SardinhaNews
Threat intelligence · CVEs & notícias · atualizado em 10/09, 18:50
Tendências mensais
Novos CVEs publicados
quantidade por mês
Contagem mensal de novos CVEs publicados no NVD (National Vulnerability Database). A linha de média móvel de 3 meses filtra a oscilação mês a mês. O crescimento acelerou: +19% de 2024 para 2025 e +65% de 2025 para 2026 (jan–jul). Não ajustamos curva exponencial de propósito — ela explicaria pouco mais que uma reta (R² 0,61 contra 0,57) e sugeriria uma taxa constante que os dados não têm.
CVEs por faixa de EPSS
quantidade por mês, por probabilidade de exploração
Cada CVE é classificado pela probabilidade de ser explorado nos próximos 30 dias (EPSS/FIRST). Quase todos os novos CVEs ficam abaixo de 1% — o volume crescente de publicações ofusca o risco real, que se concentra na linha vermelha (≥10%).
CVEs por faixa de CVSS
quantidade por mês, por severidade
Distribuição por severidade CVSS: baixo (<4.0), médio (4.0–6.9), alto (7.0–8.9) e crítico (≥9.0). Severidade mede impacto potencial, não probabilidade de ataque.
Adições ao CISA KEV
último: 31CVEs adicionados por mês
CVEs que entraram no catálogo KEV da CISA (agência de cibersegurança dos EUA) — exploração ativa confirmada em ataques reais; órgãos federais americanos são obrigados a corrigi-los em prazo definido.
Registros retirados ou contestados
% dos publicados no mês (absoluto no tooltip)
Rejeitados = o programa CVE anulou o registro (não era vulnerabilidade, era duplicata, ou o solicitante recuou). Contestados = segue publicado, mas alguém — em geral o fabricante — nega que seja falha. A taxa oscila bastante e vinha caindo: 6,9% dos CVEs publicados em 2023, 1,8% em 2024, 3,6% em 2025 e 3,0% em 2026. Picos isolados costumam ser lotes — em jan/2026, 838 registros foram anulados de uma vez, a maioria de CVEs de 2025. O gráfico tem escala própria porque são poucos casos perto do volume total.
CVEs em alta (últimos 7 dias)
Ranking por score ponderado dos eventos dos últimos 7 dias: entrada em catálogo de exploração confirmada (+10 — CISA KEV ou EUVD/ENISA, contado uma única vez), salto de EPSS (+8), primeira menção na mídia (+5), mudança de CVSS (+2), novas menções (+1) e CVE novo (+1). Somam-se bônus por CVSS e EPSS atuais e por weaponização confirmada: ransomware (+4), notificação do CERT.br (+4), exploit público (+3 — Metasploit ou Exploit-DB, contado uma única vez), grupos APT (+2) e malware (+2).
Fontes:NVDEPSS (FIRST)CISA KEVEUVD (ENISA)CISA Vulnrichment (SSVC)Tenable (VPR)CERT.brCTIR GovMetasploitExploit-DBNucleiBDU/FSTECCloudflare RadarCERT.br honeypotsransomware.live
Confusão de tipo no V8 no Google Chrome anterior a 152.0.7977.82 permitia que um atacante remoto executasse código arbitrário dentro do sandbox por meio de uma página HTML maliciosa. (Severidade de segurança do Chromium: Alta)
Uma vulnerabilidade na interface web do software Cisco Secure Firewall Management Center (FMC) poderia permitir que um atacante remoto não autenticado ignorasse a autenticação e executasse arquivos de script em um dispositivo afetado para obter acesso root ao sistema operacional subjacente. Essa vulnerabilidade se deve a um processo de sistema inadequado criado na inicialização. Um atacante poderia explorar essa vulnerabilidade enviando requisições HTTP especialmente criadas para um dispositivo afetado. Uma exploração bem-sucedida poderia permitir que o atacante executasse uma variedade de scripts e comandos que concedem acesso root ao dispositivo.
Overflow de buffer baseado em heap no Windows ALPC permite que um atacante autorizado eleve privilégios localmente.
Huawei HG532 com algumas versões personalizadas possui uma vulnerabilidade de execução remota de código. Um atacante autenticado pode enviar pacotes maliciosos para a porta 37215 para realizar ataques. A exploração bem-sucedida pode levar à execução remota de código arbitrário.
N-central é vulnerável a uma execução remota de código pré-autenticação. Este problema afeta o N-central: antes de 2026.3.1.14.
