha caracteres de shell não escapados. Isso poderia levar à execução remota de código no sistema afetado.
Exige: acesso pela rede, condições do alvo · Não exige: autenticação, interação do usuário
Como é explorado
Metodologia de exploração
- O atacante envia um trabalho de impressão remoto ao serviço de impressão do Samba.
- O atacante controla a string de descrição do trabalho e inclui caracteres meta de shell não escapados.
- O Samba substitui o caractere %J pela descrição do trabalho na configuração 'print command' sem escapar os meta caracteres.
- O comando configurado é executado pelo shell com os caracteres injetados, resultando em execução remota de código.
Sou afetado? (aplicabilidade)
- O subsistema de impressão do Samba está em uso e acessível pela rede.
- A configuração 'print command' utiliza o caractere de substituição %J.
- A versão do Samba em uso é anterior à correção (versões corrigidas: 0:4.23.5-109.el10_2, 0:4.21.3-114.el10_0.1, 0:4.10.16-26.el7_9.1, 0:4.19.4-16.el8_10).
Não exige: autenticação, interação do usuário.
Mitigação e detecção
✓ Correção disponível na versão 0:4.23.5-109.el10_2; 0:4.21.3-114.el10_0.1; 0:4.10.16-26.el7_9.1; 0:4.19.4-16.el8_10
- Atualizar para as versões corrigidas: 0:4.23.5-109.el10_2, 0:4.21.3-114.el10_0.1, 0:4.10.16-26.el7_9.1, 0:4.19.4-16.el8_10.
- Restringir o acesso de rede ao serviço de impressão do Samba.
- Utilizar a detecção automatizada disponível (template Nuclei) para identificar instâncias vulneráveis.
Impacto se explorada
Execução remota de código no sistema afetado, permitindo controle total do servidor.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Relatos da comunidade (não verificados): PoC 14
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
FUXA é um software de Visualização de Processos baseado na web (SCADA/HMI/Dashboard). Da versão 1.2.8 até a versão 1.2.10, uma vulnerabilidade de bypass de autorização no FUXA permite que um atacante remoto não autenticado crie e modifique agendadores arbitrários, expondo ambientes ICS/SCADA conectados a ações subsequentes. Isso foi corrigido na versão 1.2.11 do FUXA.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia requisições remotas não autenticadas ao serviço FUXA exposto na rede.
- A falha de controle de acesso (CWE-862) no gerenciamento de schedulers permite criar e modificar schedulers sem autenticação.
- O sistema aceita as operações de scheduler sem validar a autorização do solicitante.
- Os schedulers criados ou alterados passam a executar ações no ambiente ICS/SCADA conectado, viabilizando ações subsequentes.
Sou afetado? (aplicabilidade)
- Está em uso a versão 1.2.8 a 1.2.10 do FUXA.
- O serviço FUXA está acessível pela rede a partir de origens não confiáveis.
- O ambiente ICS/SCADA conectado depende do FUXA para visualização ou operação.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Atualizar o FUXA para a versão 1.2.11.
- Restringir o acesso de rede ao serviço FUXA a origens confiáveis.
- Segmentar o FUXA do ambiente ICS/SCADA para limitar ações subsequentes.
- Usar o template Nuclei disponível para detecção automatizada da falha.
Impacto se explorada
Criação e modificação não autenticadas de schedulers no FUXA, expondo o ambiente ICS/SCADA conectado a ações subsequentes.
Confidencialidade: nenhumIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Extensão Joomla - rsjoomla.com - Upload de arquivo não autenticado no componente RSFiles < 1.17.12 - A extensão Joomla RSFiles é vulnerável a um upload arbitrário de arquivo não autenticado que permite o envio de arquivos executáveis e leva ao RCE completo.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição HTTP não autenticada ao endpoint do componente RSFiles (com_rsfiles), acionando a tarefa rsfiles.upload.
- O método de escrita do componente não realiza verificação de autenticação, de token CSRF nem de extensão de arquivo.
- O atacante faz upload de um arquivo executável PHP para o diretório downloads/ acessível pela web.
- O arquivo enviado é executado no servidor, resultando em execução remota de código (RCE).
Sou afetado? (aplicabilidade)
- O componente RSFiles (com_rsfiles) está instalado no Joomla.
- A versão do RSFiles é anterior à 1.17.12.
- O diretório downloads/ do componente está acessível pela web.
- O endpoint do componente RSFiles está exposto à rede.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Atualizar o componente RSFiles para a versão 1.17.12 ou superior.
- Restringir o acesso de rede ao endpoint do componente RSFiles.
- Utilizar a detecção automatizada disponível no template Nuclei para identificar instâncias vulneráveis.
Impacto se explorada
Execução remota de código não autenticada no servidor web — controle total do servidor Joomla.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Relatos da comunidade (não verificados): PoC 13
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O SAP NetWeaver Application Server ABAP não valida suficientemente determinadas entradas de rede processadas por um componente interno. Um atacante não autenticado poderia enviar tráfego de rede especialmente criado para acionar uma condição de corrupção de memória na funcionalidade afetada. A exploração bem-sucedida poderia permitir ao atacante executar código arbitrário e comprometer totalmente o sistema, resultando em alto impacto na confidencialidade, integridade e disponibilidade do sistema.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia tráfego de rede especialmente construído para um componente interno do SAP NetWeaver Application Server ABAP.
- O componente interno processa a entrada de rede sem validar suficientemente os dados recebidos.
- A falha de validação leva a uma condição de corrupção de memória na funcionalidade afetada.
- A exploração bem-sucedida permite execução de código arbitrário e comprometimento total do sistema.
Sou afetado? (aplicabilidade)
- O SAP NetWeaver Application Server ABAP está em uso no ambiente.
- O componente interno que processa entrada de rede está acessível a partir da rede do atacante.
- Não há barreira de autenticação ou segmentação de rede impedindo o envio de tráfego ao componente interno.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor.
- Restringir o acesso de rede ao componente interno afetado, permitindo apenas origens confiáveis.
- Segmentar a rede para limitar a exposição do SAP NetWeaver Application Server ABAP.
- Monitorar tráfego de rede anômalo direcionado ao componente interno em busca de tentativas de corrupção de memória.
Impacto se explorada
Execução remota de código não autenticada — comprometimento total do sistema, com alto impacto na confidencialidade, integridade e disponibilidade.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O SAP Web Dispatcher não valida suficientemente determinadas entradas de rede processadas por um componente interno. Um atacante não autenticado poderia enviar tráfego de rede especialmente criado para acionar uma condição de corrupção de memória na funcionalidade afetada. A exploração bem-sucedida poderia permitir ao atacante executar código arbitrário e comprometer totalmente o sistema, resultando em alto impacto na confidencialidade, integridade e disponibilidade do sistema.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia tráfego de rede especialmente construído para o SAP Web Dispatcher.
- O componente interno do SAP Web Dispatcher processa a entrada de rede sem validação suficiente.
- A falha de validação provoca corrupção de memória (CWE-122: buffer overflow baseado em heap).
- A exploração bem-sucedida permite execução de código arbitrário e comprometimento total do sistema.
Sou afetado? (aplicabilidade)
- O SAP Web Dispatcher está em uso no ambiente.
- O SAP Web Dispatcher é alcançável pela rede por atacantes não autenticados.
- Não há versão corrigida informada no registro CVE para confirmar a atualização.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor (SAP), pois a versão corrigida não foi informada no registro CVE.
- Restringir o acesso de rede ao SAP Web Dispatcher apenas a origens confiáveis.
- Segmentar a rede para limitar a exposição do SAP Web Dispatcher a atacantes não autenticados.
Impacto se explorada
Execução remota de código não autenticada no SAP Web Dispatcher — comprometimento total do sistema, com alto impacto na confidencialidade, integridade e disponibilidade.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O SAP Gateway ativa a Lista de Controle de Acesso padrão com altos privilégios, permitindo a categorização de um atacante externo como servidor de aplicação interno. Como resultado, um atacante não autenticado com acesso à rede ao SAP Gateway pode explorar essa fraqueza para potencialmente realizar ações não autorizadas dentro do ambiente da aplicação, resultando em alto impacto na confidencialidade, integridade e disponibilidade do sistema afetado.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, sem autenticação e com acesso de rede ao SAP Gateway, envia requisições ao serviço.
- O SAP Gateway aplica a Access Control List padrão com privilégios elevados, classificando o atacante externo como servidor de aplicação interno.
- Com essa classificação indevida, o atacante passa a ser tratado como entidade interna confiável.
- O atacante pode então realizar ações não autorizadas dentro do ambiente da aplicação.
Sou afetado? (aplicabilidade)
- O SAP Gateway está exposto à rede e acessível por atacantes não autenticados.
- A Access Control List padrão do SAP Gateway está ativa com privilégios elevados.
- Não há restrição de rede que impeça o acesso externo ao SAP Gateway.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor para o SAP Gateway.
- Restringir o acesso de rede ao SAP Gateway apenas a origens confiáveis.
- Revisar e ajustar a configuração da Access Control List padrão para evitar privilégios elevados indevidos.
- Monitorar logs do SAP Gateway para detectar requisições não autenticadas que resultem em classificação como servidor de aplicação interno.
Impacto se explorada
Ações não autorizadas dentro do ambiente da aplicação, com alto impacto na confidencialidade, integridade e disponibilidade do sistema afetado.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
O SAP NetWeaver AS ABAP e a ABAP Platform não realizam verificação suficiente das asserções de autenticação recebidas em determinadas configurações. Um atacante não autenticado pode enviar dados especialmente criados para contornar a autenticação e se passar por usuários arbitrários, incluindo contas privilegiadas. A exploração bem-sucedida pode causar um comprometimento total do sistema, com o impacto potencialmente se estendendo a componentes e sistemas conectados além do sistema afetado. Isso resulta em alto impacto na confidencialidade, integridade e disponibilidade da aplicação.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia dados especialmente construídos pela rede ao sistema SAP NetWeaver AS ABAP ou ABAP Platform.
- O sistema não realiza verificação suficiente das asserções de autenticação recebidas em determinadas configurações.
- A falha permite contornar a autenticação e se passar por usuários arbitrários, incluindo contas privilegiadas.
- O comprometimento pode se estender a componentes e sistemas conectados.
Sou afetado? (aplicabilidade)
- O ambiente utiliza SAP NetWeaver AS ABAP ou ABAP Platform.
- A configuração do sistema permite a recepção de asserções de autenticação de fontes não confiáveis ou sem verificação adequada.
- O serviço está exposto à rede, permitindo que um atacante não autenticado envie dados.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor.
- Restringir o acesso de rede ao serviço SAP NetWeaver AS ABAP/ABAP Platform.
- Revisar e endurecer as configurações de verificação de asserções de autenticação.
- Segmentar a rede para limitar o impacto em componentes e sistemas conectados.
Impacto se explorada
Contorno de autenticação com personificação de usuários arbitrários, incluindo contas privilegiadas, levando a comprometimento total do sistema e possível propagação a componentes e sistemas conectados, com alto impacto na confidencialidade, integridade e disponibilidade.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
** NÃO SUPORTADO QUANDO ATRIBUÍDO ** A desserialização de uma falha SOAP de entrada no Apache Axis 1.x permite a instanciação remota de classes sem autenticação. Quando um <Fault> SOAP carrega um elemento <detail><exceptionName>, o Axis carrega a classe nomeada e, se um elemento <data> do tipo String também estiver presente, a instancia por meio de seu construtor String antes de verificar se é um AxisFault. Apenas o carregamento já executa o inicializador estático da classe. Com uma classe adequada no classpath da aplicação, isso leva à execução remota de código. A falha é analisada enquanto o mecanismo resolve o serviço de destino, antes que qualquer cadeia de manipuladores por serviço seja executada, portanto, os manipuladores de autenticação configurados em um serviço não protegem contra isso. Isso afeta todas as versões do Apache Axis 1.x até a 1.4. Como o Axis 1 chegou ao fim de vida (EOL), recomendamos que você migre para um mecanismo SOAP diferente, como o Apache Axis 2/Java. Alternativamente, você pode usar uma compilação do Axis com o patch de https://github.com/apache/axis-axis1-java/commit/41f3b4e8d04e310ca81f86b92630ab2c11d608bd aplicado. O projeto Apache Axis não espera criar uma versão do Axis 1.x que corrija esse problema.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição SOAP ao serviço Apache Axis 1.x, sem autenticação.
- A mensagem contém um elemento SOAP <Fault> com <detail><exceptionName> apontando para uma classe presente no classpath da aplicação.
- O Axis carrega a classe nomeada; se houver também um elemento <data> do tipo String, instancia a classe pelo construtor que recebe String, antes de verificar se é um AxisFault.
- O simples carregamento executa o inicializador estático da classe, e a instanciação pelo construtor String também é acionada.
- Com uma classe adequada no classpath, isso leva à execução remota de código; a falha é processada antes da cadeia de handlers por serviço, então autenticação configurada no serviço não protege.
Sou afetado? (aplicabilidade)
- Está em uso Apache Axis 1.x em qualquer versão até 1.4.
- O serviço SOAP Axis está exposto à rede e acessível pelo atacante.
- O classpath da aplicação contém uma classe adequada que, ao ser carregada ou instanciada por um construtor String, permite execução de código.
- Handlers de autenticação estão configurados no serviço, mas não protegem porque a falha é processada antes da cadeia de handlers.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 41f3b4e8d04e310ca81f86b92630ab2c11d608bd
- Migrar para outro motor SOAP, como Apache Axis 2/Java, ou aplicar a correção do fornecedor (patch do commit 41f3b4e8d04e310ca81f86b92630ab2c11d608bd) em uma build do Axis.
- Restringir o acesso de rede ao serviço SOAP Axis apenas a clientes confiáveis.
- Revisar o classpath da aplicação para remover classes que possam ser abusadas via carregamento ou instanciação por construtor String.
Impacto se explorada
Execução remota de código não autenticada no servidor que hospeda o Apache Axis 1.x, com perda de confidencialidade, integridade e disponibilidade do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Validação de entrada insuficiente no NetScaler ADC e NetScaler Gateway levando a leitura excessiva de memória se o NetScaler ADC ou NetScaler Gateway estiver configurado como um IDP SAML.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição de rede ao NetScaler ADC ou NetScaler Gateway configurado como SAML IDP.
- A entrada não é validada de forma suficiente, levando a uma leitura além dos limites da memória (memory overread).
- O sistema processa a requisição e pode expor dados ou sofrer falha, dependendo do conteúdo da memória adjacente.
Sou afetado? (aplicabilidade)
- O NetScaler ADC ou NetScaler Gateway está configurado como SAML IDP.
- A versão em uso é anterior à correção (72.61, 63.18 ou 37.272, conforme o ramo).
- O serviço SAML IDP está acessível pela rede.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 72.61; 63.18; 37.272
- Atualizar para a versão corrigida: 72.61, 63.18 ou 37.272.
- Restringir o acesso de rede ao serviço SAML IDP apenas a origens confiáveis.
- Monitorar tentativas de exploração e falhas no serviço SAML IDP.
Impacto se explorada
Leitura além dos limites da memória (memory overread) pode expor dados sensíveis e causar indisponibilidade do serviço SAML IDP.
Confidencialidade: altoIntegridade: baixoDisponibilidade: alto
Relatos da comunidade (não verificados): exploração 2 · PoC 8
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de execução concorrente usando recurso compartilhado com sincronização inadequada no mod_http2 do Apache HTTP Server em assign_headers() pode levar a RCE. Este problema afeta o Apache HTTP Server: da versão 2.4.55 até a 2.4.70. Versões afetadas do mod_h2 do GitHub: da 2.0.8 até a 2.0.42.
Exige: acesso pela rede, condições do alvo · Não exige: autenticação, interação do usuário
Como é explorado
Metodologia de exploração
- O atacante envia requisições HTTP remotas ao Apache HTTP Server com mod_http2 habilitado.
- As requisições acionam a função assign_headers() do mod_http2, que manipula um recurso compartilhado sem sincronização adequada.
- A condição de corrida (CWE-362) é explorada para obter execução remota de código.
Sou afetado? (aplicabilidade)
- Apache HTTP Server está em uso nas versões 2.4.55 até 2.4.70.
- O módulo mod_http2 está habilitado e acessível pela rede.
- A versão do mod_h2 (GitHub) está entre 2.0.8 e 2.0.42.
- O atacante consegue enviar requisições HTTP ao servidor sem autenticação prévia.
- A exploração depende de condições de concorrência no alvo, fora do controle do atacante (AC:H).
Não exige: autenticação, interação do usuário.
Mitigação e detecção
- Aplicar a correção do fornecedor (versão corrigida não informada no registro CVE).
- Desabilitar o módulo mod_http2 se não for necessário.
- Restringir o acesso de rede ao serviço HTTP apenas a origens confiáveis.
- Monitorar tentativas de exploração por meio de logs de requisições HTTP anômalas ao mod_http2.
Impacto se explorada
Execução remota de código no servidor Apache HTTP Server, permitindo controle total do serviço e comprometimento da confidencialidade, integridade e disponibilidade.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Relatos da comunidade (não verificados): PoC 16
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Restrição inadequada de referência a entidade externa XML no N-able N-central permite Envenenamento de Esquema XML. Este problema afeta o N-central: antes de 26.4.1.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição pela rede a um endpoint do N-central que processa XML.
- O XML inclui uma referência a uma entidade externa maliciosa.
- O sistema não restringe adequadamente a resolução de entidades externas (CWE-611), permitindo o envenenamento do esquema XML.
- Como resultado, o atacante pode obter leitura de dados sensíveis e alteração de informações processadas pelo serviço.
Sou afetado? (aplicabilidade)
- O N-central está em uso em versão anterior à 26.4.1.
- O serviço N-central está exposto à rede (acessível remotamente).
- O endpoint que processa XML está acessível sem autenticação prévia.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 26.4.1
- Atualizar o N-central para a versão 26.4.1 ou superior.
- Restringir o acesso de rede aos endpoints que processam XML, permitindo apenas origens confiáveis.
- Monitorar tentativas de envio de XML com referências a entidades externas.
Impacto se explorada
Leitura de dados sensíveis e alteração de informações processadas pelo N-central, com potencial impacto na confidencialidade e integridade do serviço.
Confidencialidade: altoIntegridade: altoDisponibilidade: baixo
Relatos da comunidade (não verificados): exploração 1
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de Server-Side Request Forgery (SSRF) no N-able N-central permite Server-Side Request Forgery. Este problema afeta o N-central: antes de 26.4.1.
Exige: acesso pela rede · Não exige: autenticação, interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante envia uma requisição pela rede a um endpoint do N-central que aceita parâmetros de URL ou destino.
- O sistema não valida adequadamente o destino informado e realiza a requisição em nome do atacante.
- A requisição é direcionada a um recurso interno ou externo não previsto, permitindo acesso a serviços internos ou realização de ações em nome do servidor.
Sou afetado? (aplicabilidade)
- O N-central está em uso em versão anterior à 26.4.1.
- O serviço N-central está exposto à rede e acessível pelo atacante.
- O endpoint vulnerável que aceita parâmetros de destino está acessível sem autenticação prévia.
Não exige: autenticação, interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 26.4.1
- Atualizar o N-central para a versão 26.4.1 ou superior.
- Restringir o acesso de rede ao serviço N-central apenas a origens confiáveis.
- Segmentar a rede para limitar o alcance do servidor N-central a serviços internos sensíveis.
Impacto se explorada
Requisições forjadas a partir do servidor N-central podem alcançar serviços internos não expostos, comprometendo a confidencialidade e a integridade desses sistemas.
Confidencialidade: altoIntegridade: altoDisponibilidade: baixo
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Neutralização inadequada de entrada durante a geração de página web ('cross-site scripting') no N-able N-central permite injeção de recursos. Este problema afeta o N-central: antes de 26.4.1.
Exige: acesso pela rede, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, com acesso à rede, envia uma requisição ao N-central explorando a geração de páginas web sem neutralização adequada de entrada.
- A entrada maliciosa é processada e refletida ou armazenada na página gerada, caracterizando cross-site scripting (CWE-79).
- O navegador de um usuário legítimo executa o script injetado no contexto da aplicação.
- O atacante pode realizar ações em nome da vítima ou obter dados sensíveis, conforme o vetor CVSS indica impacto alto em confidencialidade e integridade.
Sou afetado? (aplicabilidade)
- O N-central está em uso em versão anterior à 26.4.1.
- O atacante possui credenciais válidas com privilégios (PR:L) para acessar a interface web do N-central.
- A interface web do N-central está exposta à rede (AV:N).
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 26.4.1
- Atualizar o N-central para a versão 26.4.1 ou superior.