O RouterOS contém uma falha no tratamento de argumentos no caminho de login SSH envolvendo nomes de usuário que começam com um caractere proibido, permitindo que a policy mask confiável do RouterOS seja alterada, levando à escalada de privilégios. A exploração requer uma sessão SSH não autenticada para alcançar o helper de login do RouterOS. Este problema foi corrigido nas versões: 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable).
A Adobe Commerce é afetada por uma vulnerabilidade de Neutralização Incorreta de Elementos Especiais Usados em um Mecanismo de Template, que pode resultar na execução arbitrária de código no contexto do usuário atual. Um atacante poderia explorar essa vulnerabilidade para executar código arbitrário. A exploração desse problema não requer interação do usuário. O escopo é alterado.
Uma vulnerabilidade de estouro de buffer baseado em heap no Fortinet FortiOS 7.6.0 até 7.6.3, FortiOS 7.4.0 até 7.4.8, FortiOS 7.2.0 até 7.2.11, FortiOS 7.0.0 até 7.0.17, FortiOS 6.4 todas as versões, FortiSwitchManager 7.2.0 até 7.2.6, FortiSwitchManager 7.0.0 até 7.0.5 permite que um atacante execute código ou comandos não autorizados por meio de pacotes especialmente criados.
RouterOS não compara a chave pública RSA completa ao corresponder uma solicitação de autenticação SSH a uma chave de usuário autorizado, verificando o tipo de chave e o módulo, mas omitindo o expoente. Como a verificação de assinatura usa a chave fornecida pelo cliente, um atacante que conheça um módulo RSA autorizado pode fornecer uma chave com expoente um, forjar uma assinatura válida e abrir um canal de comando SSH como o usuário alvo sem a chave privada. Este problema foi corrigido nas versões: 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable)
Mais CVEs (39)
Escrita fora dos limites no V8 no Google Chrome anterior a 153.0.8010.36 permitiu que um atacante remoto executasse código arbitrário dentro do sandbox por meio de uma página HTML criada. (Severidade de segurança do Chromium: Média)
Resolução de link incorreta antes do acesso ao arquivo ('link following') no Windows Update Stack permite que um atacante autorizado eleve privilégios localmente.
Uma vulnerabilidade na funcionalidade VPN de Secure Sockets Layer (SSL) do software Cisco Adaptive Security Appliance (ASA) poderia permitir que um atacante remoto não autenticado causasse uma recarga do sistema afetado ou executasse código remotamente. A vulnerabilidade se deve a uma tentativa de double free de uma região de memória quando o recurso webvpn está habilitado no dispositivo Cisco ASA. Um atacante poderia explorar essa vulnerabilidade enviando múltiplos pacotes XML manipulados para uma interface configurada com webvpn no sistema afetado. Uma exploração poderia permitir que o atacante executasse código arbitrário e obtivesse controle total do sistema, ou causasse uma recarga do dispositivo afetado. Esta vulnerabilidade afeta o software Cisco ASA executado nos seguintes produtos Cisco: 3000 Series Industrial Security Appliance (ISA), ASA 5500 Series Adaptive Security Appliances, ASA 5500-X Series Next-Generation Firewalls, ASA Services Module para Cisco Catalyst 6500 Series Switches e Cisco 7600 Series Routers, ASA 1000V Cloud Firewall, Adaptive Security Virtual Appliance (ASAv), Firepower 2100 Series Security Appliance, Firepower 4110 Security Appliance, Firepower 9300 ASA Security Module, Firepower Threat Defense Software (FTD). Cisco Bug IDs: CSCvg35618.
RouterOS aceita uma conexão "related" do btest antes que a sessão primária correspondente tenha concluído a autenticação. Um cliente não autenticado pode usar esse estado para iniciar um teste UDP IPv4. Com "random-data=false", o remetente transmite uma cauda não inicializada de um buffer de pacotes do kernel. Um intervalo de tamanho de pacote separado, não verificado e invertido causa underflow de inteiro sem sinal, saída fragmentada anormalmente grande e pode reiniciar o kernel do RouterOS. Este problema foi corrigido nas versões: 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable)
Existe uma vulnerabilidade de injeção de template no Lighthouse Studio da Sawtooth Software em versões anteriores a 9.16.14, por meio do aplicativo web Perl ciwweb.pl http://ciwweb.pl/. A exploração permite que um atacante não autenticado execute comandos arbitrários.
O Metabase permite que um atacante remoto não autenticado injete SQL arbitrário através do endpoint de banco de dados '/reset_password' e obtenha acesso de administrador à instância Metabase conectada.