- Restringir o acesso de rede à interface web do N-central a redes confiáveis.
- Monitorar logs de acesso e requisições em busca de tentativas de injeção de script.
Impacto se explorada
Execução de script no navegador da vítima no contexto do N-central, permitindo roubo de sessão, alteração de dados e ações não autorizadas em nome do usuário.
Confidencialidade: altoIntegridade: altoDisponibilidade: baixo
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de path traversal relativo no N-able N-central permite Path Traversal. Este problema afeta o N-central: antes da versão 26.4.1.
Exige: acesso pela rede, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, com acesso à rede, envia requisições ao serviço N-central.
- O atacante utiliza um caminho relativo manipulado para atravessar diretórios (path traversal).
- O sistema não valida corretamente o caminho, permitindo acesso a arquivos ou diretórios fora do escopo pretendido.
- Isso pode resultar em leitura ou alteração de arquivos, dependendo das permissões do processo.
Sou afetado? (aplicabilidade)
- A versão do N-central em uso é anterior à 26.4.1.
- O serviço N-central está exposto à rede e acessível pelo atacante.
- O atacante possui credenciais válidas com privilégios elevados (PR:H).
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 26.4.1
- Atualizar o N-central para a versão 26.4.1 ou superior.
- Restringir o acesso de rede ao serviço N-central apenas a origens confiáveis.
- Monitorar tentativas de path traversal nos logs do serviço.
Impacto se explorada
Path traversal com impacto alto na confidencialidade e integridade, permitindo acesso não autorizado a arquivos e possível alteração de dados no servidor N-central.
Confidencialidade: altoIntegridade: altoDisponibilidade: baixo
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de atribuição incorreta de privilégios no N-able N-central permite escalonamento de privilégios. Este problema afeta o N-central: anterior à versão 26.4.1.
Exige: acesso pela rede, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante acessa o N-central pela rede.
- Com um privilégio já existente, envia uma requisição que explora a atribuição incorreta de privilégios.
- O sistema concede ao atacante um nível de privilégio superior ao devido.
- O atacante passa a operar com os privilégios elevados, comprometendo confidencialidade e integridade.
Sou afetado? (aplicabilidade)
- Está em uso uma versão do N-central anterior à 26.4.1.
- O atacante possui uma conta autenticada no N-central com algum privilégio (PR:H no vetor).
- O serviço N-central está acessível pela rede ao atacante.
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 26.4.1
- Atualizar o N-central para a versão 26.4.1 ou superior.
- Restringir o acesso de rede ao N-central apenas a origens confiáveis.
- Revisar e limitar as contas autenticadas com privilégios no N-central.
Impacto se explorada
Elevação de privilégios no N-central — o atacante autenticado obtém privilégios superiores, com alto impacto na confidencialidade e integridade do sistema.
Confidencialidade: altoIntegridade: altoDisponibilidade: baixo
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Vulnerabilidade de ausência de autenticação para função crítica no N-able N-central permite escalonamento de privilégios. Este problema afeta o N-central: anterior à versão 2026.4.1.
Exige: acesso local, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante já possui acesso local ao host ou uma sessão no sistema.
- Ele aciona uma função crítica do N-central que não exige autenticação.
- O sistema executa a função sem validar a identidade ou a permissão do solicitante.
- O atacante obtém privilégios elevados no N-central.
Sou afetado? (aplicabilidade)
- O N-central está em uso em versão anterior à 2026.4.1.
- O atacante já possui acesso local ao host ou uma sessão no N-central.
- A função crítica afetada está disponível e acessível a partir dessa sessão local.
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 2026.4.1
- Atualizar o N-central para a versão 2026.4.1 ou superior.
- Restringir o acesso local ao host e as sessões no N-central a usuários e processos estritamente necessários.
- Monitorar e revisar alterações de privilégio no N-central.
Impacto se explorada
Elevação de privilégios no N-central — o atacante com acesso local obtém controle elevado sobre o sistema, comprometendo confidencialidade e integridade.
Confidencialidade: altoIntegridade: altoDisponibilidade: baixo
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Neutralização inadequada de cabeçalhos HTTP para vulnerabilidade de sintaxe de script no N-able N-central permite Cross-Site Scripting (XSS). Este problema afeta o N-central: antes de 26.4.1.
Exige: acesso pela rede, conta com privilégio, ação da vítima · Não exige: condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, com privilégio elevado no N-central, envia uma requisição HTTP contendo cabeçalhos maliciosos para um endpoint da aplicação.
- A aplicação não neutraliza corretamente a sintaxe de script nos cabeçalhos HTTP (CWE-644).
- A vítima, ao interagir com a interface afetada, tem o conteúdo malicioso refletido ou armazenado executado no contexto do navegador.
- O script executa com os privilégios da vítima, permitindo ações em nome dela na sessão do N-central.
Sou afetado? (aplicabilidade)
- A versão do N-central em uso é anterior à 26.4.1.
- O atacante possui conta autenticada com privilégio elevado no N-central (conforme PR:H do vetor CVSS).
- A vítima precisa interagir com a interface afetada (UI:A do vetor CVSS).
- A interface web do N-central está acessível pela rede (AV:N do vetor CVSS).
Não exige: condições especiais do alvo.
Mitigação e detecção
✓ Correção disponível na versão 26.4.1
- Atualizar o N-central para a versão 26.4.1 ou superior.
- Restringir o acesso à interface web do N-central a redes e usuários confiáveis.
- Monitorar requisições HTTP com cabeçalhos anômalos ou tentativas de injeção de script.
Impacto se explorada
Execução de script no navegador da vítima no contexto do N-central, permitindo ações em nome dela e potencial comprometimento da sessão.
Confidencialidade: altoIntegridade: altoDisponibilidade: baixo
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Uma falha foi encontrada no Quay, onde a função de listagem de contas de robô constrói um padrão SQL LIKE a partir de nomes de namespace controlados pelo usuário sem escapar metacaracteres curinga. Um atacante que cria um namespace contendo um caractere de sublinhado pode corresponder e recuperar contas de robô e seus tokens de autenticação descriptografados de namespaces de outros locatários, levando ao roubo de credenciais entre locatários e operações de imagem não autorizadas.
Exige: acesso pela rede, conta com privilégio · Não exige: interação do usuário, condições especiais do alvo
Como é explorado
Metodologia de exploração
- O atacante, autenticado, cria um namespace cujo nome contém o caractere sublinhado (_).
- A função de listagem de robot accounts do Quay monta um padrão SQL LIKE com o nome do namespace controlado pelo usuário, sem escapar os metacaracteres curinga.
- O sublinhado atua como curinga no LIKE, fazendo a consulta corresponder a namespaces de outros tenants.
- O sistema retorna robot accounts e seus tokens de autenticação decriptados pertencentes a outros tenants.
- O atacante usa os tokens obtidos para realizar operações não autorizadas em imagens de outros tenants.
Sou afetado? (aplicabilidade)
- O atacante possui conta autenticada no Quay com permissão para criar namespaces.
- O Quay está exposto à rede e acessível pelo atacante.
- A versão do Quay em uso contém a função de listagem de robot accounts vulnerável (construção de padrão LIKE sem escape).
Não exige: interação do usuário, condições especiais do alvo.
Mitigação e detecção
- Aplicar a correção do fornecedor para o Quay.
- Restringir a criação de namespaces a usuários confiáveis.
- Monitorar a criação de namespaces com nomes contendo sublinhado e a listagem de robot accounts entre tenants.
Impacto se explorada
Roubo de credenciais entre tenants: tokens de autenticação de robot accounts de outros tenants são expostos, permitindo operações não autorizadas em imagens.
Confidencialidade: altoIntegridade: altoDisponibilidade: alto
Atinge também outros componentes além do vulnerável.
Referências e detalhe técnico
Linha “Exige/Não exige” e impacto em confidencialidade, integridade e disponibilidade: vetor CVSS oficial. Metodologia, aplicabilidade e mitigação: resumo automático a partir da descrição do NVD, das fontes de exploração pública (Metasploit, Nuclei, Exploit-DB) e do registro CVE via CIRCL (advisories e versão corrigida), com os links em “Referências e detalhe técnico”. Relatos da comunidade vêm dos sightings do CIRCL e não são verificados.
Zero-days recentes
Pesquisador insatisfeito divulga 0-day do Windows que concede direitos de System a hackers
Um pesquisador divulgou um exploit chamado SignDrop para Windows que permite a usuários locais elevar privilégios até o nível System. A falha foi publicada como zero-day, sem correção disponível no momento da divulgação. O exploit concede controle total do sistema comprometido.
Check Point alerta sobre falha zero-day explorada para obter acesso root
A Check Point Software publicou hotfixes de emergência para corrigir uma falha de alta severidade que vem sendo explorada por atacantes desde o final de outubro. A exploração permite obter privilégios de root e estabelecer persistência em dispositivos vulneráveis. Os correções foram liberadas de forma emergencial, após a falha já estar sendo usada em ataques reais.
Nightmare Eclipse divulga exploit zero-day para Windows chamado ‘SignDrop’
O grupo Nightmare Eclipse divulgou um exploit zero-day para Windows chamado ‘SignDrop’. A falha abusa do CLFS e do Windows Defender para provocar a criação arbitrária de arquivos no contexto do processo antimalware. A divulgação ocorre sem que o texto indique disponibilidade de correção.
Hackers exploram novo zero-day do N-central horas após publicação de PoC
Pesquisadores divulgaram uma nova falha no N-central, produto de gerenciamento remoto da N-able, apelidada de 4EverAble2Shell. A vulnerabilidade permite que atacantes remotos e não autenticados executem código com privilégios de root. Poucas horas após a publicação de uma prova de conceito, agentes maliciosos já exploravam a falha ativamente, antes da disponibilização de correção.
Hackers exploram falhas no N-central para infectar 21 servidores, incluindo 19 executando o Hotfix 2
A N-able informou que está adotando precauções adicionais após a divulgação pública de um novo conjunto de falhas no N-central, rastreadas como 4EverAble2Shell e Agent2Shell. A empresa está restringindo recursos e integrações, o que pode afetar algumas funcionalidades enquanto a remediação é concluída. As falhas foram exploradas para infectar 21 servidores, incluindo 19 que executavam o Hotfix 2.
Zero-day no N-able N-central é explorada e instala mineradores
Atacantes estão explorando uma nova falha zero-day no N-able N-central, apelidada de "4EverAble2Shell", para comprometer servidores e instalar mineradores de criptomoedas. Pesquisadores relatam ao menos 21 sistemas afetados, sendo 19 deles com a atualização de segurança mais recente aplicada. O pesquisador Sean Bales publicou em 12 de novembro dois exploits zero-day, 4EverAble2Shell e Agent2Shell, testados contra a plataforma.
Mais notícias (94)
Novo zero-day "4EverAble2Shell" da N-able é explorado horas após a divulgação de PoC
Pesquisadores identificaram uma nova vulnerabilidade zero-day no N-able N-central, apelidada de "4EverAble2Shell", que está sendo explorada ativamente para comprometer servidores e instalar mineradores de criptomoedas. Ao menos 21 sistemas foram afetados, sendo 19 deles executando a atualização de segurança mais recente da empresa, o que indica que o patch não bloqueia o ataque. A exploração começou poucas horas após a publicação de uma prova de conceito.
Novo exploit zero-day SignDrop transforma recurso de segurança do CLFS do Windows em acesso SYSTEM
Código de exploit público divulgado esta semana afirma que um usuário local do Windows pode obter privilégios SYSTEM por meio do driver Common Log File System (clfs.sys). A prova de conceito, batizada de SignDrop, ataca um recurso de autenticação de logs adicionado ao driver no ano passado. O exploit abusa de como o clfs.sys cria arquivos companheiros quando um processo privilegiado abre um log preparado, usando redirecionamento de caminho para assumir o controle do fluxo.
Novo zero-day do Windows 'SignDrop' concede privilégios SYSTEM a atacantes
O pesquisador de segurança Abdelhamid Naceri (também conhecido como Nightmare Eclipse) divulgou um novo exploit zero-day para Windows que permite a atacantes obter privilégios SYSTEM. A falha, apelidada de SignDrop, foi tornada pública sem que houvesse correção disponível por parte da Microsoft. O exploit pode ser usado para escalar privilégios em sistemas Windows afetados.
Zero-day no FortiMail exige prioridade máxima em correção
Uma vulnerabilidade zero-day no FortiMail, identificada como CVE-2026-104286, está sendo explorada ativamente. A falha entrou no catálogo KEV da CISA em 1º de outubro e é o item mais crítico do lote de correções que a Fortinet liberou em 22 de outubro, segundo relatório da Solustic Tecnologia. O firmware corrigido abrange FortiOS, FortiManager, FortiAnalyzer, FortiMail e FortiAuthenticator, e a recomendação é aplicar as atualizações com prioridade máxima.
N-able lança hotfixes de segurança para vulnerabilidades zero-day
A N-able publicou hotfixes de segurança para corrigir falhas zero-day que afetam sua plataforma de monitoramento e gerenciamento remoto (RMM) N-central. As vulnerabilidades foram divulgadas publicamente durante o fim de semana e forçaram a empresa a tirar do ar ambientes hospedados afetados. Os clientes devem aplicar as correções para mitigar o risco de exploração.
Patch Tuesday da Microsoft corrige falha no Outlook já sob ataque
A Microsoft liberou o Patch Tuesday de novembro de 2026 com correções de segurança, incluindo um ajuste para uma vulnerabilidade no Outlook que já está sendo explorada ativamente. A empresa orienta que as atualizações do Office sejam verificadas separadamente, já que nem sempre seguem o mesmo ciclo do Windows. O caso concreto é a falha no Outlook explorada em ataques reais antes da disponibilização da correção.
Microsoft corrige falhas, incluindo zero-day explorada no Outlook
A Microsoft publicou as atualizações de segurança de novembro de 2026, que corrigem 1.094 vulnerabilidades em seus produtos. Entre elas está uma falha no Outlook, rastreada como CVE-2026-124194, que a empresa afirma ter sido explorada. A vulnerabilidade é classificada como spoofing e decorre do fato de o Outlook não alertar os usuários antes de determinada ação.
Google corrige falha zero-day do Chrome explorada em ataques
O Google publicou atualizações emergenciais de segurança para o Chrome para corrigir a CVE-2026-125350, uma falha zero-day explorada em ataques. A empresa informou ter conhecimento de um exploit em uso ativo. Esta é a oitava falha desse tipo desde o início do ano.
Zero-day do Outlook explorado está entre 1.094 falhas corrigidas pela Microsoft
A Microsoft publicou atualizações de segurança que corrigem 1.094 vulnerabilidades em seus produtos. Entre elas está a CVE-2026-124194, uma falha zero-day no Outlook para a qual a empresa afirma ter conhecimento de exploração ativa. Não havia correção disponível no momento da exploração da falha.
Hackers exploram falha crítica de bypass de autenticação no Xen Orchestra para obter acesso de administrador
A empresa francesa Vates VMS alertou sobre uma vulnerabilidade crítica de bypass de autenticação no Xen Orchestra que, segundo ela, está sendo explorada ativamente no mundo real. A falha ainda não possui identificador CVE e é rastreada como VSA-2026-062. De acordo com o alerta, o parsing de cookies REST transforma authenticationToken=j:%7B%7D em {}, e a autenticação REST repassa esse objeto adiante, permitindo burlar o login e obter acesso administrativo à plataforma de gestão de virtualização.
Atualize o Chrome agora para corrigir falha que atacantes estão explorando
O Google liberou atualizações do navegador Chrome para desktop e Android com o objetivo de corrigir uma vulnerabilidade zero-day. A falha já está sendo explorada ativamente em ataques no mundo real. Usuários devem atualizar o quanto antes para aplicar a correção.
Binance alerta sobre escape de sandbox no iOS que pode expor chaves de carteiras cripto; nenhuma correção confirmada
Um escape de sandbox no iOS publicado no GitHub permite que um aplicativo leia arquivos de outros apps em iPhones com iOS 26 e iOS 27. Segundo a Binance, isso coloca frases-semente, chaves privadas e credenciais de login em risco de exposição a aplicativos maliciosos. As atualizações da Apple para iOS 26 e iOS 27, lançadas ontem, não mencionam correção para a falha. A técnica, chamada worse_query, foi divulgada no domingo por um pesquisador conhecido como forcequit.
Google corrige oitavo zero-day do Chrome explorado em ataques neste ano
O Google lançou atualizações de segurança emergenciais para corrigir uma nova vulnerabilidade no Chrome que foi explorada em ataques de zero-day. Esta é a oitava falha desse tipo corrigida no navegador desde o início do ano. A empresa não divulgou detalhes técnicos nem o CVE da falha na nota inicial.
Google lança atualização de segurança do Chrome para o oitavo zero-day explorado ativamente em 2026
O Google publicou uma atualização de segurança do Chrome que corrige nove vulnerabilidades, entre elas uma falha de alta severidade explorada ativamente no mundo real. A falha foi registrada como CVE-2026-125350 e é descrita como um use-after-free no componente de XML. Segundo a empresa, trata-se do oitavo zero-day do navegador explorado ativamente em 2026. A atualização já está disponível para os usuários do Chrome.
Atualização do Chrome corrige zero-day no componente XML explorado em ataques, o oitavo este ano
O Google liberou uma atualização para o Chrome que corrige uma falha de use-after-free de alta severidade no componente XML do navegador. O problema foi reportado de forma anônima em 6 de novembro e já estava sendo explorado em ataques antes da correção. Este é o oitavo zero-day do Chrome corrigido em 2024, segundo a SecurityWeek.
Microsoft corrige falha de RCE no Windows Paint após semanas de confusão
A Microsoft corrigiu uma vulnerabilidade de execução remota de código (RCE) no Microsoft Paint. A falha foi divulgada no mês anterior, mas a comunicação sobre a existência de um patch era confusa. A correção foi liberada após semanas de incerteza sobre o problema.
Hackers exploram falha 'SSHole' do OpenSSH para invadir sistemas Linux
Atacantes estão explorando ativamente a vulnerabilidade apelidada de "SSHole" (CVE-2026-123158) no OpenSSH, componente central de acesso remoto em sistemas Linux. A falha permite a execução de comandos nos servidores afetados, o roubo de credenciais e a criação de mecanismos de acesso persistente. A exploração já está em curso contra sistemas Linux expostos, segundo o relato.
Falha no Web3Auth é explorada para roubar criptomoedas da Keplr; provedor esvazia outras carteiras por segurança
Algumas pessoas que criaram uma carteira de criptomoedas Keplr usando login do Google ou da Apple tiveram fundos roubados por um atacante. A Keplr utiliza a empresa Web3Auth para viabilizar esse login social, e o atacante usou uma falha de segurança na Web3Auth para alcançar as carteiras, segundo as duas empresas. Em seguida, a própria Web3Auth utilizou a mesma rota do atacante para esvaziar outras carteiras em risco antes que o criminoso o fizesse.
Falha explorada no SSL-VPN da SonicWall permite que atacantes contornem MFA imposto por SAML (CVE-2026-19868)
A SonicWall corrigiu uma vulnerabilidade explorada no serviço SSL-VPN do SonicOS (CVE-2026-19868) que pode permitir a atacantes com credenciais válidas contornar a autenticação multifator (MFA) imposta via SAML. A falha é uma falha de aplicação de autenticação e só é explorável se SAML estiver habilitado para logins SSL-VPN. Não há workarounds listados, e a empresa recomendou que administradores apliquem o patch rapidamente.
LNbits pede que todos os operadores desliguem seus servidores de carteira Bitcoin Lightning em meio a ataques
O projeto LNbits, sistema open-source de carteira Bitcoin Lightning, recomendou que todos os operadores desliguem seus servidores imediatamente devido a uma onda de ataques. O projeto informou que ainda vai lançar várias correções de segurança e pediu cautela até que elas estejam disponíveis. Um operador relatou que novas contas usaram uma exploração para sacar 2.285.545 satoshis, cerca de 0,023 bitcoin, de seu servidor antes que pudesse agir.
SonicWall corrige bypass de MFA explorado no SSL-VPN
A SonicWall publicou atualizações de segurança para corrigir sete vulnerabilidades nos firewalls SonicOS. Entre elas está uma falha de bypass de autenticação no SSL-VPN que já vinha sendo explorada em ataques. Rastreada como CVE-2026-19868, a falha permite que atacantes com credenciais válidas para um método de autenticação alternativo contornem os controles de autenticação SAML, incluindo potencialmente o MFA exigido via SAML.
Falha de autenticação no OpenSSH afeta sistemas Linux
Uma vulnerabilidade de bypass de autenticação no OpenSSH, presente há cerca de uma década em sistemas Linux que usam a biblioteca musl, permite que atacantes acessem contas apenas digitando qualquer senha com mais de 256 caracteres. A falha, apelidada de "*sshole", foi registrada como CVE-2026-123158 e detalhada pelo pesquisador Özgün Kültekin. O problema afeta a validação de credenciais no serviço de acesso remoto e expõe servidores Linux que utilizam musl em vez da glibc.
SonicWall corrige vulnerabilidade explorada no SonicOS que enfraquece logins VPN
A SonicWall lançou correções para a vulnerabilidade CVE-2026-19868 no SonicOS, que foi explorada e afeta logins VPN. A falha permite que atacantes com credenciais de outro método de autenticação contornem verificações SAML, incluindo o MFA exigido por SAML. A empresa orienta a aplicação do patch para mitigar o risco.
Hackers exploram falha SSHole do OpenSSH horas após divulgação e obtêm root em honeypot
Atacantes começaram a explorar, poucas horas após a divulgação, uma falha de segurança no OpenSSH que permite o acesso a contas sem senha definida, segundo a Previdian. A vulnerabilidade, rastreada como CVE-2026-123158 (CVSS 8.1) e apelidada de SSHole, afeta sistemas Linux que executam OpenSSH sobre a biblioteca C musl com Pluggable Authentication Modules (PAM) desabilitado. Em um honeypot, os pesquisadores observaram a exploração resultar na obtenção de privilégios de root.
Zyxel corrige falha explorada em switches GS1900 globalmente
A Zyxel publicou uma atualização de segurança para corrigir uma vulnerabilidade que comprometeu cerca de mil switches da linha GS1900 em todo o mundo. A falha, identificada como CVE-2026-107441, permite que um atacante não autenticado execute comandos no sistema ao enviar uma requisição HTTP especialmente construída à interface web do equipamento. A empresa de cibersegurança Binarly está associada à análise da falha.
Falha no OpenSSH permite que atacantes entrem em contas Linux com senha desativada
Uma vulnerabilidade recém-divulgada no OpenSSH, apelidada de "*sshole", permite que atacantes façam login em determinadas contas de Linux baseadas em musl, como as do Alpine Linux, que estão configuradas para bloquear autenticação por senha. O bypass é obtido simplesmente enviando uma senha de tamanho excessivo durante a tentativa de autenticação. A falha contorna a configuração que desabilita o login por senha, expondo contas que deveriam estar inacessíveis por esse método.
Anthropic não vai corrigir falha no Claude Dispatch que pode permitir a atacantes executar comandos remotos cruzando fronteiras corporativas
A Anthropic afirmou que não pretende corrigir uma falha no Claude Dispatch, recurso do Claude voltado ao ambiente corporativo. Segundo a pesquisa, a exploração vai de uma escalada de privilégios (EOP) até a execução remota de comandos (RCE) em seis passos simples. O problema poderia permitir que atacantes executassem comandos remotos atravessando limites entre organizações. A divulgação ocorreu sem que houvesse correção disponível, já que o fornecedor optou por não corrigir.
Switches Zyxel GS1900 corrigidos continuaram expostos a exploit usado em ataques reais (CVE-2026-107441)
A Zyxel publicou em junho de 2026 um aviso sobre a CVE-2026-7273, um estouro de buffer baseado em pilha no programa CGI dos switches GS1900, e liberou a correção. A Binarly descobriu, no entanto, que o exploit usado em ataques reais depende de outra falha, a CVE-2026-107441, que permanece sem correção. Com isso, os equipamentos que aplicaram o patch continuam vulneráveis à exploração.
Ataques a switches Zyxel atribuídos a falha corrigida na verdade exploraram um zero-day
InvASÕES a switches Zyxel, inicialmente atribuídas à exploração de uma falha já corrigida, na verdade exploraram um zero-day identificado como CVE-2026-107441. A vulnerabilidade é uma gravação fora dos limites (out-of-bounds write) que pode permitir a execução de comandos do sistema operacional por meio de requisições HTTP especialmente crafted. O caso mostra que os ataques ocorreram antes da disponibilização de correção para a falha real.
Correção do Zyxel GS1900 falha em bloquear exploit zero-day que permite execução de comandos como root
Pesquisadores da Binarly descobriram que switches Zyxel GS1900 que já haviam recebido a correção anterior do fabricante continuam vulneráveis ao exploit usado por atacantes. A falha permite que qualquer pessoa capaz de acessar a interface web de gerenciamento do switch execute comandos no dispositivo sem fazer login, obtendo privilégios de root. A Zyxel publicou um novo firmware para 10 modelos GS1900 que elimina a brecha, já que o patch anterior (versão 2.90) se mostrou incompleto.
Zyxel corrige zero-day explorado para invadir quase 1.000 switches de rede
A Zyxel lançou correção para uma vulnerabilidade zero-day nos switches de rede da série GS1900. A falha foi explorada por atacantes para comprometer quase 1.000 dispositivos em todo o mundo. Nas invasões, os criminosos roubaram arquivos de configuração e credenciais dos equipamentos afetados.
SonicWall não vai corrigir falhas no GMS em fim de vida que podem expor arquivos e alterar registros do banco de dados
A SonicWall alertou sobre duas vulnerabilidades que afetam sistemas Global Management System (GMS) em fim de vida e afirmou que não pretende corrigi-las. As falhas atingem o GMS 9.5.2 e versões anteriores. A CVE-2026-109593, com CVSS 9.1, é uma leitura de arquivos não autenticada que pode permitir a um atacante com acesso à rede ler arquivos internos do GMS; a outra falha pode alterar registros do banco de dados.
Bootkit UEFI infectou máquinas Windows totalmente corrigidas. A Microsoft é culpada?
Pesquisadores relataram que o bootkit UEFI BlackX infectou máquinas Windows com todas as atualizações instaladas, contornando o Secure Boot. O malware explora a falta de clareza da Microsoft sobre a revogação de bootloaders vulneráveis, mantendo sistemas atualizados expostos. A falha associada é a CVE-2022-21894, e a exploração foi observada enquanto a mitigação contra o bootloader vulnerável ainda não estava disponível.
Atacantes miram falha não corrigida no plugin CryptoPayment Gateway que pode expor credenciais de carteiras
Pesquisadores da Defused Cyber identificaram tentativas de exploração de uma vulnerabilidade de severidade máxima no plugin de WordPress CryptoPayment Gateway. A falha, catalogada como CVE-2026-81648, tem CVSS 10,0 e segue sem correção disponível. A exploração bem-sucedida pode permitir que usuários não autenticados apaguem arquivos arbitrários no servidor e extraiam credenciais de carteiras.
QNAP lança correções para PHP2Shell em sistemas NAS
A QNAP publicou atualizações de segurança para corrigir as falhas PHP2Shell em seus sistemas NAS e orientou os usuários a instalar imediatamente. A empresa já havia solicitado que os clientes mantivessem os dispositivos offline enquanto aguardavam a atualização. Os sistemas operacionais afetados são QTS e QuTS hero, que utilizam PHP.
Ivanti corrige duas zero-days no Connect Secure sob ataque
A Ivanti publicou atualizações de segurança para corrigir duas novas falhas no gateway de acesso remoto Connect Secure (ICS), exploradas em ataques zero-day encadeados desde pelo menos 1º de outubro. Os agentes de ameaça combinaram os dois problemas, catalogados como CVE-2026-111357 e CVE-2026-118527, com uma vulnerabilidade de bypass de autenticação (CVE-2026-104935) já corrigida anteriormente. A correção das duas novas falhas só foi disponibilizada agora, após a exploração em curso.
Ivanti corrige mais dois zero-days explorados em cadeia de ataques ao Connect Secure
A Ivanti publicou correções para duas novas falhas de segurança no Connect Secure, seu appliance de VPN, que foram encadeadas em ataques de zero-day. A CISA adicionou as vulnerabilidades CVE-2026-111357 e CVE-2026-118527 ao seu catálogo KEV de falhas exploradas ativamente. Os ataques combinavam as duas falhas para comprometer dispositivos VPN corporativos.
Falha "SMS of Death" derruba celulares Android sem clique
Uma vulnerabilidade grave no Android, apelidada de "SMS of Death", permite que um atacante derrube o sinal e as ligações de um celular apenas conhecendo o número de telefone da vítima, sem qualquer interação do usuário. A falha foi divulgada em 29 de outubro de 2026 e catalogada como CVE-2026-58882, afetando o sistema de telefonia do Android. O impacto inclui a interrupção de serviços de voz e conectividade móvel do dispositivo.
Cisco emite correção emergencial para DoS em VPN de firewalls
A Cisco publicou uma correção emergencial para uma vulnerabilidade no serviço SSL VPN dos firewalls ASA e FTD, explorada em ataques de negação de serviço. A empresa voltou a alertar organizações sobre esse tipo de ataque, que já havia atingido o mesmo serviço em agosto. O texto não detalha versões afetadas nem identificadores CVE.
Cisco corrige zero-day explorado para derrubar firewalls
A Cisco publicou atualizações de segurança para corrigir uma falha de negação de serviço no software Adaptive Security Appliance (ASA) e Threat Defense (FTD). Rastreada como CVE-2026-76418, a vulnerabilidade é de severidade alta e está sendo explorada ativamente por atacantes para derrubar remotamente dispositivos de firewall vulneráveis. O problema afeta equipamentos que executam ASA e FTD em determinadas configurações.
Novo zero-day em firewall Cisco é explorado para derrubar dispositivos SSL VPN
A Cisco publicou atualizações de segurança para corrigir uma falha zero-day de negação de serviço no software Adaptive Security Appliance (ASA) e Threat Defense (FTD). A vulnerabilidade vinha sendo explorada por atacantes para derrubar remotamente dispositivos de firewall vulneráveis. O problema afeta o componente de SSL VPN desses equipamentos.
Tem um iPhone ou iPad mais antigo? A Apple tem uma atualização de segurança para você
A Apple liberou uma atualização de segurança retroativa (backport) para corrigir uma falha no CoreGraphics que, segundo relatos, foi explorada em ataques direcionados. O patch contempla modelos mais antigos que não recebem as versões mais recentes do sistema: iPhone XS, iPhone XS Max, iPhone XR e o iPad de sétima geração. A correção foi originalmente aplicada em versões mais novas do iOS/iPadOS e agora chega aos dispositivos legados. Usuários desses aparelhos devem instalar a atualização o quanto antes.
Cisco corrige falha em VPN do ASA e FTD explorada ativamente que pode derrubar firewalls
A Cisco lançou correções para uma falha de alta severidade no software Secure Firewall Adaptive Security Appliance (ASA) e no Secure Firewall Threat Defense (FTD), que, segundo a empresa, foi explorada ativamente no mundo real. A vulnerabilidade, rastreada como CVE-2026-76418, tem pontuação 8.6 no sistema CVSS. A exploração bem-sucedida permite que um atacante remoto não autenticado cause a queda (crash) dos firewalls afetados, interrompendo serviços de VPN.
Exploração de zero-day no Cisco SD-WAN é vinculada à rede 'Silent Train' do Volt Typhoon
A Cisco Talos vinculou um malware que rouba chaves de SD-WAN a uma infraestrutura que se sobrepõe à rede 'Silent Train' do Volt Typhoon, detalhada pela Lumen. A notícia trata da exploração de uma falha zero-day no Cisco SD-WAN. O caso envolve um ator de ameaça associado à referida infraestrutura.
Atacantes exploram segundo zero-day de VPN de firewall Cisco desde agosto
Atacantes estão explorando uma falha no serviço Remote Access SSL VPN que permite a atacantes não autenticados forçar remotamente firewalls Cisco ASA e FTD a recarregar. É o segundo zero-day de VPN de firewall Cisco explorado desde agosto.
Hackers chineses usaram silenciosamente falha de baixa severidade no logging do ESXi como zero-day
Hackers chineses exploraram a CVE-2026-41709, uma falha de baixa severidade no registro de logs do VMware ESXi, como zero-day. A vulnerabilidade permite que atacantes com privilégios administrativos realizem operações sem que elas sejam registradas. O uso ocorreu de forma silenciosa, dificultando a detecção.
Hackers ligados à China exploraram zero-day no VMware ESX para reduzir a visibilidade da trilha de auditoria
A CISA adicionou ao catálogo KEV uma falha que afeta o Broadcom VMware ESX, após a CrowdStrike revelar que o ator de ameaça ligado à China conhecido como Warp Panda a explorou em ataques contra o setor jurídico dos Estados Unidos. A vulnerabilidade é identificada como CVE-2026-41709 e foi usada para diminuir a visibilidade das trilhas de auditoria nos ambientes comprometidos. A exploração ocorreu antes da disponibilidade de correção, caracterizando um zero-day.
Zero-day do Oracle PeopleSoft explorado pelo ShinyHunters na verdade são três falhas encadeadas
Pesquisadores que reportaram a falha afirmam que o bug crítico do Oracle PeopleSoft explorado pelo grupo ShinyHunters desde maio não é uma única vulnerabilidade, mas três falhas encadeadas. A Oracle corrigiu as três em junho sob o identificador único CVE-2026-35273. A raiz é uma SSRF que alcança uma interface interna de gerenciamento porque o PeopleSoft confia em seu próprio endereço de loopback.
Tailscale corre para lançar patches após divulgação não coordenada das falhas 'Tailworm'
A Tailscale está preparando correções para falhas no Tailscale SSH cujos detalhes vieram a público durante o fim de semana, antes que qualquer patch estivesse disponível. A divulgação foi feita de forma não coordenada com o fornecedor, expondo os problemas sem que houvesse correção liberada. A empresa corre para publicar as atualizações e reduzir a exposição dos usuários do recurso de acesso SSH.
iOS e macOS 27.2 corrigem 286 falhas; correção de vulnerabilidade explorada é retroportada para o iOS 18
A Apple lançou atualizações iOS e macOS 27.2 que corrigem 286 vulnerabilidades nos seus sistemas. Entre as correções está o reparo para uma falha zero-day no CoreGraphics que vinha sendo explorada ativamente. O patch dessa falha explorada também foi retroportado para iPhones mais antigos que rodam iOS 18.
Apple aplica patches de zero-day no CoreGraphics a iPhones mais antigos
A Apple retrocompatibilizou para iPhones e iPads mais antigos as correções de segurança lançadas no mês passado. As atualizações corrigem uma falha zero-day no componente CoreGraphics do iOS, explorada em ataques direcionados descritos como 'extremamente sofisticados'. O problema afetava dispositivos iOS e exigiu correção emergencial antes de ser estendida a modelos que não recebem mais as versões mais recentes do sistema.
Atualizador extinto do Popcorn Time põe milhões de computadores em risco de tomada de controle
O mecanismo de atualização do Popcorn Time, executado na inicialização do sistema, consultava periodicamente um domínio de atualização para executar qualquer código servido, com privilégios totais. Como o projeto está descontinuado e o domínio não é mais controlado, um invasor poderia assumir esse domínio e distribuir código malicioso para milhões de usuários. A falha expõe os dispositivos a tomada de controle remoto.
Microsoft lança correções de segurança emergenciais para o .NET devido a falha no Brotli do Google
A Microsoft publicou atualizações de segurança emergenciais para o .NET para corrigir uma falha na biblioteca de compressão Brotli, mantida pelo Google. A empresa se junta a uma lista crescente de mantenedores de software que correm para aplicar patches no componente de compressão afetado. As correções foram liberadas fora do ciclo habitual de atualizações, em caráter de urgência.
Vulnerabilidade crítica 'HTTP2Shell' no Brotli dispara patches de emergência
Uma falha crítica apelidada de 'HTTP2Shell' foi identificada no Brotli, a biblioteca de decodificação em C embutida no Node.js. A exploração pode permitir que atacantes corrompam a memória e acessem dados sensíveis. A divulgação da falha levou fornecedores a liberar atualizações de emergência; não há menção no texto a exploração ativa já observada.
Atualizador esquecido do Popcorn Time deixou milhões de dispositivos expostos a sequestro
O processo de atualização do Popcorn Time, aplicativo de streaming abandonado, permite que atacantes distribuam atualizações maliciosas e assumam o controle de computadores. A falha afeta milhões de dispositivos que ainda mantêm o software instalado. Como o projeto foi descontinuado, não há correção disponível, e usuários que já usaram o app devem verificar e remover o programa.
Falhas não corrigidas no Tailscale SSH podem permitir que um dispositivo comprometido obtenha root em outros servidores
Um pesquisador de segurança publicou esta semana achados sobre falhas não corrigidas no Tailscale SSH. Segundo a análise, um único dispositivo comprometido em uma rede Tailscale pode ser usado para obter acesso root a outros servidores alcançáveis. O ataque exige que o Tailscale SSH esteja configurado para permitir encaminhamento de portas e que o atacante já controle um dispositivo autorizado pelas regras de acesso a se conectar ao alvo.
Falha no decodificador Brotli por trás de RCE no Node.js também afeta Bun, Python e outros softwares amplamente usados
Uma falha de corrupção de memória no decodificador Brotli do Google está presente em diversos programas que descomprimem dados no formato Brotli, incluindo Bun, os pacotes Python Brotli e brotlicffi e proxies Envoy configurados para descompactar Brotli. Rastreada como CVE-2026-111497, a falha permite que dados comprimidos maliciosos escrevam além do fim de um buffer e corrompam a memória do programa, com potencial de execução remota de código. A vulnerabilidade está associada a um caso de RCE no Node.js e teve seu impacto downstream ampliado para outros softwares que incorporam o decodificador.
PHP divulga mitigações para nova vulnerabilidade de RCE sem correção
A equipe de segurança do PHP publicou medidas de mitigação para uma nova vulnerabilidade de execução remota de código (RCE) no PHP. A falha afeta apenas sistemas com configurações não padrão e ainda não possui patch disponível. Não há relatos na notícia sobre exploração ativa ou atribuição a grupos de ameaça.
URGENTE - PHP alerta sobre outra RCE sem correção dois dias após patches emergenciais do PHP2Shell
O projeto PHP alertou sobre uma nova forma de um atacante executar código em um servidor web, dois dias depois de liberar correções emergenciais para as falhas críticas do PHP2Shell. A nova questão, registrada como CVE-2026-115560, afeta apenas aplicações web configuradas de maneira incomum, e o projeto a considera um risco improvável. Não haverá correção emergencial; a recomendação é desativar um recurso específico de configuração até que uma solução definitiva seja publicada.
Atacantes exploram terceiro zero-day do VeloCloud Orchestrator em quatro meses
Pesquisadores e respondedores de incidentes identificaram a exploração ativa de uma terceira falha zero-day no VeloCloud Orchestrator em um intervalo de quatro meses. A vulnerabilidade é uma injeção de SQL de severidade crítica que permite aos atacantes acessar funcionalidades internas privilegiadas e obter privilégios de operador. Os ataques atingiram a plataforma de orquestração de rede SD-WAN antes da disponibilização de correção.
Tentativas de exploração do PHP2Shell atingem milhões enquanto atacantes tentam implantar o malware Mirai
Pesquisadores observaram agentes de ameaça tentando, sem sucesso, explorar as recém-divulgadas vulnerabilidades PHP2Shell para incorporar sistemas infectados a uma variante do botnet Mirai chamada Potassium. Os ataques miram as falhas CVE-2026-109618 e CVE-2026-109619, ambas com CVSS 9.2, que podem permitir execução remota de código sem autenticação. Segundo o levantamento, armar exploits para essas falhas pode ser mais difícil do que se imaginava, o que explica o fracasso das investidas até agora.
Arista corrige zero-day no VeloCloud explorado em ataques
A Arista Networks publicou atualizações de segurança para corrigir uma vulnerabilidade zero-day explorada ativamente que afeta implantações on-premises do VeloCloud Orchestrator (VCO). O VCO é um portal de gerenciamento web usado por administradores para configurar, monitorar e gerenciar redes SD-WAN VeloCloud e os dispositivos de borda associados. A falha foi explorada antes da disponibilização da correção, agora liberada pelo fabricante.
Arista alerta sobre zero-day crítico de injeção SQL no VeloCloud explorado em ataques
A Arista emitiu um aviso em 22 de outubro sobre a exploração ativa de uma falha zero-day de injeção SQL no VeloCloud Orchestrator (VCO), o sistema central de gerenciamento das redes VeloCloud SD-WAN. A vulnerabilidade permite que qualquer pessoa capaz de autenticar no orquestrador, inclusive com uma conta de cliente somente leitura, obtenha privilégios de operador, o nível máximo de controle sobre o sistema. A falha foi explorada antes da disponibilidade de correção.
eMudhra vai sair do negócio global de SSL/TLS após 8 chaves de CA intermediária serem consideradas facilmente adivinháveis
A eMudhra, autoridade certificadora indiana, decidiu nesta quinta-feira se retirar do negócio global de certificados SSL/TLS. A decisão veio cinco dias após um pesquisador relatar a recuperação das chaves privadas de oito certificados de CA intermediária da empresa. A eMudhra afirmou que substituirá os certificados dos clientes afetados por certificados gratuitos de parceiros.