Vulnerabilidade no NetScaler ADC e no NetScaler Gateway. Este problema afeta o ADC: de 14.1 até 73.32 e de 13.1 até 63.21; o Gateway: de 14.1 até 73.32 e de 13.1 até 63.21.
Uma vulnerabilidade de Escrita Fora dos Limites no WatchGuard Fireware OS pode permitir que um atacante remoto não autenticado execute código arbitrário. Esta vulnerabilidade afeta tanto a VPN de Usuário Móvel com IKEv2 quanto a VPN de Filial usando IKEv2 quando configurada com um gateway peer dinâmico. Esta vulnerabilidade afeta o Fireware OS 11.10.2 até e incluindo 11.12.4_Update1, 12.0 até e incluindo 12.11.3 e 2025.1.
MCPJam inspector é a plataforma de desenvolvimento local-first para servidores MCP. As versões 1.4.2 e anteriores são vulneráveis a execução remota de código (RCE), o que permite que um atacante envie uma solicitação HTTP manipulada que aciona a instalação de um servidor MCP, levando a RCE. Como o MCPJam inspector por padrão escuta em 0.0.0.0 em vez de 127.0.0.1, um atacante pode acionar a RCE remotamente por meio de uma simples solicitação HTTP. A versão 1.4.3 contém uma correção.
Vulnerabilidade de Elevação de Privilégio no Active Directory Domain Services
Uma vulnerabilidade de bypass de autenticação no programa CGI das versões de firmware 4.20 a 4.70 da série Zyxel USG/ZyWALL, versões de firmware 4.50 a 5.20 da série USG FLEX, versões de firmware 4.32 a 5.20 da série ATP, versões de firmware 4.30 a 5.20 da série VPN e versões de firmware V1.20 a V1.33 Patch 4 da série NSG, que poderia permitir que um atacante contornasse a autenticação web e obtivesse acesso administrativo ao dispositivo.
Foi descoberto que o D-Link DIR-820L 1.05B03 contém uma vulnerabilidade de execução remota de comandos (RCE) via HTTP POST para get set ccp.
Vulnerabilidade de Elevação de Privilégio no Active Directory Domain Services
IBM Langflow OSS 1.0.0 até 1.10.0 permite que atacantes não autenticados encadeiem /api/v1/auto_login (emite tokens de SUPERUSUÁRIO para qualquer chamador de rede) com /api/v1/validate/code (executa código do usuário via exec()) para obter RCE completo em implantações padrão do Langflow.
No kernel Linux, a seguinte vulnerabilidade foi resolvida: crypto: algif_aead - Reverter para operação out-of-place Isso reverte em grande parte o commit 72548b093ee3, exceto pela cópia dos dados associados. Não há benefício em operar in-place em algif_aead, pois a origem e o destino vêm de mapeamentos diferentes. Remova toda a complexidade adicionada para a operação in-place e apenas copie o AD diretamente.
Uma vulnerabilidade de estouro de buffer baseado em pilha no SonicOS, por meio de solicitação HTTP, permite que um atacante remoto não autenticado cause Negação de Serviço (DoS) ou potencialmente resulte em execução de código no firewall.
Existe uma vulnerabilidade de execução remota de código no Zimbra Collaboration (ZCS) antes da versão 10.1.20 quando o pacote opcional zimbra-snmp está instalado e as notificações SNMP estão habilitadas. Devido à sanitização inadequada de entradas não confiáveis durante o processamento de notificações SNMP, um atacante não autenticado pode enviar solicitações SMTP especialmente elaboradas que podem resultar na execução de comandos arbitrários do sistema operacional como o usuário Zimbra.
Um problema de estouro de buffer foi resolvido com melhorias no gerenciamento de memória. Este problema foi corrigido em iOS 16.6.1 e iPadOS 16.6.1, macOS Monterey 12.6.9, macOS Ventura 13.5.2, iOS 15.7.9 e iPadOS 15.7.9, macOS Big Sur 11.7.10. O processamento de uma imagem criada de forma maliciosa pode levar à execução arbitrária de código. A Apple está ciente de um relato de que este problema pode ter sido explorado ativamente.
Vulnerabilidade de Neutralização Incorreta de Elementos Especiais usados em um Comando do SO ('Injeção de Comando do SO') pós-autenticação foi identificada no Console de Gerenciamento do Appliance SMA1000 (AMC) que, em condições específicas, poderia potencialmente permitir que um atacante remoto autenticado como administrador execute comandos arbitrários do SO, resultando em execução remota de código.
Starlette é um framework/toolkit ASGI leve. Antes da versão 1.0.1, o cabeçalho de requisição HTTP `Host` não era validado antes de ser usado para reconstruir `request.url`. Como o algoritmo de roteamento depende do caminho HTTP bruto enquanto `request.url` é reconstruído a partir do cabeçalho `Host`, um cabeçalho malformado poderia fazer `request.url.path` diferir do caminho que foi realmente solicitado. Middleware e endpoints que aplicam restrições de segurança com base em `request.url` (em vez do caminho bruto do `scope`) poderiam, portanto, ser contornados. Os usuários devem atualizar para uma versão maior ou igual à versão 1.0.1, que valida o cabeçalho `Host` de acordo com a gramática do RFC 9112 §3.2 / RFC 3986 §3.2.2 ao construir `request.url` e usa `scope["server"]` como fallback para valores malformados.
Uma vulnerabilidade de Escrita Fora dos Limites no WatchGuard Fireware OS pode permitir que um atacante remoto não autenticado execute código arbitrário. Esta vulnerabilidade afeta tanto a VPN de Usuário Móvel com IKEv2 quanto a VPN de Filial usando IKEv2 quando configurada com um gateway peer dinâmico. Esta vulnerabilidade afeta Fireware OS 11.10.2 até e incluindo 11.12.4_Update1, 12.0 até e incluindo 12.11.5 e 2025.1 até e incluindo 2025.1.3.
Existe uma vulnerabilidade de injeção SQL não autenticada no Sangoma Switchvox SMB Edition 8.3 (104997). O endpoint /pa processa conteúdo XML começando com <PolycomIPPhone> e concatena diretamente o valor PhoneIP controlado pelo usuário em consultas PostgreSQL sem sanitização ou parametrização. Um atacante remoto não autenticado pode executar instruções SQL arbitrárias contra o banco de dados PostgreSQL de backend usando uma única requisição manipulada, incluindo operações de banco de dados e execução remota de código.
Uso após liberação em CSS no Google Chrome anterior a 145.0.7632.75 permitiu que um atacante remoto executasse código arbitrário dentro de uma sandbox por meio de uma página HTML manipulada. (Severidade de segurança do Chromium: Alta)
Uma bypass de autenticação no N-central < 2026.3 HF 3 leva a bypass de autenticação em APIs internas
GeoNetwork é um aplicativo de catálogo para gerenciar recursos com referência espacial. Antes das versões 4.4.12 e 4.2.17, o processador XSLT Saxon usado para renderizar formatadores é configurado sem processamento seguro (`FEATURE_SECURE_PROCESSING`) e sem desabilitar funções de extensão Java (`ALLOW_EXTERNAL_FUNCTIONS`). Qualquer folha de estilo carregada pelo GeoNetwork pode, portanto, invocar `java.lang.Runtime.exec()` ou `java.lang.ProcessBuilder` diretamente, alcançando execução arbitrária de comandos como o usuário do processo GeoNetwork. Um usuário com privilégios suficientes para enviar um formatador pode fornecer um arquivo `.xsl` contendo chamadas de extensão Java que executam comandos arbitrários do sistema operacional com os privilégios do processo GeoNetwork. O problema é corrigido nas versões 4.4.12 e 4.2.17 do GeoNetwork.
Uma vulnerabilidade no filtro de controle de acesso da API interna do N-central permite acesso não autorizado a APIs internas. Isso é corrigido no N-central 2026.3 HF3 e 2026.4
GeoNetwork é um aplicativo de catálogo para gerenciar recursos referenciados espacialmente. Antes das versões 4.4.12 e 4.2.17, o endpoint da API para criar um novo formatador via upload de arquivo é desprotegido e permite o upload de arquivos externos não controlados. Um atacante não autenticado pode enviar arquivos de formatador arbitrários `.xsl` ou `.zip` para o servidor. Um atacante não autenticado pode escrever arquivos arbitrários no diretório de formatadores do GeoNetwork. Isso por si só constitui acesso de escrita não autorizado ao armazenamento do servidor. O problema é corrigido nas versões 4.4.12 e 4.2.17 do GeoNetwork.
Existe uma vulnerabilidade de segurança de memória na biblioteca de processamento do Extended Passport Protocol (EPP). Sob condições específicas, um atacante não autenticado poderia explorar uma solicitação de rede elaborada contendo um cabeçalho EPP malformado, potencialmente resultando em comportamento indefinido e terminação anormal do programa. A exploração bem-sucedida pode ter alto impacto na confidencialidade, integridade e disponibilidade da aplicação.