Arista corrige novo zero-day no VeloCloud Orchestrator explorado em ataques
A Arista Networks publicou atualizações de segurança para corrigir uma vulnerabilidade zero-day explorada ativamente que afeta instalações on-premises do VeloCloud Orchestrator (VCO). A falha estava sendo usada em ataques antes da disponibilização da correção. Os clientes que rodam o VCO localmente devem aplicar os patches divulgados.
Duas falhas RCE de CVSS 9,0 no KSMBD do Linux são divulgadas em listas públicas antes das correções no kernel
Duas vulnerabilidades de execução remota de código (RCE) com pontuação CVSS 9,0 afetam o KSMBD, o servidor SMB embutido no kernel Linux, e foram divulgadas publicamente pela Zero Day Initiative da Trend Micro antes de existir correção no kernel mainline. A ZDI-CAN-33774 pode ser acionada antes de qualquer autenticação de rede; já a ZDI-CAN-33549 exige o transporte SMB Direct e uma rede compatível com RDMA. Servidores Linux que expõem o KSMBD ficam, portanto, expostos até a publicação dos patches no kernel.
Hackers tiveram quatro dias de vantagem sobre a vulnerabilidade épica PHP2Shell
Atacantes já estavam sondando a falha PHP2Shell antes de defensores serem informados de que ela existia, segundo a Ars Technica. A janela de quatro dias permitiu que invasores testassem explorações contra servidores PHP antes da divulgação pública e da mobilização por correções. O caso evidencia a defasagem entre a atividade de exploração no mundo real e a comunicação coordenada de vulnerabilidades.
eMudhra encerra negócio de certificados após pesquisadores quebrarem suas chaves privadas em menos de um segundo
Pesquisadores conseguiram quebrar chaves privadas emitidas pela eMudhra em menos de um segundo devido à entropia extremamente fraca; uma das chaves era apenas o número 4. Após a divulgação, a empresa encerrou sua operação de certificados. Não há CVE citado na notícia.
Amazon diz que exploração do PHP2Shell começou 4 dias antes dos patches
Pesquisadores do Amazon Threat Intelligence afirmam que atacantes começaram a explorar as falhas PHP2Shell quatro dias antes da publicação das correções de segurança, ocorrida na quarta-feira. Segundo a análise, a exploração já estava em curso quando ainda não havia patch disponível, caracterizando um cenário de zero-day. O texto destaca a janela entre o início dos ataques e a liberação das atualizações.
Ataques a PHP2Shell se multiplicam enquanto AWS revela que exploração começou antes da divulgação
A Cloudflare registra milhões de tentativas de exploração contra a falha PHP2Shell, enquanto a Amazon (AWS) identificou atores tentando explorar a vulnerabilidade quatro dias antes de os patches serem publicados. O caso evidencia exploração em massa de uma falha que ainda não tinha correção disponível no momento em que foi atacada. Depois da divulgação e da publicação dos patches, o volume de tentativas seguiu crescendo.
O que a vulnerabilidade PHP2Shell significa para clientes da Fortinet, Cisco e Palo Alto
A Palo Alto Networks confirmou que todas as versões do PAN-OS e do Panorama são afetadas pelo PHP2Shell, um conjunto de duas vulnerabilidades críticas em PHP que permitem execução de código em um servidor web sem autenticação. A Palo Alto ainda não lançou versões corrigidas do PAN-OS. Fortinet e Cisco publicaram avisos próprios, mas nenhuma das duas confirmou até agora um produto vulnerável; a Fortinet analisa 12 produtos e a Cisco 31 produtos e serviços de nuvem.
Exploração do PHP2Shell começou dias antes dos patches
Tentativas iniciais de exploração da falha conhecida como PHP2Shell foram observadas em 17 de outubro, antes da disponibilização das correções. Após a publicação dos patches, a atividade de exploração em massa cresceu rapidamente. O caso indica que a vulnerabilidade foi explorada enquanto ainda não havia atualização disponível, com o volume de ataques aumentando depois da divulgação das correções.
PHP culpa a empresa de segurança de cadeia de suprimentos Chainguard por colocar toda a web em risco
O projeto PHP responsabilizou a Chainguard, empresa de segurança de cadeia de suprimentos, pela divulgação de uma vulnerabilidade antes da existência de correção, argumentando que a publicação coloca em risco todo o ecossistema web que depende da linguagem. O CEO da Chainguard defendeu a decisão afirmando que a divulgação coordenada só é necessária quando há evidências de exploração ativa no mundo real. O caso expõe o atrito entre pesquisadores e mantenedores sobre prazos e critérios de disclosure responsável.
Vulnerabilidade crítica no PHP (CVE-2026-109618, CVE-2026-109619) [infocon amarelo]
O PHP.net anunciou que publicará uma atualização crítica de segurança nesta quarta-feira (21 de outubro). O SANS Internet Storm Center elevou o status do infoCon para AMARELO diante do uso massivo do PHP, da severidade esperada da falha (CVSS 9.4) e da existência de exploits de prova de conceito circulando antes da disponibilização da correção. Ainda não há patch público no momento do alerta, o que expõe instalações PHP que não puderem aplicar a atualização rapidamente.
PHP alerta que planeja lançar 2 correções de emergência em breve
O projeto PHP avisou que pretende lançar duas correções de emergência de forma iminente. Um relatório não confirmado alega que o exploit PHP2Shell executa código remotamente em sites PHP. A notícia não detalha CVEs nem confirma oficialmente a exploração.
Atacantes exploram falha no Siemens Software Center em campanha ativa de malware ClickFix
A Siemens confirmou a exploração ativa da CVE-2026-110936, uma vulnerabilidade de DLL side-loading no Siemens Software Center, ferramenta usada para baixar, instalar e gerenciar softwares da empresa. O aviso de segurança foi publicado em 15 de outubro de 2026, com pontuação CVSS v4.0 de 8,4, atribuída a Jose Oregon, da Huntress Labs, sem correção disponível naquele momento. Em 17 de outubro a empresa atualizou o comunicado informando que a versão 4.0.9.8 resolve o problema, em meio a alertas sobre a exploração ativa da falha em uma campanha de malware ClickFix.
Falha não corrigida no Wi-Fi da Broadcom permite que atacantes ao alcance executem código como root em roteadores
O pesquisador de segurança Quentin Kaiser divulgou em 16 de outubro uma falha no software de configuração Wi-Fi da Broadcom que permite a um atacante dentro do alcance de rádio executar código como root em roteadores baseados na Broadcom, sem senha de rede ou etapa de pareamento. Ele demonstrou o ataque contra gateways domésticos fornecidos por três provedores belgas de internet, incluindo um caso em que foi possível ler a senha de Wi-Fi do dispositivo. A falha estava sem correção no momento da divulgação.
Falha crítica no BlockStrap permite RCE no Magento
Pesquisadores de segurança alertam para uma vulnerabilidade de gravidade máxima, identificada como CVE-2026-103849 e apelidada de BlockStrap, que afeta o Magento e o Adobe Commerce e pode permitir a execução de código PHP arbitrário nos servidores das lojas. Segundo a empresa de segurança para e-commerce Sansec, ainda não foram observados ataques explorando a falha. A expectativa é de que hackers comecem a explorá-la em breve.
BeyondTrust corrige zero-day explorado desde agosto
A BeyondTrust alertou seus clientes, na quinta-feira, 15 de outubro de 2026, sobre a necessidade de corrigir uma falha crítica no produto Remote Support (RS). A vulnerabilidade vinha sendo explorada em ataques zero-day desde o final de agosto, ou seja, antes da existência de correção. O Remote Support é a solução corporativa de suporte remoto da empresa, utilizada por service desks de TI e equipes de atendimento ao cliente para resolver problemas em estações de trabalho e servidores.
Zero-day no BeyondTrust Remote Support segue tendência de falhas exploradas em dispositivos de borda
Uma vulnerabilidade zero-day no BeyondTrust Remote Support está sendo explorada e se junta a uma série de falhas em dispositivos de borda atacadas nesta semana. O mesmo movimento atingiu produtos de Ivanti, Cisco e Palo Alto Networks, que também tiveram vulnerabilidades em equipamentos de perímetro sob exploração. A recorrência de ataques a esse tipo de dispositivo reforça a atenção dos atacantes sobre sistemas expostos diretamente à internet.
Grupo prolífico de espionagem chinês explora zero-day da BeyondTrust
Pesquisadores afirmam que o primeiro ataque conhecido do grupo Armory Castle, também identificado como UNC5221, ocorreu há quase sete semanas, explorando uma vulnerabilidade zero-day em produto da BeyondTrust. O grupo já havia comprometido clientes da Ivanti e da Citrix anteriormente. Trata-se de um grupo de espionagem associado à China que atua contra alvos corporativos e governamentais.
Suspeitos de espionagem chinesa abusam de zero-day de software de suporte de TI da BeyondTrust
Um grupo supostamente apoiado pelo Estado chinês estaria explorando um novo zero-day que afeta o software de suporte de TI da BeyondTrust para conduzir ataques de espionagem. A falha é usada como vetor para acesso e coleta de informações em ambientes corporativos e governamentais. Como se trata de exploração de vulnerabilidade até então desconhecida, a divulgação ocorre antes da existência de correção.
APT chinês explorou vulnerabilidade da BeyondTrust como zero-day
O grupo Armory Castle, um APT de origem chinesa, explorou a falha CVE-2026-102764 na BeyondTrust para obter acesso inicial a sistemas alvo. Após o comprometimento, o grupo implantou ferramentas personalizadas e apagou logs e artefatos para dificultar a investigação. A vulnerabilidade foi explorada como zero-day, ou seja, antes da disponibilização de correção pelo fornecedor.
Hackers ligados à China exploraram zero-day do BeyondTrust para assumir servidores de Suporte Remoto
O grupo de espionagem cibernética associado à China rastreado como Armory Castle (anteriormente UNC5221 ou Warp Panda) explorou como zero-day uma falha recém-divulgada no BeyondTrust Remote Support (antigo Bomgar) no final de agosto de 2026. A vulnerabilidade, catalogada como CVE-2026-102764 e com pontuação CVSS 9.3, consiste em validação de origem inadequada em um componente interno de mensagens. A exploração permitiu aos atacantes assumir o controle de servidores de suporte remoto.
BeyondTrust corrige zero-day explorado em ataques desde agosto
A BeyondTrust alertou clientes na quinta-feira para corrigir uma falha crítica em seu produto Remote Support (RS). A vulnerabilidade vem sendo explorada em ataques de zero-day desde o final de agosto, ou seja, antes da disponibilização da correção. O patch foi publicado após a exploração ser identificada.
CISA alerta para exploração de zero-day no Ivanti
A CISA emitiu um alerta para que administradores corrijam appliances Ivanti Connect Secure após a exploração da CVE-2026-104935. Trata-se de uma falha zero-day que permite contornar a autenticação de forma remota e executar comandos, viabilizando roubo de credenciais e exfiltração de dados. O alerta foi publicado em 13 de outubro de 2026, quando a agência incluiu o problema em seu catálogo de vulnerabilidades conhecidas exploradas.
Hackers exploram falha de RCE no Collabora para backdoar servidores Nextcloud
Atores de ameaça estão explorando uma falha crítica de execução de comandos no aplicativo Collabora Online - Built-in CODE Server (richdocumentscode) para Nextcloud, rastreada como CVE-2026-110447. O objetivo dos ataques é instalar backdoors em servidores Nextcloud comprometidos. A exploração ocorreu antes da existência de correção para a falha.
Vulnerabilidade crítica PwnEscape no kernel do Linux permite que VMs convidadas leiam a memória do host
Uma falha crítica recém-divulgada no kernel do Linux permite que código executado dentro de uma máquina virtual leia a memória do computador host que a hospeda. A vulnerabilidade, rastreada como CVE-2026-99999 e apelidada de PwnEscape, está no código de rede do kernel do Linux, e não na configuração de um provedor de nuvem específico, o que amplia seu alcance. Um pesquisador demonstrou o vazamento de memória contra os sandboxes de nuvem em produção da Vercel, e a empresa confirmou o problema.
Falha crítica de RCE autenticada no Langflow é alvo de 1.423 tentativas de exploração em honeypots
Pesquisadores alertam que atores de ameaça estão explorando uma falha crítica de segurança no Langflow, plataforma open-source usada para criar aplicações de inteligência artificial e fluxos de trabalho com agentes. A vulnerabilidade é a CVE-2026-105740, com pontuação CVSS 9.9, um caso de execução remota de código autenticada. Segundo o alerta da Previdian, foram registradas 1.423 tentativas de exploração contra honeypots. O Langflow pertence à DataStax, empresa adquirida pela IBM em fevereiro de 2025.
Palo Alto Networks corrige zero-day no PAN-OS explorado para execução remota de código
A Palo Alto Networks lançou correções para uma vulnerabilidade zero-day no PAN-OS que está sendo explorada para execução remota de código. A empresa afirma ter conhecimento de exploração limitada contra firewalls de clientes. Indicadores de comprometimento (IoCs) foram disponibilizados para ajudar na detecção de ataques.
Cisco alerta sobre vulnerabilidade explorada no Secure Email Gateway
A Cisco emitiu um alerta sobre uma vulnerabilidade no Secure Email Gateway que está sendo explorada ativamente. Atacantes remotos e não autenticados podem explorar a falha para gravar arquivos arbitrários no sistema operacional e executar comandos com privilégios de root. A empresa orienta os clientes a aplicar as atualizações de correção o quanto antes para mitigar o risco de comprometimento dos dispositivos.
Palo Alto Networks corrige falha de RCE autenticada no PAN-OS em meio a exploração ativa
A Palo Alto Networks publicou atualizações de segurança para uma falha de alta severidade no software PAN-OS que vinha sendo explorada ativamente. A vulnerabilidade, rastreada como CVE-2026-0322 e com pontuação CVSS 8,6, é um caso de execução remota de código (RCE) na interface de gerenciamento do produto. A empresa não detalhou os ataques ou os atores envolvidos na exploração.
Palo Alto corrige zero-day do PAN-OS explorado em ataques
A Palo Alto Networks publicou correções para uma vulnerabilidade zero-day de execução remota de código no PAN-OS, rastreada como CVE-2026-0322. A falha foi explorada em ataques e reside na interface de gerenciamento do PAN-OS, exigindo credenciais válidas e acesso de rede ao dispositivo. A exploração ocorreu antes da disponibilização do patch. Não há informações divulgadas sobre o ator responsável nem sobre dados expostos.
Palo Alto Networks alerta sobre falha de RCE no PAN-OS explorada em ataques
A Palo Alto Networks publicou atualizações de segurança para uma vulnerabilidade de execução remota de código (RCE) de alta severidade no PAN-OS, rastreada como CVE-2026-0322. A falha foi classificada como zero-day e explorada ativamente em ataques contra firewalls da companhia. Os patches já estão disponíveis e os clientes devem atualizar os dispositivos afetados o quanto antes.
Notícias sobre vulnerabilidades
Fontes consultadas:Ars Technica SecurityBleepingComputerCISA AdvisoriesCISO AdvisorCisco TalosCyberScoopDark ReadingGoogle Project ZeroHelp Net SecurityKrebs on SecurityMalwarebytes LabsSANS Internet Storm CenterSecurityWeekThe Hacker NewsThe RecordThe Register SecurityUnit 42
Atacantes exploram falha no UnrealIRCd que permite injeção de comando em nível de servidor
A CISA adicionou na sexta-feira ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) uma falha de alta severidade que afeta o UnrealIRCd, servidor IRC de código aberto, após relatos de exploração ativa. A vulnerabilidade, rastreada como CVE-2026-114713 e com pontuação CVSS 8,6, é um caso de neutralização inadequada de delimitadores. A falha permite injeção de comando em nível de servidor, possibilitando que atacantes executem comandos no host que roda o serviço IRC.
Cisco confirma primeira exploração de falha no BroadWorks
A Cisco confirmou a primeira exploração observada de uma vulnerabilidade no BroadWorks. Em 10 de novembro, a agência de segurança cibernética dos Estados Unidos (CISA) alertou que a falha CVE-2026-20320 havia sido usada em ataques. Na noite de quinta-feira, a Cisco publicou uma atualização do seu boletim de segurança informando ter conhecimento do abuso ativo da falha.
Pesquisadores continuam a encontrar vulnerabilidades graves em refrigeradores conectados à internet
A VulnCheck divulgou 14 vulnerabilidades em unidades de refrigeração da Dixell que permitem a um atacante obter acesso root aos equipamentos. Os pesquisadores alertam que honeypots online estão sendo inundados por ataques e sondagens maliciosas contra esse tipo de dispositivo exposto. O caso reforça o risco de equipamentos de refrigeração e outros dispositivos IoT ligados diretamente à internet.
PostgreSQL corrige 52 falhas, incluindo bug de 22 anos que permite RCE autenticado
O PostgreSQL lançou atualizações que corrigem 52 falhas de segurança, entre elas uma vulnerabilidade de type confusion identificada como CVE-2026-6460, com CVSS 8.8. A falha permite que um usuário do banco com permissão para criar objetos execute código no servidor, herdando os privilégios do sistema operacional da conta do serviço. O bug existia há cerca de 22 anos e sua correção completa exige também recompilar quaisquer extensões escritas em linguagem C instaladas no servidor.
Gateways Check Point hackeados via PHP2Shell para implantar wiper em VMware ESXi
Instâncias vulneráveis do Check Point Security Gateway foram alvo de ataques chamados PHP2Shell. Os ataques implantaram malware com capacidade de apagar dados (wiper) em hosts VMware ESXi. O trecho não informa CVE específico, autores ou se havia correção disponível no momento da exploração.
Novos ataques Mior e Skyfall permitem que hosts de nuvem maliciosos roubem segredos de VMs AMD SEV-SNP
Dois ataques, Mior e Skyfall, divulgados esta semana, permitem que um host malicioso leia dados dentro de VMs protegidas pelo AMD SEV-SNP, projetadas para manter o operador do servidor afastado. O Mior também consegue modificar a memória da VM e falsificar o relatório assinado que confirma qual software ela executa. Ambos exigem controle do hypervisor do servidor, e o Mior requer ainda controle da BIOS. A divulgação é fruto de pesquisa.
Em outras notícias: novo indicado a diretor da CISA, hacking de carros conectados e vazamento de dados da Baker Tilly
Compilado de notícias de segurança que podem ter passado despercebidas, reunindo vários assuntos distintos. Entre os destaques estão a indicação do novo diretor da CISA, casos de hacking de carros conectados e um vazamento de dados na Baker Tilly. O texto também menciona a Siemens detalhando sua política de avisos de segurança, além de riscos de backdoor no OpenAI Codex e alertas da Microsoft sobre backdoors em pesos de modelos de IA.
Como um agente de IA expôs cinco falhas críticas de segurança corporativa
Um agente de IA criado para automatizar o processamento de faturas pode ser manipulado, por meio de um e-mail malicioso, a alterar os dados bancários de fornecedores sem disparar os alertas de segurança tradicionais. A Token Security analisa cinco lacunas críticas de segurança em agentes de IA e apresenta orientações práticas de líderes de segurança do setor para preveni-las. O conteúdo é uma análise de riscos baseada em cenário, e não o relato de um incidente real ou de uma vulnerabilidade específica corrigida por um fornecedor.
Mais notícias (76)
CISA adiciona duas vulnerabilidades exploradas conhecidas ao catálogo
A CISA incluiu duas novas falhas no catálogo Known Exploited Vulnerabilities (KEV) com base em evidências de exploração ativa: CVE-2026-114713, de neutralização inadequada de delimitadores no UnrealIRCd, e CVE-2026-123039, de atribuição incorreta de permissões para recurso crítico em múltiplos produtos Check Point. A agência ressalta que esse tipo de falha é vetor frequente de ataques e representa risco significativo para o setor público federal. A diretriz BOD 26-04 exige que agências civis priorizem a correção rápida de vulnerabilidades do KEV em ativos expostos e verifiquem possível comprometimento anterior ao patch. A CISA recomenda que todas as organizações adotem gestão de vulnerabilidades baseada em risco e priorizem itens do catálogo.
Google lança segunda atualização do Chrome nesta semana
O Google publicou uma segunda atualização do Chrome nesta semana, corrigindo falhas de segurança que poderiam permitir a atacantes executar código malicioso. A notícia não detalha CVEs nem componentes específicos afetados.
Citrix corrige 10 vulnerabilidades críticas no NetScaler
A Citrix publicou correções para 10 vulnerabilidades críticas no NetScaler. Segundo a empresa, a exploração bem-sucedida pode causar comportamento inesperado ou condições de negação de serviço (DoS). A notícia não detalha CVEs específicos nem menciona exploração ativa antes da disponibilização dos patches.
Daybreak da OpenAI traz agentes de IA para testes de segurança e correção de vulnerabilidades
A OpenAI anunciou o Daybreak, que leva agentes de IA para etapas do processo de segurança de software, combinando testes de penetração em aplicações web com ferramentas para investigar vulnerabilidades e desenvolver correções. As duas ofertas, Red Team e Defense Factory, conectam a descoberta de fraquezas ao patching e à retestagem. O Red Team, disponível em programa de acesso antecipado, usa agentes coordenados para examinar código-fonte e contexto das aplicações e investigar possíveis ataques.
Hackers exploram falhas PHP2Shell em gateways Check Point para implantar backdoor TSGA e apagar arquivos do ESXi
Um ator de ameaça desconhecido foi observado mirando Check Point Security Gateways sem patch para obter acesso inicial por meio das vulnerabilidades PHP2Shell e, em seguida, de uma falha de escalonamento de privilégios local já reportada no Gaia OS, para implantar um backdoor chamado TSGA. A atividade, detalhada pela Check Point, começou em 30 de outubro de 2026 e atingiu organizações israelenses, com uma onda de acompanhamento mais ampla.
Política e Divulgação: Edição 2026
O Google Project Zero revisa sua política de divulgação de vulnerabilidades "90 + 30", que concede até 90 dias para correção mais 30 dias de carência para distribuição do patch. O time afirma que o avanço da descoberta e exploração de falhas assistidas por IA tornou esse prazo insuficiente, já que modelos de linguagem aceleram a identificação e o aproveitamento de bugs e aumentam o risco de que várias partes, inclusive maliciosas, encontrem a mesma falha. Diante disso, o Project Zero defende que fornecedores passem a corrigir vulnerabilidades com mais rapidez.
PHP2Shell explorado em ataques destrutivos a gateways da Check Point
O PHP2Shell foi usado para o comprometimento inicial em ataques destrutivos contra gateways da Check Point. A CVE-2026-123039 permitiu que os atacantes elevassem privilégios para root. A notícia relata exploração real da falha em ambiente de produção.
Atualização de segurança do PostgreSQL corrige 52 vulnerabilidades e encerra suporte ao PostgreSQL 14
O PostgreSQL Global Development Group lançou as versões 18.7, 17.12, 16.16, 15.20 e 14.25 em 12 de novembro, corrigindo 52 vulnerabilidades de segurança e mais de 140 outros bugs. A maioria das falhas de execução de código são erros de memória ou confusão de tipos, em que o PostgreSQL trata um valor como um tipo de dado incorreto. Os problemas aparecem em PL/Perl e PL/Tcl, em funções de busca textual como ts_rank_cd(), em consultas paralelas, replicação lógica, dblink e importação de estatísticas. Trinta e duas das 52 CVEs têm maior severidade, e a versão 14.25 marca o fim do suporte ao PostgreSQL 14.
Ataques ao ScreenConnect comprometem MSPs e clientes
A ConnectWise está investigando uma campanha de malware voltada a provedores de serviços gerenciados (MSPs) que utiliza ambientes ScreenConnect comprometidos para instalar clientes de acesso remoto não autorizados em dispositivos de clientes. Por precaução, a empresa desativou cinco extensões de terceiros em cerca de 400 ambientes de parceiros. A campanha foi descoberta pela Huntress, que detalhou o alcance e o método do ataque. Não há menção a CVE específico nem a falha explorada antes da existência de correção.
Apache corrige falha crítica de execução remota de código no HTTP/2
A Apache Software Foundation publicou correção para uma vulnerabilidade crítica no módulo HTTP/2 do Apache HTTP Server. A falha, rastreada como CVE-2026-119618, pode ser explorada por um atacante não autenticado para obter execução remota de código (RCE). A descoberta foi atribuída às equipes OSS Scanner da Anthropic e de Pesquisa de Vulnerabilidades do Google Cloud. A notícia não indica exploração ativa antes da disponibilização do patch.
Apache HTTP Server corrige falha crítica de execução remota de código no HTTP/2
O Apache HTTP Server recebeu correções para uma vulnerabilidade crítica no módulo HTTP/2. A falha poderia ser explorada por um atacante não autenticado para obter execução remota de código (RCE). A notícia trata da publicação do patch; não há indicação, no texto, de exploração ativa ou de zero-day.
ThreatsDay: 59 falhas no kernel Linux, spyware Falcon, backdoors GSocket + 17 outras histórias
Compilado semanal de notícias de segurança que reúne diversos assuntos, entre eles 59 vulnerabilidades corrigidas no kernel Linux, o spyware Falcon e backdoors associados ao GSocket. O texto destaca o uso de sites falsos, acessos roubados e ferramentas legítimas comprometidas como vetores de intrusão, além do apoio de IA para acelerar a construção de ataques. Não há detalhamento individual de cada falha nem identificação de CVEs específicos.
Falha crítica no Red Hat Quay permite que atacantes leiam e sobrescrevam todas as imagens de contêiner privadas de um registro
Uma falha crítica no Red Hat Quay permite que um atacante com acesso a um registro Quay leia e sobrescreva imagens de contêiner privadas em todos os repositórios. O Quay habilita acesso anônimo por padrão e, enquanto essa opção estiver ativa, o atacante não precisa de conta; com o acesso anônimo desligado, qualquer pessoa com uma conta válida ainda pode explorar a falha, segundo a Red Hat. A empresa publicou versões corrigidas do Quay, sem detalhar quais builds foram afetados ou se houve exploração ativa.
Citrix corrige 12 falhas no NetScaler e no Secure Access Client, incluindo bypass de autenticação
A Citrix lançou correções para diversas falhas críticas que afetam NetScaler ADC, NetScaler Gateway e NetScaler Console. Entre os problemas está uma vulnerabilidade de estouro de memória identificada como CVE-2026-120868, com pontuação CVSS 9,3. As falhas podem levar a negação de serviço (DoS) ou bypass de autenticação. A notícia não indica exploração ativa nem ausência de correção no momento da divulgação.
Apache corrige falha crítica de RCE no servidor HTTP descoberta por Anthropic e Google
O Apache Software Foundation publicou correções para uma vulnerabilidade crítica de execução remota de código no Apache HTTP Server. A falha é uma condição de corrida no módulo mod_http2, rastreada como CVE-2026-119618, que pode permitir a atacantes não autenticados executar código em servidores com HTTP/2 habilitado. A descoberta foi atribuída a pesquisadores da Anthropic e do Google, e o patch já está disponível.
Atualizações do Chrome e Firefox corrigem mais de 180 vulnerabilidades
O Google publicou a versão 157 do Chrome com correções para 83 falhas de segurança. A Mozilla também lançou atualizações que corrigem 99 bugs no Firefox 160. Somadas, as duas atualizações remendam mais de 180 vulnerabilidades nos navegadores.
Malware SCKit transforma sessões de suporte do ScreenConnect em potenciais caminhos de ataque a MSPs
Uma campanha em andamento contra implantações do ConnectWise ScreenConnect explora uma falha crítica de segurança já corrigida no software de acesso remoto, e não uma nova vulnerabilidade. O kit de ferramentas do atacante, recuperado pela Adversary Pursuit Group da Blackpoint Cyber, explora a CVE-2026-84869 (CVSS 9,9). A falha permite que agentes maliciosos usem sessões de suporte para obter acesso e possivelmente atingir provedores de serviços gerenciados (MSPs).
Google Cloud alerta que três falhas na CPU AMD Turin podem vazar dados entre processos em VMs
O Google Cloud informou esta semana que VMs em chips AMD Turin precisam de um patch no sistema operacional convidado e de uma parada e reinício para se proteger contra três falhas de canal lateral na CPU. A empresa já aplicou mitigações contra ataques entre VMs e entre VMs e o host. Dentro de uma VM, as falhas podem permitir que um atacante com código no mesmo núcleo do processador inferira dados de outros processos ou do kernel.
Siemens Desigo e Gridscale afetados por falha crítica no decodificador Brotli (CVE-2026-111497)
A Siemens publicou um aviso CSAF informando que produtos das famílias Desigo CC V8 e V9 e Gridscale X DSA e PSS®E são afetados pela CVE-2026-111497, uma escrita fora dos limites (out-of-bounds write) no decodificador Brotli do Google, presente em versões usadas pelo Node.js e apelidada de "Node2Shell". A falha, com CVSS 9.8, permite que um atacante remoto não autenticado envie um fluxo Brotli malicioso para corromper memória, vazar dados, causar negação de serviço ou potencialmente executar código arbitrário. A Siemens já disponibilizou correções: atualização para Gridscale X DSA V5.4 ou superior, PSS®E V36.8.0 ou superior e aplicação das atualizações de segurança .NET no caso do Desigo CC.
Siemens RUGGEDCOM APE1808
A CISA publicou um aviso sobre o Siemens RUGGEDCOM APE1808 com PAN-OS, afetado pela CVE-2026-111497. A falha é um buffer overflow no decodificador Brotli (versões 1.0.3 a 1.2.0) que pode permitir a um atacante remoto não autenticado corromper memória, expor dados sensíveis, causar negação de serviço ou potencialmente executar código arbitrário. A recomendação é atualizar as bibliotecas Brotli para 1.0.10, 1.1.1 ou 1.2.1 e aplicar a versão corrigida do PAN-OS.
Produtos de Automação Predial e Energia da Siemens
Em 21 de outubro de 2026, o projeto PHP e pesquisadores de segurança divulgaram duas vulnerabilidades críticas de execução remota de código não autenticada no runtime PHP, conhecidas como php2shell e rastreadas como CVE-2026-109618 e CVE-2026-109619. A Siemens publicou um aviso sobre o impacto dessas falhas em seus produtos de automação predial e energia, listando sistemas afetados como AMIS TS, Energy Engage, Spectrum Power e blueplanet 360. A empresa recomenda atualizar para as versões corrigidas quando disponíveis e aplicar mitigações nos produtos que ainda não têm correção, enquanto a avaliação do impacto segue em andamento.
Siemens Industrial Edge Management
A Siemens publicou um aviso de segurança sobre a CVE-2026-111497, um estouro de buffer (out-of-bounds write) no decodificador Brotli do Google nas versões 1.0.3 a 1.2.0, com CVSS 9.8. A falha permite que um atacante remoto não autenticado corrompa memória adjacente do decodificador, exponha dados sensíveis, cause negação de serviço ou potencialmente execute código arbitrário por meio de um fluxo Brotli malicioso. A biblioteca afetada está embarcada em vários componentes do Industrial Edge Management (IEM), como Cloud Connector Configurator, Databus Configurator, Flow Creator Configurator e Edge OPC UA Server Configurator, além dos serviços Industrial Edge Hub e Industrial Edge Management Cloud. A Siemens já liberou versões corrigidas para parte dos produtos e recomenda mitigações específicas onde a correção ainda não está disponível; instalações sem aplicações de gerenciamento não exigem ação.
Siemens RUGGEDCOM APE1808
A CISA publicou um aviso sobre vulnerabilidades no PHP que afetam o produto industrial Siemens RUGGEDCOM APE1808 quando executado com o Palo Alto Networks PAN-OS nas versões 10.2, 11.1, 11.2, 12.1 e 12.2. As falhas CVE-2026-109618 e CVE-2026-109619 são do tipo use-after-free, têm pontuação CVSS 9,8 (crítica) e podem permitir execução remota de código (RCE). A recomendação é atualizar o PAN-OS para a versão corrigida correspondente e seguir as orientações dos avisos originais da Palo Alto Networks.
Tentativas de exploração de bypass de autenticação no GPUStack (CVE-2026-102895)
O CVE-2026-102895 é uma vulnerabilidade trivial de bypass de autenticação no GPUStack, software open-source que gerencia clusters de GPUs normalmente usados para cargas de trabalho de IA. Todas as versões anteriores à 2.2.0, lançada no fim de junho, são afetadas. A falha só se tornou pública no fim de julho e o CVE foi atribuído em 4 de novembro; o SANS Internet Storm Center relata tentativas de exploração contra o produto, que é um alvo atraente.
Novos exploits para N-central funcionam contra servidores corrigidos e permitem RCE com root e acesso SYSTEM no Windows
A N-able informou na quinta-feira que está investigando uma divulgação pública com alegações de vulnerabilidades adicionais no N-central on-premise na versão 2026.4.1 HF2. Segundo a empresa, o problema de servidor descrito depende de uma configuração não padrão em que a API Legacy está habilitada e exposta à internet. A notícia afirma que novos exploits conseguem atingir servidores já corrigidos e obter execução remota de código como root e acesso SYSTEM no Windows.
PTC corrige falha crítica no Windchill e FlexPLM que poderia permitir execução remota de código
A PTC lançou patches para uma nova vulnerabilidade crítica que afeta os softwares Windchill e FlexPLM. A falha, identificada como CVE-2026-126325, tem pontuação CVSS v4 de 9,2 em 10. Foi descrita como validação inadequada de entrada e desserialização de dados não confiáveis, podendo resultar em execução remota de código.
Chaves de API do Claude roubadas podem transformar o Claude Code em um implante controlado remotamente
Pesquisadores da Darktrace demonstraram, em ambiente de laboratório, como transformar o Claude Code em um implante controlado remotamente usando chaves de API roubadas da Anthropic. A técnica abusa do recurso de armazenamento de memória e da Claude Files API para comandar o agente e exfiltrar um arquivo de 1 GB. Como todo o tráfego passa por api.anthropic.com, endpoint legítimo já usado para inferência, as ações maliciosas se confundem com o trabalho normal de um agente de programação. O método depende de credenciais válidas obtidas previamente e de configuração específica do agente.
Hackers implantam malware em nova campanha contra o ScreenConnect
Pesquisadores identificaram uma nova campanha que utiliza o ScreenConnect, software legítimo de acesso remoto, para distribuir malware. Os atacantes exploraram uma vulnerabilidade em uma extensão legítima do produto para contornar a autenticação do ScreenConnect e obter acesso aos sistemas. Após o acesso, foram instaladas cargas maliciosas nas máquinas comprometidas. A notícia não detalha IDs de CVE nem o momento da divulgação da falha.
Hackers miram zero-days no N-central enquanto N-able corre para lançar patches
A atividade maliciosa contra o N-central começou pouco depois de um pesquisador divulgar mais de 30 zero-days. A N-able lançou patches para as falhas não autenticadas. O texto não especifica CVEs nem detalhes individuais das vulnerabilidades.
Falha crítica pré-autenticação no MongoDB (CVE-2026-118383) pode derrubar servidores desatualizados durante failover
Uma falha crítica no MongoDB Server permite que um atacante não autenticado envie duas requisições que provocam o crash do servidor de banco de dados. O colapso só ocorre se esse servidor for posteriormente escolhido para assumir como servidor principal enquanto ainda não tiver aplicado algumas mudanças recentes. A MongoDB, empresa responsável pelo banco, publicou versões corrigidas no início da semana. Os servidores afetados são membros de um replica set.
Vulnerabilidade crítica no Red Hat Quay pode expor imagens de contêiner privadas
Uma falha crítica no Red Hat Quay, registro de imagens de contêiner, pode ser explorada por atacantes para roubar imagens privadas, sobrescrever repositórios e manter acesso persistente ao ambiente. A notícia descreve o risco de exposição de conteúdo sensível armazenado no registro e a possibilidade de persistência do invasor. Não há menção a exploração ativa nem a identificação de CVE no texto.
Node.js corrige 16 falhas, incluindo bugs no HTTP/2 que derrubam servidores e vazam dados de outras conexões
O Node.js corrigiu 16 falhas nesta semana, entre elas uma que permite a clientes não autenticados derrubar servidores que usam o suporte HTTP/2 nativo do runtime nas linhas 24.x e 26.x. Uma segunda falha no HTTP/2 pode fazer o servidor enviar a um cliente trechos de sua memória, incluindo respostas destinadas a outras conexões. Foram publicadas versões corrigidas para as três linhas suportadas: 22.23.5, 24.22.3 e 26.13.1.
Falha crítica no Apache HTTP/2 pode permitir que atacantes não autenticados executem código remotamente
Uma falha crítica no módulo mod_http2 do Apache HTTP Server permite que um atacante remoto execute código no servidor. Identificada como CVE-2026-119618, ela afeta as versões 2.4.55 a 2.4.70 e foi corrigida na versão 2.4.71, lançada ontem. Segundo a Red Hat, que distribui o servidor como parte do Red Hat Enterprise Linux, apenas servidores com HTTP/2 habilitado são afetados.
Ataques ativos ao ScreenConnect comprometem MSPs e afetam dezenas de organizações
A ConnectWise está investigando uma campanha de malware ativa direcionada a provedores de serviços gerenciados (MSPs). A campanha utiliza ambientes ScreenConnect comprometidos para implantar clientes de acesso remoto maliciosos nos dispositivos de clientes. Os ataques afetam dezenas de organizações.
N-able tira plataforma N-central do ar após descoberta de 33 falhas
A N-able colocou sua plataforma de monitoramento e gerenciamento remoto (RMM) N-central offline após a descoberta de 33 falhas de segurança. A fornecedora também publicou um hotfix como uma das mitigações recomendadas para conter exploits públicos contra as supostas zero-days que permitiriam a tomada de controle por atacantes. O caso afeta clientes que usam a plataforma para administrar ambientes de TI de terceiros.
Falha crítica no Zoom Workplace pode permitir escalonamento de privilégios remoto sem autenticação
A Zoom publicou atualizações de software para corrigir duas falhas de segurança que afetam o Zoom Workplace para Windows. A mais grave é a CVE-2026-108186, com pontuação CVSS 9.6, uma vulnerabilidade de validação inadequada de entrada que pode permitir a um usuário não autenticado realizar escalonamento de privilégios. A correção já está disponível, e a notícia não relata exploração ativa antes do patch.
Falhas críticas no Xen Orchestra exploradas em ataques
Falhas críticas no Xen Orchestra estão sendo exploradas em ataques. O bypass de autenticação permite que invasores executem código arbitrário como administrador e assumam o controle de nós XCP-ng.
Git corrige seis vulnerabilidades, incluindo execução de código durante clones recursivos
O projeto Git publicou atualizações de segurança que corrigem seis vulnerabilidades capazes de permitir execução de código, gravação em arquivos não intencionais ou corrupção de memória quando o Git processa repositórios maliciosos ou outras entradas especialmente preparadas. Uma das falhas, rastreada como CVE-2026-111760, decorre de um truncamento de inteiro no tratamento do index do Git: um caminho de arquivo extremamente longo pode passar pelas verificações de segurança sob um nome e ser gravado sob um nome mais curto. Não há menção de exploração ativa antes da disponibilização das correções.
Hackers miram servidores Qlik Sense com reverse shells e preparam exploits para ActiveMQ e Veeam
Pesquisadores da Cynet observaram agentes de ameaça tentando entregar comandos de reverse shell em PowerShell contra servidores Qlik Sense de vários clientes na União Europeia em outubro de 2026. A atividade suspeita ocorreu em uma janela de pouco mais de três minutos e os ataques não tiveram sucesso. A notícia também menciona o uso preparatório de exploits para ActiveMQ e Veeam.
Asus e Zoom lançam patches de segurança
Asus e Zoom publicaram atualizações de segurança para corrigir falhas em seus produtos. Segundo a notícia, as vulnerabilidades poderiam ser exploradas por atacantes para execução de comandos, sobrescrita de memória e escalonamento de privilégios. Os patches já estão disponíveis, e a recomendação é aplicar as atualizações.
Citrix e Ivanti corrigem vulnerabilidades críticas e de alta gravidade
A Citrix e a Ivanti publicaram correções para vulnerabilidades críticas e de alta gravidade. Segundo a notícia, as falhas poderiam ser exploradas para adulterar entradas de certificado, executar código remotamente e comprometer hosts. O texto não detalha um CVE específico nem informa exploração antes da disponibilização de correções.
Mais de 35.000 aplicativos criados com Grok expostos online, alguns vazando dados confidenciais e senhas
Pesquisadores da Claroc identificaram 37.571 aplicativos criados com Grok disponíveis online, dos quais 35.578 podiam ser acessados sem login. Entre eles, 24 foram construídos por funcionários da rede social X e da empresa por trás do assistente Grok. Cerca de 1 em cada 10 continha dados internos de negócios ou informações sensíveis, incluindo senhas.
Fortinet corrige quase 100 vulnerabilidades
A Fortinet lançou correções para quase 100 vulnerabilidades em seus produtos. O volume elevado ocorre após a empresa integrar modelos de IA de ponta nos testes de segurança de seus produtos. A notícia não detalha CVEs específicos nem indica exploração ativa.
Patch Tuesday de ICS: Siemens sinaliza falhas de alta gravidade e exposição ao Node2Shell
A VDE CERT, Phoenix Contact, Johnson Controls e Hitachi Energy publicaram avisos pré-Patch Tuesday sobre vulnerabilidades em sistemas de controle industrial. A Siemens destacou falhas de alta gravidade e exposição relacionada ao Node2Shell. O texto é um compilado de anúncios de correções e exposições em produtos ICS.
CISA sinaliza falha no Cisco BroadWorks como explorada ativamente em ataques
A CISA alertou na terça-feira que hackers estão explorando uma vulnerabilidade de alta severidade no Cisco BroadWorks. A agência sinalizou a falha como ativamente explorada em ataques. O texto não cita CVE específico nem detalhes sobre correção.
Verificações de revogação de certificados do Ubuntu chegam ao curl; OpenSSL é o próximo
O Ubuntu 26.10 passa a distribuir o curl com verificação de revogação de certificados embutida, recurso proveniente do upki, projeto dos desenvolvedores do rustls. Ao executar o mesmo comando curl nas duas versões, o Ubuntu 26.04 aceitou um certificado revogado e concluiu a conexão, enquanto o 26.10 o recusou. Uma autoridade certificadora revoga um certificado quando ele deve deixar de ser confiável antes do vencimento. O OpenSSL verifica a cadeia de certificados por padrão, mas não checa se algum certificado dessa cadeia foi revogado, e a expectativa é que essa verificação chegue em seguida.
Adobe corrige 110 falhas em nove produtos
A Adobe publicou as atualizações de segurança de novembro de 2026, corrigindo cerca de 110 vulnerabilidades em nove produtos. Foram corrigidos o Adobe Experience Manager (AEM), Audition, After Effects, Connect, Content Credentials SDK, Dimension, Media Encoder, Photoshop e Premiere. O boletim destaca correções de severidade crítica no Adobe Connect e no AEM. A notícia não detalha CVEs específicos nem informa exploração ativa das falhas.
Microsoft corrige falha no Active Directory
A Microsoft publicou atualizações de segurança para uma vulnerabilidade no Windows Active Directory que permite a um atacante autorizado executar código pela rede. A falha é rastreada como CVE-2026-119948, com pontuação CVSS de 7,5, e foi divulgada em 10 de novembro de 2026. A vulnerabilidade afeta múltiplas versões de desktop e servidor do Windows, e a Microsoft classifica o problema como relevante para correção prioritária.
Falha crítica no FortiClient permite RCE
A Fortinet emitiu um alerta sobre uma vulnerabilidade crítica no FortiClient que permite a um atacante remoto executar código no computador da vítima. Segundo o comunicado, a exploração depende apenas de o usuário visitar um site malicioso. A falha foi rastreada como CVE-2026-121529 e recebeu pontuação CVSS de 9,1. A Fortinet publicou o comunicado em 10 de [data não informada no texto].
Atores de ameaça exploram vulnerabilidades do Openwave e do Cisco BroadWorks
Atacantes estão explorando falhas no Openwave e no Cisco BroadWorks, identificadas como CVE-2026-111793 e CVE-2026-20320. Segundo o relato, as vulnerabilidades permitem o vazamento de informações sensíveis, incluindo dados de configuração dos sistemas afetados. A notícia não detalha o mecanismo exato dos ataques nem menciona a existência de correções disponíveis no momento da exploração.
Patch Tuesday das fabricantes de chips: mais de 200 vulnerabilidades corrigidas pela Intel e AMD
Intel e AMD divulgaram mais de 200 vulnerabilidades corrigidas em suas atualizações de segurança. Entre as falhas estão problemas críticos no software Intel TDX e diversos bugs nos gráficos da AMD. A notícia funciona como um resumo das correções publicadas pelas duas fabricantes.
Microsoft corrige 1.259 falhas, incluindo bug explorado no Outlook que pode expor hashes NTLMv2
A Microsoft liberou correções para 1.259 vulnerabilidades em seu portfólio de software, o segundo mês consecutivo com mais de 1.000 falhas corrigidas. O pacote abrange 726 falhas no Windows, 174 no Office, 61 em Ferramentas de Desenvolvedor, 59 no SQL Server, 53 em Ferramentas de Desenvolvedor e 27 no SharePoint Server. Também inclui 165 identificadores CVE não emitidos pela Microsoft e corrige um bug explorado no Outlook que pode expor hashes NTLMv2.
Vulnerabilidades do Barracuda corrigidas recentemente são exploradas em ataques
A SecurityWeek reporta que vulnerabilidades corrigidas recentemente no Barracuda estão sendo exploradas em ataques. As falhas podem permitir que atacantes contornem a autorização e obtenham acesso root aos dispositivos. O trecho não cita CVEs específicos nem detalha os produtos afetados.
Pesquisadores da Microsoft demonstram que agentes de IA podem receber backdoor com a edição de menos de 10 neurônios
Pesquisadores da Microsoft mostraram que é possível inserir um backdoor oculto em um modelo de IA editando menos de 10 neurônios raramente usados, sem retreinar o modelo. Quando um gatilho escolhido aparece, o modelo emite um comando do atacante, que um agente usando esse modelo executaria com as próprias permissões. O método exige que o atacante consiga alterar os pesos do modelo.
Vulnerabilidades de pareamento em Bluetooth e AirPlay corrigidas nas plataformas Apple
A Apple publicou atualizações de segurança para corrigir falhas de pareamento em Bluetooth e AirPlay, vulnerabilidades no iMessage e uma falha no Brotli que foi explorada. As correções abrangem as diversas plataformas da empresa. O texto não detalha quais CVEs específicos nem quais versões foram afetadas.
Falhas no Cisco BroadWorks e no Openwave são exploradas ativamente apesar de patches disponíveis
A CISA adicionou duas vulnerabilidades ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), citando evidências de exploração ativa. Uma delas é a CVE-2026-20320 (CVSS 7,5), no Cisco BroadWorks, causada por restrição inadequada de entidades externas XML (XXE). A outra afeta o Openwave Messaging Webtop Media Transcoder. A exploração ocorre mesmo com as correções já publicadas pelos fornecedores.
Pontuações de cibersegurança da UE parecem saudáveis, mas 45% dos provedores de TI pesquisados levam meses para aplicar correções
Uma avaliação da ENISA sobre cibersegurança na União Europeia indica que 45% dos provedores de serviços de TI pesquisados levaram mais de três meses para aplicar patches críticos em sistemas críticos. O texto destaca que atacantes podem transformar uma falha recém-divulgada em ataque funcional em dias, às vezes horas ou minutos. Como esses provedores operam sistemas para outras organizações, a demora na correção em um deles expõe os clientes que dependem desses serviços.
Um anúncio no Instagram bastou: kits de exploit vazados atingem iPhones de funcionários
Criminosos estão usando kits de exploit vazados para invadir iPhones vulneráveis, segundo o relatório Advanced Mobile Threat Report 2026 da iVerify. Ataques distribuídos por anúncios e sites comprometidos alcançaram funcionários que usam os celulares para trabalho. O kit DarkSword encadeia várias falhas de software para comprometer iPhones; ele foi divulgado por pesquisadores em março de 2026 e uma versão mais nova surgiu no GitHub em uma semana. Outro kit, Coruna, era servido por sites que se passavam por serviços legítimos.
Fortinet: falhas críticas permitem execução de código sem login
A Fortinet divulgou vulnerabilidades críticas que afetam FortiManager, FortiAnalyzer e FortiOS. Algumas falhas podem permitir que atacantes executem código sem fazer login. Os avisos, publicados em 10 de novembro de 2026, abrangem APIs de gerenciamento, serviços de comunicação de dispositivos, roteamento e configurações específicas de alta disponibilidade, com requisitos de ataque variados.
SAP corrige falhas de severidade máxima em novembro
A SAP publicou 35 correções de segurança em sua atualização de novembro de 2026, incluindo quatro vulnerabilidades de severidade máxima que afetam os softwares NetWeaver, Web Dispatcher e Gateway. A empresa classificou essas quatro falhas com nota 10/10 na escala CVSS, indicando que atacantes não autenticados podem explorá-las para comprometer totalmente os sistemas-alvo remotamente. A notícia não detalha quais componentes específicos nem identificadores CVE para cada uma das falhas críticas.
Patch Tuesday da Microsoft de novembro de 2026 — regras Snort e vulnerabilidades em destaque
A Microsoft publicou sua atualização mensal de segurança referente a novembro de 2026, que corrige 1328 vulnerabilidades em diversos produtos, das quais 60 foram classificadas como "críticas". Entre as falhas críticas, 45 são de execução remota de código (RCE). A Cisco Talos acompanha o pacote com regras Snort para detecção e destaca as vulnerabilidades mais relevantes do lote.
Patch Tuesday de novembro: uma cornucópia transbordante de CVEs
A Microsoft divulgou o Patch Tuesday de novembro, com uma grande quantidade de CVEs. O pacote inclui uma falha zero-day no Outlook explorada ativamente e uma série de bugs críticos no Exchange, SharePoint, Windows Search e LDAP. Os defensores precisam priorizar rapidamente a aplicação das correções.
Brecha na Railway resulta em US$ 740 mil em cobranças fraudulentas de IA
A provedora de hospedagem em nuvem Railway informou que invasores exploraram vulnerabilidades em sua infraestrutura para roubar segredos de autenticação de clientes. Com as credenciais obtidas, os atacantes geraram cerca de US$ 740 mil em uso fraudulento de serviços de IA. A empresa afirma que as credenciais de até 100 mil workspaces podem ter sido expostas.
Microsoft corrige quase 1.100 vulnerabilidades de segurança
A Microsoft publicou mais uma leva de atualizações de segurança, corrigindo quase 1.100 falhas em seus sistemas operacionais Windows e em softwares suportados. O Patch Tuesday deste mês aborda 63 falhas críticas, incluindo uma falha de dia zero no Microsoft Outlook. A divulgação ocorre junto com atualizações relevantes de outros fabricantes de software, como Adobe, Apple, Google e Mozilla.
N-able desativa N-central após divulgação de 30 zero-days
A N-able desligou em 9 de novembro seus ambientes hospedados do N-central e orientou clientes que mantêm servidores próprios a fazer o mesmo. A medida veio depois de o pesquisador de segurança Sean Bales divulgar, na noite de 8 de novembro, mais de 30 supostas falhas zero-day no produto, algumas capazes de permitir a tomada de sistemas vulneráveis. A notícia não detalha quais componentes ou identificadores CVE estão envolvidos em cada falha.
Microsoft corrige mais de 1.000 vulnerabilidades no Patch Tuesday de novembro
A atualização de segurança de novembro da Microsoft aborda cerca de 1.090 vulnerabilidades no Windows, Office, Azure e outras linhas de produtos da empresa, sendo o segundo mês consecutivo a superar o total de todos os anos anteriores. O comunicado lista formalmente 1.094 CVEs, com o Windows respondendo por 726 e o Office por 174. Um número menor de patches foi destinado a SQL Server, Exchange e outros produtos.
Agente de codificação Grok Build vaza grande quantidade de informações confidenciais, algumas pertencentes à SpaceX
Um pesquisador de segurança descobriu cerca de 35.000 aplicativos criados com o agente de codificação Grok Build que estavam acessíveis a qualquer pessoa, sem proteção de acesso. Entre os dados expostos há informações confidenciais, incluindo algumas pertencentes à SpaceX. A exposição decorre de configurações inseguras e falta de autenticação nas aplicações geradas pela ferramenta.
Patch Tuesday da Microsoft ultrapassa 1.000 bugs pelo segundo mês consecutivo
A Microsoft publicou sua atualização mensal Patch Tuesday com 1.093 vulnerabilidades corrigidas, ultrapassando a marca de mil pelo segundo mês seguido. A maior parte da atenção ficou sobre uma falha no Outlook que está sendo explorada ativamente. O texto não detalha CVEs ou componentes específicos além do Outlook.
Microsoft lança atualização de segurança estendida KB5131096 para o Windows 10
A Microsoft publicou a atualização de segurança estendida KB5131096 para o Windows 10. O pacote reúne as correções do Patch Tuesday de novembro de 2026, além de alguns ajustes e correções de bugs. A nota não detalha CVEs específicos nem falhas individualizadas contempladas pela atualização.
Git corrige falha que permite a repositórios maliciosos executar código durante clones recursivos
Uma falha no Git permite que um repositório malicioso execute código do atacante na máquina de quem o clona de forma recursiva, incluindo seus submódulos. O projeto Git corrigiu o problema nesta semana com o Git 2.56.1 e versões correspondentes para as séries 2.50 a 2.55 (2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 e 2.55.1). A falha, rastreada como CVE-2026-111760, é um truncamento de inteiro no modo como o Git trata seu índice. Não há relato de exploração antes da disponibilização das correções.
Exploração de RCE no SGLang compromete NEAR AI e rouba dados de 18 agentes e cerca de 100 usuários
Um atacante explorou uma falha de execução remota de código (RCE) no SGLang, mecanismo de inferência de código aberto, e executou código em um dos servidores de inferência da NEAR AI no último domingo. Segundo a empresa, o atacante também pode ter visualizado requisições processadas naquele servidor naquele dia, incluindo pedidos enviados em modo confidencial, que são processados dentro de um ambiente de execução confiável (TEE).
Patch Tuesday da Microsoft de novembro de 2027 (ter, 10 de novembro)
A Microsoft divulgou seu pacote mensal de atualizações de novembro de 2027, corrigindo 1.260 vulnerabilidades diferentes — volume que o SANS ISC atribui ao aumento de correções impulsionado por IA. Desse total, 68 falhas são consideradas críticas. Outras 167 correções referem-se a problemas do Chromium que afetam o Microsoft Edge.
Patch Tuesday da Microsoft de novembro de 2026 corrige 1.235 falhas e zero-day no Outlook
A Microsoft lançou as atualizações de segurança do Patch Tuesday de novembro de 2026, corrigindo um recorde de 1.235 falhas. Entre as correções está uma vulnerabilidade zero-day no Outlook que está sendo explorada ativamente. O texto não cita o identificador CVE da falha nem detalha outros produtos afetados.
Agentes de codificação com IA vazam milhares de segredos para o GitHub
Pesquisadores identificaram que um comando do Claude Code grava inadvertidamente arquivos contendo credenciais e outros dados sensíveis em repositórios Git públicos. O comportamento, típico de agentes de codificação com IA, cria lacunas de segurança para organizações que os utilizam no desenvolvimento. O levantamento aponta milhares de segredos expostos no GitHub em decorrência desse fluxo.
Atualizações cumulativas KB5132061 e KB5131087 do Windows 11 são lançadas
A Microsoft lançou as atualizações cumulativas de Patch Tuesday para o Windows 11 nas versões 26H2, 25H2, 24H2 e 23H2, identificadas como KB5132061 e KB5131087. Os pacotes corrigem vulnerabilidades de segurança e bugs, além de adicionar novos recursos ao sistema. A notícia não detalha falhas específicas nem CVEs individualmente.
Adobe corrige 110 vulnerabilidades em 9 produtos
A Adobe publicou correções para 110 vulnerabilidades que afetam nove produtos, incluindo AEM, Premiere, Photoshop, After Effects, Connect, Audition, Dimension, Content Credentials SDK e Media Encoder. A notícia não detalha CVEs específicos nem descreve falhas individuais exploradas.
Em destaque (30 dias)
Fabricantes mais citados
Tipos de ataque
Tags
Críticos ativamente explorados (CVSS + KEV/EUVD)
CVEs com severidade crítica (CVSS ≥ 9.0) que constam em catálogo de exploração confirmada — CISA KEV ou EUVD/ENISA, o mesmo critério que vale +10 no ranking. Vêm ordenados pela modificação mais recente, mas os filtros acima da tabela e os cabeçalhos clicáveis permitem recortar e reordenar por CVSS, EPSS ou VPR. Se está nesta lista, é prioridade máxima de correção.
Uma burla de autenticação no Barracuda Email Security Gateway em versões anteriores à 9.4.0.030 permite que um atacante remoto não autenticado invoque uma função de importação de configuração e restaure um arquivo de backup compatível e manipulado, resultando em modificação não autorizada da configuração global do appliance.
Um ataque à cadeia de suprimentos comprometeu os pacotes oficiais de instalação do DAEMON Tools Lite (versões Windows 12.5.0.2421 a 12.5.0.2434), distribuídos a partir do site legítimo daemon-tools.cc entre aproximadamente 8 de abril de 2026 e 5 de maio de 2026. Os atacantes obtiveram acesso não autorizado à infraestrutura de compilação ou distribuição do fornecedor (AVB Disc Soft) e trojanizaram três binários: DTHelper.exe, DiscSoftBusServiceLite.exe e DTShellHlp.exe. Esses arquivos foram assinados digitalmente com o certificado legítimo de assinatura de código da AVB Disc Soft, permitindo que os instaladores maliciosos parecessem confiáveis e burlassem a detecção baseada em assinatura.
Uma vulnerabilidade de estouro de buffer no decodificador Brotli (c/dec/decode.c) no Google Brotli versões 1.0.3 até 1.2.0 em todas as plataformas permite que um atacante remoto não autenticado corrompa a memória de estado adjacente do decodificador, divulgue conteúdos sensíveis da memória, cause uma negação de serviço ou potencialmente execute código arbitrário usando um fluxo compactado com Brotli especialmente criado. Os usuários precisam atualizar quaisquer bibliotecas ou binários do Brotli entre 1.0.3 e 1.2.0 para a versão mais recente disponível: 1.0.10 ou 1.1.1 ou 1.2.1.
IBM Aspera Faspex 5.0.0 até 5.0.19 pode permitir que um usuário autorizado crie uma mensagem específica para contornar a autorização do usuário e obter privilégios administrativos completos.
O FreeSWITCH é uma Pilha de Telecomunicações Definida por Software que possibilita a transformação digital de centrais de telecomunicações proprietárias para uma implementação de software que roda em qualquer hardware de prateleira. Antes da versão 1.11.3, sofia_presence_handle_sip_i_message() dividia o usuário To de uma MESSAGE SIP de entrada em um sinal de mais e tratava o lado esquerdo como um seletor de protocolo de chat. Selecionar o api chat proto alcançava switch_api_execute(), permitindo que um par cuja MESSAGE fosse aceita executasse comandos da API do FreeSWITCH, incluindo sinks de comandos do sistema operacional, com os privilégios do daemon. O chat de entrada está habilitado nos perfis internos e externos padrão, e qualquer conta de perfil autenticada é suficiente; usuários de diretório padrão sem material de senha também podem remover essa barreira em configurações afetadas. A falha permite a divulgação de configuração e credenciais, controle arbitrário de chamadas e execução de comandos, e a exploração foi observada em ambiente real. Este problema é corrigido na versão 1.11.3.
GPUStack é um gerenciador de cluster de GPU de código aberto para servir modelos de IA e provisionar instâncias de GPU. Antes da versão 2.2.0, get_current_user em gpustack/api/auth.py tratava uma origem de requisição de loopback como o administrador integrado quando force_auth_localhost era falso, que era o padrão. Uma requisição remota poderia parecer originar-se de 127.0.0.1 porque client_ip_getter aceitava um par de proxy reverso do mesmo host ou um valor de loopback X-GPUStack-Real-IP fornecido pelo cliente. O bypass permitia acesso administrativo não autenticado, incluindo alterações de usuários e modelos, criação persistente de chave de API de administrador, divulgação de segredos de worker e de provedor de nuvem, e execução de código por meio de POST /v2/inference-backends/from-yaml. A exploração foi observada em ambiente real contra uma implantação 2.1.1. Este problema é corrigido na versão 2.2.0.
Uma vulnerabilidade de Autenticação Incorreta no mecanismo de autenticação SSLVPN permite que um atacante remoto ignore a autenticação.
O Metro Development Server, aberto pelo React Native Community CLI, vincula-se a interfaces externas por padrão. O servidor expõe um endpoint vulnerável a injeção de comandos do sistema operacional. Isso permite que atacantes de rede não autenticados enviem uma requisição POST ao servidor e executem executáveis arbitrários. No Windows, os atacantes também podem executar comandos shell arbitrários com argumentos totalmente controlados.
O PHP possui vários estados globais que apontam temporariamente para a memória da requisição. Em alguns cenários, o estado global pode não ser redefinido corretamente, ou pode ser repopulado após ser redefinido. O estado global pode então referenciar a memória da requisição mesmo após ela ter sido liberada. Requisições subsequentes podem ler ou ramificar com base nesse estado obsoleto antes que ele seja totalmente inicializado. Múltiplas estratégias podem acionar essa condição e produzir execução remota de código (RCE).
O PHP usa longjmp() para erros de falta de memória (OOM) para sair do contexto atual e abortar o tratamento da requisição. Alguns contextos podem não considerar adequadamente esse cenário e deixar a memória da requisição em um estado não inicializado antes de realizar uma alocação. O procedimento subsequente de limpeza da requisição pode ler ou desviar com base nessa memória. Múltiplas estratégias de OOM podem acionar consistentemente essa condição e levar à execução remota de código (RCE).
O GitLab corrigiu um problema no GitLab CE/EE que afeta todas as versões desde a 19.2 anterior à 19.2.8, a 19.3 anterior à 19.3.5 e a 19.4 anterior à 19.4.2 que, sob certas condições, poderia ter permitido a um usuário não autenticado executar código arbitrário no servidor GitLab por meio de uma expressão regular especialmente criada em uma configuração de CI/CD, devido à validação insuficiente de expressões regulares.
Collabora Online Built-in CODE Server anterior a 26.4.303 (richdocumentscode), um aplicativo Nextcloud, permite execução remota de código, como explorado em ataques na natureza em setembro e outubro de 2026, uma vulnerabilidade diferente de CVE-2025-66208. Trata-se de uma injeção de comando do sistema operacional em proxy.php quando o servidor CODE não está em execução (por exemplo, o produto foi reiniciado recentemente). A vulnerabilidade não está presente em servidores Collabora Online autônomos; apenas esta implantação com CODE Server é afetada.
Esta é uma vulnerabilidade no Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible e Fisheye. Esta vulnerabilidade de Acesso Arbitrário a Arquivos permite que um atacante não autenticado acesse arquivos específicos dentro do diretório raiz da aplicação web em versões afetadas. A exploração requer conhecimento prévio do nome e caminho exatos do arquivo alvo; esta vulnerabilidade não permite que atacantes enumerem ou listem o conteúdo de diretórios. Em algumas configurações, pode haver arquivos sensíveis que tornam isso altamente severo. Esta vulnerabilidade permite que um atacante remoto não autenticado acesse arquivos específicos dentro do diretório raiz da aplicação web em versões afetadas. A vulnerabilidade deve ser corrigida para as versões afetadas de: -- Bitbucket Data Center, introduzida na versão >= 4.6.0, versões de correção: 9.4.26, 10.2.8, 10.5.1 -- Confluence Data Center, introduzida na versão >= 5.10.0, versões de correção 9.2.26, 10.2.19 -- Crowd Data Center, introduzida na versão >= 2.11.0, versões de correção 6.3.7, 7.0.3, 7.1.7, 7.2.4 -- Jira Software Data Center, introduzida na versão >= 7.1.0, versões de correção 9.12.40, 10.3.26, 11.3.12 -- Jira Service Management Data Center, introduzida na versão >= 3.1.0, versões de correção 5.12.40, 10.3.26, 11.3.12 -- Bamboo Data Center >= 7.0.1, versões de correção 10.2.24, 12.1.12 -- Crucible, versões de correção 4.9.15 -- Fisheye, versão de correção 4.9.15 -- A exploração requer conhecimento prévio do nome e caminho exatos do arquivo alvo. A vulnerabilidade não inclui a capacidade de enumerar ou listar o conteúdo de diretórios.
Uma vulnerabilidade de limitação inadequada de um nome de caminho a um diretório restrito ('path traversal') no Fortinet FortiMail 8.0.0 até 8.0.1, FortiMail 7.6.0 até 7.6.6, FortiMail 7.4.0 até 7.4.8, FortiMail 7.2.0 até 7.2.9 pode permitir que um atacante não autenticado grave arquivos arbitrários no sistema subjacente por meio de requisições HTTP ou HTTPS especialmente criadas.
O Adobe Commerce é afetado por uma vulnerabilidade de Upload Irrestrito de Arquivo com Tipo Perigoso que pode resultar na execução de código arbitrário no contexto do usuário atual. Um atacante poderia explorar essa vulnerabilidade para injetar scripts maliciosos em uma página da web, potencialmente obtendo acesso elevado ou controle sobre a conta ou sessão da vítima. A exploração deste problema requer interação do usuário, pois a vítima deve visitar uma URL maliciosamente criada ou interagir com uma página da web comprometida. O escopo é alterado.
Thymeleaf é um mecanismo de template Java do lado do servidor para ambientes web e standalone. As versões 3.1.3.RELEASE e anteriores contêm uma vulnerabilidade de bypass de segurança nos mecanismos de execução de expressões. Embora a biblioteca forneça mecanismos para prevenir injeção de expressões, ela falha em restringir adequadamente o escopo de objetos acessíveis, permitindo que objetos específicos potencialmente sensíveis sejam alcançados de dentro de um template. Se um desenvolvedor de aplicação passar entrada de usuário não validada diretamente para o mecanismo de template, um atacante remoto não autenticado pode contornar as proteções da biblioteca para alcançar Server-Side Template Injection (SSTI). Este problema foi corrigido na versão 3.1.4.RELEASE.
Uma vulnerabilidade de neutralização inadequada de elementos especiais usados em um comando do sistema operacional ('injeção de comando do sistema operacional') no Fortinet FortiSandbox 4.4.0 até 4.4.8 pode permitir que um invasor execute código ou comandos não autorizados via <insira o vetor de ataque aqui>
Thymeleaf é um mecanismo de template Java do lado do servidor para ambientes web e standalone. As versões 3.1.3.RELEASE e anteriores contêm uma vulnerabilidade de bypass de segurança nos mecanismos de execução de expressões. Embora a biblioteca forneça mecanismos para prevenir injeção de expressões, ela falha em neutralizar adequadamente padrões de sintaxe específicos que permitem a execução de expressões não autorizadas. Se um desenvolvedor de aplicação passar entrada de usuário não validada diretamente para o mecanismo de template, um atacante remoto não autenticado pode contornar as proteções da biblioteca para alcançar Server-Side Template Injection (SSTI). Este problema foi corrigido na versão 3.1.4.RELEASE.
cPanel e WHM versões posteriores a 11.40 contêm uma vulnerabilidade de bypass de autenticação no fluxo de login que permite que atacantes remotos não autenticados obtenham acesso não autorizado ao painel de controle.
LiteLLM é um servidor proxy (AI Gateway) para chamar APIs LLM no formato OpenAI (ou nativo). Da versão 1.81.16 até a versão anterior a 1.83.7, uma consulta ao banco de dados usada durante verificações de chave de API do proxy misturava o valor da chave fornecido pelo chamador no texto da consulta, em vez de passá-lo como um parâmetro separado. Um atacante não autenticado poderia enviar um cabeçalho Authorization especialmente criado para qualquer rota da API LLM (por exemplo, POST /chat/completions) e alcançar essa consulta através do caminho de tratamento de erros do proxy. Um atacante poderia ler dados do banco de dados do proxy e possivelmente modificá-los, levando a acesso não autorizado ao proxy e às credenciais que ele gerencia. Este problema foi corrigido na versão 1.83.7.
Uma vulnerabilidade de estouro de buffer no serviço do Portal de Autenticação User-ID™ (também conhecido como Captive Portal) do software PAN-OS da Palo Alto Networks permite que um atacante não autenticado execute código arbitrário com privilégios de root nos firewalls das séries PA e VM-Series, enviando pacotes especialmente criados. O risco deste problema é bastante reduzido se você proteger o acesso ao Portal de Autenticação User-ID™ conforme as diretrizes de melhores práticas https://knowledgebase.paloaltonetworks.com/KCSArticleDetail, restringindo o acesso apenas a endereços IP internos confiáveis. Os appliances Prisma Access, Cloud NGFW e Panorama não são afetados por esta vulnerabilidade.
Em 11 de maio de 2026, entre aproximadamente 19:20 e 19:26 UTC, 84 versões maliciosas em 42 pacotes @tanstack/* foram publicadas no registro npm. As publicações foram autenticadas por meio da vinculação legítima do editor confiável OIDC do GitHub Actions para TanStack/router, mas o fluxo de trabalho de publicação em si não foi modificado. O atacante encadeou três classes de vulnerabilidades conhecidas — uma configuração incorreta de pull_request_target "Pwn Request", envenenamento de cache do GitHub Actions através do limite de confiança fork↔base e extração de memória em tempo de execução do token OIDC do processo do Actions runner — para publicar malware de roubo de credenciais sob uma identidade confiável. Cada pacote afetado recebeu exatamente duas versões maliciosas, publicadas com alguns minutos de diferença.
Uma falha foi encontrada no Ahsay AhsayCBS até 10.3.2. Esta vulnerabilidade afeta código desconhecido do arquivo /rps/api/json/UpdateReceivers.do do componente Replication Receiver. A execução de uma manipulação do argumento random pode levar à injeção de comando do sistema operacional. É possível lançar o ataque remotamente. O exploit foi publicado e pode ser usado. A atualização para a versão 10.3.4 é capaz de resolver este problema. A atualização do componente afetado é recomendada.
Maio de 2026: Este aviso de segurança fornece os detalhes e as informações de correção para uma vulnerabilidade que foi descoberta e corrigida após ser divulgada em fevereiro de 2026. Este novo aviso refere-se a uma nova vulnerabilidade no handshake da conexão de controle. A seção deste aviso inclui orientações sobre Mostrar Conexões de Controle para auxiliar em verificações do sistema. Uma vulnerabilidade na autenticação de peering no Cisco Catalyst SD-WAN Controller, anteriormente SD-WAN vSmart, no Cisco Catalyst SD-WAN Manager, anteriormente SD-WAN vManage, e no Cisco Catalyst SD-WAN Validator, anteriormente SD-WAN vBond, poderia permitir que um atacante remoto não autenticado contornasse a autenticação e obtivesse privilégios administrativos em um sistema afetado. Essa vulnerabilidade existe porque o mecanismo de autenticação de peering em um sistema afetado não está funcionando corretamente. Um atacante poderia explorar essa vulnerabilidade enviando requisições maliciosas ao sistema afetado. Uma exploração bem-sucedida poderia permitir que o atacante fizesse login em um Cisco Catalyst SD-WAN Controller afetado como uma conta de usuário interna, com altos privilégios e não-root. Usando essa conta, o atacante poderia acessar o NETCONF, o que então permitiria manipular a configuração de rede da malha SD-WAN.
MLflow é uma plataforma de engenharia de IA open source para agentes, grandes modelos de linguagem e modelos de machine learning. Antes da versão 3.15.0, o endpoint não autenticado POST /api/2.0/mlflow/webhooks/{id}/test chama _validate_webhook_url() em mlflow/utils/validation.py somente para a URL original, enquanto mlflow/webhooks/delivery.py segue redirecionamentos e re-resolve o hostname sem fixar o endereço validado, permitindo que atacantes alcancem serviços internos ou de metadados em nuvem e recebam response_status e response_body. Este problema foi corrigido na versão 3.15.0.
Vulnerabilidade no NetScaler ADC e no NetScaler Gateway. Este problema afeta o ADC: de 14.1 até 73.32 e de 13.1 até 63.21; o Gateway: de 14.1 até 73.32 e de 13.1 até 63.21.
A Adobe Commerce é afetada por uma vulnerabilidade de Autorização Incorreta que pode resultar em escalonamento de privilégios. Um atacante pode explorar essa vulnerabilidade para obter acesso elevado a recursos sensíveis. A exploração deste problema não requer interação do usuário.
O VeloCloud Orchestrator (VCO) on-prem apresenta um problema de segurança que pode permitir a um atacante remoto acessar funcionalidades internas privilegiadas e impactar o host do VCO. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade do orquestrador e dos dados gerenciados pelo orquestrador. Em um sistema afetado, qualquer usuário autenticado pode obter privilégios de operador e se passar por um usuário local "superuser operator". Isso inclui acesso a funcionalidades destinadas apenas ao uso interno e que não devem ser acessíveis remotamente. As versões hospedadas do VCO, incluindo as Dedicated, foram impactadas e já foram corrigidas.
Uma vulnerabilidade no SP Page Builder para Joomla permite que usuários não autenticados façam upload de arquivos arbitrários, resultando, em última análise, no upload e execução de código PHP.
Uma vulnerabilidade na extensão iCagenda para Joomla permite o upload de arquivos arbitrários no recurso de anexo de arquivos, resultando, em última análise, no upload e execução de código PHP.
Paperclip é um servidor Node.js e uma interface React que orquestra uma equipe de agentes de IA para gerenciar um negócio. Antes da versão 2026.416.0, um atacante não autenticado pode obter execução remota completa de código em qualquer instância Paperclip acessível pela rede que esteja executando no modo `authenticated` com configuração padrão. Sem interação do usuário, sem credenciais, apenas o endereço do alvo. A cadeia consiste em seis chamadas de API. O ataque é totalmente automatizado, não requer interação do usuário e funciona contra a configuração de implantação padrão. A versão 2026.416.0 corrige o problema.
ColdFusion versões 2025.9, 2023.20 e anteriores são afetadas por uma vulnerabilidade de Limitação Imprópria de um Caminho para um Diretório Restrito ('Path Traversal') que poderia levar à execução arbitrária de código no contexto do usuário atual. A exploração deste problema não requer interação do usuário. O escopo é alterado.
A extensão Page Builder CK do Joomla é vulnerável a um upload arbitrário de arquivos não autenticado que permite o upload de arquivos executáveis e leva a RCE completa.
Kestra é uma plataforma de orquestração open-source orientada a eventos. Antes das versões 1.0.45 e 1.3.21, o AuthenticationFilter no Kestra OSS usa request.getPath().endsWith("/configs") para incluir o endpoint público de configuração na lista de permissões do Basic Auth. Como a verificação é uma correspondência de sufixo em vez de uma correspondência exata de caminho, qualquer caminho de API cujo último segmento seja configs ignora a autenticação por completo. Um atacante remoto não autenticado pode explorar isso para criar e executar fluxos de trabalho arbitrários sem credenciais. Como o Kestra vem com plugins de execução de script (plugin-script-shell, plugin-script-python, etc.) habilitados por padrão, isso resulta diretamente em execução remota de código não autenticada como root dentro do contêiner do worker do Kestra. Essa vulnerabilidade é corrigida nas versões 1.0.45 e 1.3.21.
A extensão Balbooa Forms do Joomla é vulnerável a um upload arbitrário de arquivos não autenticado que permite o upload de arquivos executáveis e leva a RCE total.
Uma vulnerabilidade de Server-side request forgery (SSRF) foi identificada na interface Work Place do appliance SMA1000. Um atacante remoto não autenticado pode potencialmente fazer com que o appliance faça requisições para locais não intencionados.
IBM Langflow OSS 1.0.0 até 1.10.0 permite que atacantes não autenticados encadeiem /api/v1/auto_login (emite tokens de SUPERUSUÁRIO para qualquer chamador de rede) com /api/v1/validate/code (executa código do usuário via exec()) para obter RCE completo em implantações padrão do Langflow.
Existe uma vulnerabilidade de injeção SQL não autenticada no Sangoma Switchvox SMB Edition 8.3 (104997). O endpoint /pa processa conteúdo XML começando com <PolycomIPPhone> e concatena diretamente o valor PhoneIP controlado pelo usuário em consultas PostgreSQL sem sanitização ou parametrização. Um atacante remoto não autenticado pode executar instruções SQL arbitrárias contra o banco de dados PostgreSQL de backend usando uma única requisição manipulada, incluindo operações de banco de dados e execução remota de código.
Um problema de autenticação foi resolvido com melhor gerenciamento de estado. Este problema foi corrigido no macOS Sequoia 15.7.9, macOS Sonoma 14.8.9, macOS Tahoe 26.6.1. Um atacante na rede pode conseguir autenticar no Screen Sharing sem credenciais válidas.
Em JetBrains TeamCity antes de 2026.1.3 e 2025.11.7, era possível a execução remota de código não autenticada através do protocolo de polling do agente.
VeloCloud Orchestrator (VCO) on-prem apresenta um problema de segurança onde esta questão pode permitir que um atacante remoto acesse funcionalidades internas privilegiadas e impacte o host do VCO. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade do orquestrador e dos dados gerenciados pelo orquestrador. Esta funcionalidade foi projetada para uso interno apenas e não se destina a ser acessível remotamente. As versões Hosted e Dedicated do VCO já foram corrigidas antes da publicação deste aviso. Esta questão foi descoberta externamente e sabe-se que está sendo ativamente explorada.
Uma vulnerabilidade de bypass de autenticação no processo de login do Check Point SmartConsole permite que um atacante remoto não autenticado obtenha um token de login do aplicativo e o utilize para autenticar com privilégios administrativos completos. A exploração bem-sucedida permite que o atacante modifique políticas de segurança e configurações de segurança. A exploração remota requer acesso à internet ao endereço IP do Management Server e uma configuração que não restrinja Trusted Clients. A Check Point está ciente de que esta vulnerabilidade está sendo explorada e afetou um número muito pequeno de clientes.
Uma gravação fora dos limites no Fortinet FortiOS versões 7.4.0 a 7.4.2, 7.2.0 a 7.2.6, 7.0.0 a 7.0.13, 6.4.0 a 6.4.14, 6.2.0 a 6.2.15, 6.0.0 a 6.0.17, FortiProxy versões 7.4.0 a 7.4.2, 7.2.0 a 7.2.8, 7.0.0 a 7.0.14, 2.0.0 a 2.0.13, 1.2.0 a 1.2.13, 1.1.0 a 1.1.6, 1.0.0 a 1.0.7 permite que um atacante execute código ou comandos não autorizados por meio de solicitações especificamente criadas.
No kernel Linux, a seguinte vulnerabilidade foi resolvida: tls: corrigir o tratamento de registros de comprimento zero na rx_list Cada chamada recvmsg() deve processar ou - apenas registros DATA contíguos (qualquer número deles) - um registro não-DATA Se o próximo registro tiver tipo diferente do que já foi processado, saímos do loop principal de processamento. Se o registro já foi descriptografado (o que pode ser o caso no TLS 1.3, onde não sabemos o tipo até a descriptografia), enfileiramos o registro pendente na rx_list. A próxima recvmsg() o pegará de lá. Enfileirar o skb na rx_list após descriptografia zero-copy não é possível, pois nesse caso descriptografamos diretamente no buffer do espaço do usuário, e não temos um skb para enfileirar (darg.skb aponta para o skb de texto cifrado para acesso a metadados como comprimento). Apenas registros de dados permitem zero-copy, e interrompemos o loop de processamento após cada registro não-dados. Portanto, nunca devemos fazer zero-copy e então descobrir que o tipo do registro mudou. O caso extremo que deixamos passar é quando o registro inicial vem da rx_list e tem comprimento zero.
As versões do Triofox anteriores a 16.7.10368.56560 são vulneráveis a uma falha de Controle de Acesso Improprio que permite acesso às páginas de configuração inicial mesmo após a conclusão da configuração.
Ray é um mecanismo de computação de IA. Antes da versão 2.52.0, desenvolvedores que trabalham com Ray como ferramenta de desenvolvimento podem ser explorados por meio de uma vulnerabilidade crítica de RCE explorável via Firefox e Safari. Essa vulnerabilidade se deve a uma proteção insuficiente contra ataques baseados em navegador, pois a defesa atual usa o cabeçalho User-Agent começando com a string "Mozilla" como mecanismo de defesa. Essa defesa é insuficiente, pois a especificação fetch permite que o cabeçalho User-Agent seja modificado. Combinada com um ataque de DNS rebinding contra o navegador, essa vulnerabilidade é explorável contra um desenvolvedor que executa Ray e visita inadvertidamente um site malicioso, ou recebe um anúncio malicioso (malvertising). Esse problema foi corrigido na versão 2.52.0.
Uma vulnerabilidade no servidor web VPN do software Cisco Secure Firewall Adaptive Security Appliance (ASA) e do software Cisco Secure Firewall Threat Defense (FTD) pode permitir que um atacante remoto autenticado execute código arbitrário em um dispositivo afetado. Esta vulnerabilidade deve-se à validação inadequada da entrada fornecida pelo usuário em solicitações HTTP(S). Um atacante com credenciais válidas de usuário VPN poderia explorar esta vulnerabilidade enviando solicitações HTTP manipuladas para um dispositivo afetado. Uma exploração bem-sucedida poderia permitir que o atacante executasse código arbitrário como root, possivelmente resultando no comprometimento total do dispositivo afetado.
Vulnerabilidade de Desserialização de Dados Não Confiáveis no Sitecore Experience Manager (XM) e Sitecore Experience Platform (XP) permite Injeção de Código. Este problema afeta Experience Manager (XM): até 9.0; Experience Platform (XP): até 9.0.
Uma vulnerabilidade de desserialização no Servlet de Licença do GoAnywhere MFT da Fortra permite que um ator com uma assinatura de resposta de licença forjada validamente desserialize um objeto arbitrário controlado pelo ator, possivelmente levando à injeção de comandos.
Uma vulnerabilidade de travessia de caminho relativo no Fortinet FortiWeb 8.0.0 até 8.0.1, FortiWeb 7.6.0 até 7.6.4, FortiWeb 7.4.0 até 7.4.9, FortiWeb 7.2.0 até 7.2.11, FortiWeb 7.0.0 até 7.0.11 pode permitir que um invasor execute comandos administrativos no sistema por meio de solicitações HTTP ou HTTPS manipuladas.
GeoServer é um servidor de código aberto que permite aos usuários compartilhar e editar dados geoespaciais. Da versão 2.26.0 até anterior à 2.26.2 e anterior à 2.25.6, foi identificada uma vulnerabilidade de XML External Entity (XXE). O aplicativo aceita entrada XML através de um endpoint específico /geoserver/wms na operação GetMap. No entanto, essa entrada não é suficientemente sanitizada ou restrita, permitindo que um invasor defina entidades externas dentro da solicitação XML. Este problema foi corrigido no GeoServer 2.25.6, GeoServer 2.26.3 e GeoServer 2.27.0.
A desserialização de dados não confiáveis no Microsoft Entra ID permite que um atacante não autorizado execute código pela rede.
Existe uma vulnerabilidade de execução remota de código sem autenticação nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0 do React Server Components, incluindo os seguintes pacotes: react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. O código vulnerável desserializa de forma insegura cargas úteis de requisições HTTP para endpoints de Server Function.
A vulnerabilidade existe em componentes internos do produto Remote Support da BeyondTrust. Os componentes não validavam adequadamente a origem das mensagens que recebiam. Sob as condições certas, isso poderia permitir que um atacante realizasse operações de arquivo no appliance.
As versões do Langflow até e incluindo a 1.6.9 contêm uma vulnerabilidade encadeada que possibilita a tomada de conta e execução remota de código. Uma configuração CORS excessivamente permissiva (allow_origins='*' com allow_credentials=True) combinada com um cookie de token de atualização configurado como SameSite=None permite que uma página web maliciosa realize requisições de origem cruzada que incluem credenciais e chamem com sucesso o endpoint de atualização. Uma origem controlada pelo atacante pode, portanto, obter novos pares de access_token / refresh_token para uma sessão da vítima. Os tokens obtidos permitem acesso a endpoints autenticados — incluindo funcionalidades de execução de código integradas — permitindo que o atacante execute código arbitrário e comprometa totalmente o sistema.
Vulnerabilidade de Execução Remota de Código por Injeção de Comandos do SO na API em Produtos Progress ADC permite que um atacante não autenticado execute comandos arbitrários no appliance LoadMaster ao explorar entrada não sanitizada em múltiplos endpoints de comando
Uma vulnerabilidade no recurso Advanced Malware Protection (AMP) do Cisco Secure Email Gateway pode permitir que um atacante remoto não autenticado grave arquivos arbitrários no sistema operacional subjacente. Essa vulnerabilidade é devida ao tratamento inadequado de anexos de email quando o serviço de reputação de arquivos está habilitado. Um atacante pode explorar essa vulnerabilidade enviando um email que contenha um anexo especialmente criado por meio de um dispositivo afetado. Uma exploração bem-sucedida pode permitir que o atacante grave arquivos arbitrários e execute comandos com privilégios de root no sistema operacional subjacente.
Nx Console é a interface do usuário para Nx & Lerna. Em 19 de maio de 2026, uma versão maliciosa do Nx Console, 18.95.0, foi publicada às 12:30 UTC e removida logo depois às 12:48 UTC, permanecendo disponível por aproximadamente 18 minutos no Visual Studio Marketplace. Para o OpenVSX, o problema foi detectado posteriormente, e a versão comprometida ficou disponível das 12:33 UTC às 13:09 UTC (cerca de 36 minutos). A versão 18.100.0 do Nx Console não está comprometida, e os usuários podem remediar atualizando para essa versão.
O SolarWinds Web Help Desk foi considerado suscetível a uma vulnerabilidade de execução remota de código por desserialização não autenticada no AjaxProxy que, se explorada, permitiria que um invasor executasse comandos na máquina host. Essa vulnerabilidade é um bypass do patch da CVE-2024-28988, que por sua vez é um bypass do patch da CVE-2024-28986.
As versões 6.3.0 a 6.5.4 do Zammad são vulneráveis a uma vulnerabilidade de sequestro de sessão que leva à execução remota de código como o usuário zammad. A vulnerabilidade também está presente na versão 7.0.0 até a versão 7.1.3, mas não é explorável devido às condições do ambiente.
O módulo mod_copy no ProFTPD 1.3.5 permite que atacantes remotos leiam e gravem em arquivos arbitrários por meio dos comandos site cpfr e site cpto.
Todas as versões do Zammad, incluindo a versão alfa mais recente, permitem que o usuário local zammad eleve privilégios para root.
Ocorre travessia de diretório com execução remota de código em /upload no ONLYOFFICE Document Server anterior à versão 5.6.3, quando o JWT é usado, por meio de uma sequência /.. em um parâmetro de upload de imagem.
Vulnerabilidade no produto Oracle Concurrent Processing do Oracle E-Business Suite (componente: BI Publisher Integration). As versões suportadas afetadas são 12.2.3-12.2.14. Vulnerabilidade facilmente explorável permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Oracle Concurrent Processing. Ataques bem-sucedidos desta vulnerabilidade podem resultar na tomada de controle do Oracle Concurrent Processing. Pontuação Base CVSS 3.1 9.8 (Impactos na Confidencialidade, Integridade e Disponibilidade). Vetor CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Lanscope Endpoint Manager (On-Premises) (Programa cliente (MR) e Agente de detecção (DA)) verifica incorretamente a origem das requisições recebidas, permitindo que um invasor execute código arbitrário ao enviar pacotes especialmente criados.
Versões do Langflow anteriores à 1.3.0 são suscetíveis a injeção de código no endpoint /api/v1/validate/code. Um atacante remoto e não autenticado pode enviar requisições HTTP maliciosas para executar código arbitrário.
Vários dispositivos de armazenamento conectado à rede (NAS) da ZyXEL executando a versão de firmware 5.21 contêm uma vulnerabilidade de injeção de comandos sem autenticação, que pode permitir que um invasor remoto não autenticado execute código arbitrário em um dispositivo vulnerável. Dispositivos NAS da ZyXEL realizam autenticação usando o executável CGI weblogin.cgi. Este programa não sanitiza adequadamente o parâmetro de nome de usuário que é passado para ele. Se o parâmetro de nome de usuário contiver certos caracteres, pode permitir injeção de comandos com os privilégios do servidor web que executa no dispositivo ZyXEL. Embora o servidor web não execute como usuário root, dispositivos ZyXEL incluem um utilitário setuid que pode ser usado para executar qualquer comando com privilégios de root. Como tal, deve-se assumir que a exploração desta vulnerabilidade pode levar à execução remota de código com privilégios de root. Ao enviar uma solicitação HTTP POST ou GET especialmente criada para um dispositivo ZyXEL vulnerável, um invasor remoto não autenticado pode ser capaz de executar código arbitrário no dispositivo. Isso pode ocorrer ao conectar-se diretamente a um dispositivo se ele estiver diretamente exposto a um invasor. No entanto, existem maneiras de acionar tais solicitações criadas mesmo que um invasor não tenha conectividade direta com um dispositivo vulnerável. Por exemplo, simplesmente visitar um site pode resultar no comprometimento de qualquer dispositivo ZyXEL que esteja acessível a partir do sistema cliente. Produtos afetados incluem: NAS326 anterior ao firmware V5.21(AAZF.7)C0 NAS520 anterior ao firmware V5.21(AASZ.3)C0 NAS540 anterior ao firmware V5.21(AATB.4)C0 NAS542 anterior ao firmware V5.21(ABAG.4)C0 A ZyXEL disponibilizou atualizações de firmware para dispositivos NAS326, NAS520, NAS540 e NAS542. Modelos afetados que estão em fim de suporte: NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 e NSA325v2
Escrita fora dos limites em libimagecodec.quram.so anterior ao SMR Set-2025 Release 1 permite que atacantes remotos executem código arbitrário.
Quando uma política de acesso BIG-IP APM é configurada em um servidor virtual, tráfego malicioso específico pode levar à Execução Remota de Código (RCE). Nota: Versões de software que atingiram o Fim do Suporte Técnico (EoTS) não são avaliadas.
Vulnerabilidade no produto Identity Manager da Oracle Fusion Middleware (componente: REST WebServices). As versões suportadas afetadas são 12.2.1.4.0 e 14.1.2.1.0. Vulnerabilidade facilmente explorável permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Identity Manager. Ataques bem-sucedidos desta vulnerabilidade podem resultar na tomada de controle do Identity Manager. Pontuação Base CVSS 3.1 9.8 (Impactos de Confidencialidade, Integridade e Disponibilidade). Vetor CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Validação de entrada insuficiente levando a leitura excessiva de memória quando o NetScaler está configurado como Gateway (servidor virtual VPN, Proxy ICA, CVPN, Proxy RDP) ou servidor virtual AAA
WordPress 6.9.x anterior a 6.9.5 e 7.0.x anterior a 7.0.2 é afetado por um problema de confusão de rota de endpoint em lote da REST API que, combinado com a injeção SQL author__not_in no WP_Query (CVE-2026-60137), poderia permitir que um invasor realizasse injeção SQL e alcançasse execução remota de código.
Escrita fora dos limites em libimagecodec.quram.so anterior ao SMR Apr-2025 Release 1 permite que atacantes remotos executem código arbitrário.
No Cleo Harmony anterior à versão 5.8.0.21, VLTrader anterior à versão 5.8.0.21 e LexiCom anterior à versão 5.8.0.21, há um upload e download irrestrito de arquivos que pode levar à execução remota de código.
SimpleHelp versões 5.5.15 e anteriores e versões pré-lançamento 6.0 contêm uma vulnerabilidade de bypass de autenticação no fluxo de autenticação OIDC. Quando a autenticação OIDC está configurada, os tokens de identidade enviados durante o login são aceitos sem verificar sua assinatura criptográfica. Em uma configuração vulnerável, um atacante remoto não autenticado pode enviar um token forjado contendo declarações de identidade arbitrárias para obter uma sessão de técnico totalmente autenticada. Em algumas configurações, isso também pode permitir o bypass da autenticação multifator. Nenhuma interação do usuário é necessária.
Neutralização inadequada de elementos especiais usados em um comando SQL ('SQL Injection') no Drupal Drupal core permite injeção de SQL. Este problema afeta o Drupal core: de 8.9.0 antes de 10.4.10, de 10.5.0 antes de 10.5.10, de 10.6.0 antes de 10.6.9, de 11.0.0 antes de 11.1.10, de 11.2.0 antes de 11.2.12, de 11.3.0 antes de 11.3.10.
Uma vulnerabilidade em uma API do Cisco Identity Services Engine (ISE) pode permitir que um atacante remoto não autenticado contorne a autenticação. Essa vulnerabilidade ocorre devido a um controle de autenticação insuficiente em um endpoint da API. Um atacante pode explorar essa vulnerabilidade enviando uma requisição maliciosa para um endpoint da API afetado. Uma exploração bem-sucedida pode permitir que o atacante obtenha acesso não autorizado ao dispositivo afetado, contornando a interface de gerenciamento baseada na web.
O plugin LiteSpeed User-End cPanel anterior à versão 2.4.5 permite escalonamento de privilégios (possivelmente para root), conforme explorado ativamente em maio de 2026. A detecção é melhor realizada via linha de comando: grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null no Bash. Se não houver saída, você não foi afetado pela exploração da vulnerabilidade. Se houver saída, recomendamos examinar os endereços IP na lista, determinar se são IPs válidos e, caso contrário, bloqueá-los. Para avaliar os danos, examine os logs do sistema quanto ao uso pelos endereços IP detectados. O problema está relacionado ao manuseio incorreto dos recursos de ativação/desativação do Redis. A versão mínima recomendada é 2.4.7.
Uma vulnerabilidade de injeção de comando do sistema operacional no Ivanti Sentry anterior às versões R10.5.2, R10.6.2 e R10.7.1 permite que um usuário remoto não autenticado obtenha execução remota de código em nível root.
Uma vulnerabilidade de estouro de buffer baseado em heap no Fortinet FortiOS 7.6.0 até 7.6.3, FortiOS 7.4.0 até 7.4.8, FortiOS 7.2.0 até 7.2.11, FortiOS 7.0.0 até 7.0.17, FortiOS 6.4 todas as versões, FortiSwitchManager 7.2.0 até 7.2.6, FortiSwitchManager 7.0.0 até 7.0.5 permite que um atacante execute código ou comandos não autorizados por meio de pacotes especialmente criados.
No Jboss Application Server, conforme distribuído com o Red Hat Enterprise Application Platform 5.2, foi descoberto que o método doFilter no ReadOnlyAccessFilter do HTTP Invoker não restringe as classes para as quais realiza desserialização, permitindo assim que um atacante execute código arbitrário por meio de dados serializados manipulados.
A exploração bem-sucedida da vulnerabilidade pode permitir que um atacante não autenticado faça upload de arquivos arbitrários para qualquer localização no servidor de e-mail, potencialmente possibilitando a execução remota de código.
Uma vulnerabilidade no gerenciamento de autenticação baseada em sessão da API do Cisco Catalyst SD-WAN Manager pode permitir que um atacante remoto não autenticado acesse um sistema afetado com privilégios do usuário admin. Essa vulnerabilidade ocorre devido ao tratamento inadequado da codificação de URI em uma solicitação HTTP, o que permite que a solicitação contorne uma regra de autenticação destinada a restringir o acesso a um endpoint específico da API. Um atacante pode explorar essa vulnerabilidade enviando uma solicitação HTTP criada especificamente para a API do sistema afetado. Uma exploração bem-sucedida pode permitir que o atacante contorne a autenticação e obtenha acesso à API como o usuário admin.
Múltiplas vulnerabilidades de travessia de diretório no console de administração do Adobe ColdFusion 9.0.1 e anteriores permitem que atacantes remotos leiam arquivos arbitrários por meio do parâmetro locale para (1) CFIDE/administrator/settings/mappings.cfm, (2) logging/settings.cfm, (3) datasources/index.cfm, (4) j2eepackaging/editarchive.cfm e (5) enter.cfm em CFIDE/administrator/.
Existe uma vulnerabilidade de execução remota de código em vários subsistemas do Drupal 7.x e 8.x. Isso potencialmente permite que atacantes explorem múltiplos vetores de ataque em um site Drupal, o que pode resultar no comprometimento do site. Esta vulnerabilidade está relacionada ao Drupal core - Altamente crítica - Execução Remota de Código - SA-CORE-2018-002. Tanto a SA-CORE-2018-002 quanto esta vulnerabilidade estão sendo exploradas ativamente.
Uma vulnerabilidade de autenticação inadequada no SSL VPN no FortiOS 6.4.0, 6.2.0 a 6.2.3, 6.0.9 e anteriores pode resultar em um usuário conseguir fazer login com sucesso sem ser solicitado o segundo fator de autenticação (FortiToken) se ele alterar a capitalização do nome de usuário.
Se explorada, essa vulnerabilidade de injeção de comandos pode permitir que atacantes remotos executem comandos arbitrários. A QNAP já corrigiu o problema nas seguintes versões do QTS. QTS 4.4.2.1231 na compilação 20200302; QTS 4.4.1.1201 na compilação 20200130; QTS 4.3.6.1218 na compilação 20200214; QTS 4.3.4.1190 na compilação 20200107; QTS 4.3.3.1161 na compilação 20200109; QTS 4.2.6 na compilação 20200109.
Vulnerabilidade no componente Oracle WebLogic Server do Oracle Fusion Middleware (subcomponente: Web Services). As versões suportadas afetadas são 10.3.6.0.0 e 12.1.3.0.0. Vulnerabilidade facilmente explorável permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Oracle WebLogic Server. Ataques bem-sucedidos desta vulnerabilidade podem resultar na tomada de controle do Oracle WebLogic Server. Pontuação Base CVSS 3.0 9.8 (Impactos na Confidencialidade, Integridade e Disponibilidade). Vetor CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
O driver de baixo nível GDrv no GIGABYTE APP Center v1.05.21 e anteriores, AORUS GRAPHICS ENGINE anteriores a 1.57, XTREME GAMING ENGINE anteriores a 1.26 e OC GURU II v2.08 expõe funcionalidade para ler e escrever Registros Específicos da Máquina (MSRs).
Existe uma vulnerabilidade de execução remota de código na forma como o protocolo Microsoft Server Message Block 3.1.1 (SMBv3) lida com certas requisições, também conhecida como 'Vulnerabilidade de Execução Remota de Código no Cliente/Servidor Windows SMBv3'.
Adobe Flash Player 21.0.0.197 e anteriores permite que atacantes remotos causem negação de serviço (falha no aplicativo) ou possivelmente executem código arbitrário por meio de vetores não especificados, conforme explorado ativamente em abril de 2016.
Vulnerabilidade não especificada no componente Oracle WebCenter Forms Recognition do Oracle Fusion Middleware 10.1.3.5 permite que atacantes remotos afetem a confidencialidade, integridade e disponibilidade por meio de vetores desconhecidos relacionados ao Designer, uma vulnerabilidade diferente da CVE-2012-1709.
Um estouro de buffer baseado em pilha no Ivanti Connect Secure anterior à versão 22.7R2.5, no Ivanti Policy Secure anterior à versão 22.7R1.2 e no Ivanti Neurons for ZTA gateways anterior à versão 22.7R2.3 permite que um atacante remoto não autenticado obtenha execução remota de código.
Limitação inadequada de um caminho para um diretório restrito no Samsung MagicINFO 9 Server versão anterior a 21.1050 permite que atacantes gravem arquivos arbitrários como autoridade do sistema.
Quando as requisições para a rede interna para webhooks estão habilitadas, uma vulnerabilidade de falsificação de requisição do lado do servidor no GitLab afetando todas as versões a partir da 10.5 podia ser explorada por um atacante não autenticado mesmo em uma instância do GitLab onde o registro está desabilitado.
O telnetd no GNU Inetutils até a versão 2.7 permite a bypass de autenticação remota através de um valor "-f root" para a variável de ambiente USER.
Vulnerabilidade de validação de entrada inadequada no Citrix NetScaler ADC e Citrix NetScaler Gateway. Este problema afeta o ADC: anterior à 14.1-73.37, anterior à 13.1-64.23, anterior à 14.1-73.37 FIPS e anterior à 13.1.37.279 FIPS e NDcPP; Gateway: anterior à 14.1-73.37 e anterior à 13.1-64.23, permitindo que um atacante não autenticado execute comandos arbitrários.
Vulnerabilidade no Citrix NetScaler ADC e Citrix NetScaler Gateway. Este problema afeta o ADC: anterior ao 14.1-73.37, anterior ao 13.1-64.23, anterior ao 14.1-73.37 FIPS e anterior ao 13.1.37.279 FIPS e NDcPP; Gateway: anterior ao 14.1-73.37 e anterior ao 13.1-64.23, levando a Execução Remota de Código ou Negação de Serviço
FreePBX é uma interface gráfica de usuário baseada na web de código aberto. Os endpoints do FreePBX 15, 16 e 17 são vulneráveis devido à sanitização insuficiente dos dados fornecidos pelo usuário, permitindo acesso não autenticado ao Administrador do FreePBX, levando à manipulação arbitrária do banco de dados e execução remota de código. Este problema foi corrigido nas versões de endpoint 15.0.66, 16.0.89 e 17.0.3.
"NÃO SUPORTADO QUANDO ATRIBUÍDO" Certas versões do cliente ASUS Live Update foram distribuídas com modificações não autorizadas introduzidas por meio de um comprometimento na cadeia de suprimentos. As versões modificadas poderiam fazer com que dispositivos que atendessem a condições específicas de segmentação realizassem ações não intencionais. Apenas dispositivos que atendiam a essas condições e instalaram as versões comprometidas foram afetados. O cliente Live Update já atingiu o fim do suporte (EOS) em outubro de 2021, e nenhum dispositivo ou produto atualmente suportado é afetado por este problema.