O SAP NetWeaver Message Server não valida suficientemente a autenticidade dos componentes internos do servidor de aplicação durante o registro. Um atacante não autenticado com acesso à rede ao serviço afetado pode explorar essa fraqueza para registrar um componente não autorizado e potencialmente realizar ações não autorizadas no ambiente da aplicação, resultando em alto impacto na confidencialidade, integridade e disponibilidade do sistema afetado.
Em JetBrains TeamCity antes da versão 2025.03, era possível XSS armazenado na página de Perfis de Nuvem.
Uma vulnerabilidade na interface web do software Cisco Secure Firewall Management Center (FMC) poderia permitir que um atacante remoto não autenticado fizesse login em um dispositivo afetado usando uma conta de baixo privilégio para acessar dados confidenciais nos sistemas impactados. Esta vulnerabilidade se deve à presença de credenciais de usuário estáticas para uma conta de baixo privilégio. Um atacante poderia explorar essa vulnerabilidade usando a conta para fazer login em um sistema afetado. Uma exploração bem-sucedida poderia permitir que o atacante fizesse login no sistema afetado e acessasse dados confidenciais como o usuário de baixo privilégio. Nota: Se a interface de gerenciamento do FMC não tiver acesso à internet pública, a superfície de ataque associada a esta vulnerabilidade é reduzida. A Cisco atribuiu a este comunicado de segurança uma Classificação de Impacto de Segurança (SIR) Alta em vez de Média, como indicado pela pontuação. O motivo é que esta vulnerabilidade pode ser usada com outras vulnerabilidades do software Cisco Secure FMC para elevar privilégios.
Implementação inadequada no V8 no Google Chrome anterior a 146.0.7680.75 permitiu que um atacante remoto executasse código arbitrário dentro de uma sandbox por meio de uma página HTML maliciosa. (Severidade de segurança do Chromium: Alta)
Escrita fora dos limites em Skia no Google Chrome anterior a 146.0.7680.75 permitiu que um atacante remoto realizasse acesso à memória fora dos limites por meio de uma página HTML elaborada. (Severidade de segurança do Chromium: Alta)
Uma vulnerabilidade de carregamento dinâmico de classes inseguro existe nos utilitários de conexão de banco de dados do PaperCut MF e PaperCut NG. A aplicação instancia classes de drivers de banco de dados com base em nomes de drivers configuráveis, sem validar contra uma lista de permissões de drivers aprovados. Se um atacante puder manipular os parâmetros de configuração do sistema, isso permite a execução de bytecode Java arbitrário residente no classpath da aplicação sob o contexto de segurança do processo do servidor PaperCut.
A biblioteca NPM @sap/cds-mtxs não realiza verificações suficientes em determinadas funcionalidades usadas em aplicativos CAP multitenant com extensibilidade habilitada. Um atacante não autenticado poderia enviar solicitações especialmente elaboradas para obter credenciais sensíveis e abusar delas para substituir ou excluir dados de tenant. A exploração bem-sucedida pode resultar em alto impacto na disponibilidade e integridade do aplicativo. Também pode haver impacto parcial na confidencialidade dos dados de negócios.
Existe uma vulnerabilidade de controle de acesso inadequado na interface de gerenciamento web do PaperCut MF e PaperCut NG. Em condições específicas, solicitações remotas não autenticadas direcionadas a funções administrativas podem acionar ações de backend antes da conclusão das verificações de validação de acesso. Isso permite que um atacante remoto não autenticado modifique determinadas configurações do sistema.
SAP GUI for Java não aplica corretamente a política de nível de confiança para determinadas funções invocadas a partir de um sistema backend conectado. Um atacante com baixos privilégios poderia explorar essa fraqueza manipulando um sistema backend conectado para acionar a funcionalidade afetada. Isso poderia permitir a execução arbitrária de comandos na máquina da vítima, levando a um alto impacto na confidencialidade, integridade e disponibilidade do sistema afetado.
O RouterOS WebFig contém uma vulnerabilidade de leitura de arquivo não autenticada no caminho /jsproxy, onde uma sessão recém-alocada retém um ponteiro de principal obsoleto e não inicializado usado para autorização de arquivos. Um atacante não autenticado pode preparar o alocador para que o caminho de fornecimento de arquivos desreferencie esse ponteiro com direitos suficientes e, em seguida, fornecer componentes de diretório pai em uma URI criptografada para escapar do namespace de arquivos do WebFig e expor arquivos pertencentes ao root, incluindo armazenamentos de configuração contendo credenciais. Este problema foi corrigido nas versões: 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable).
Uma vulnerabilidade de Desserialização de Dados Não Confiáveis no Ivanti Neurons for ITSM antes de 2026.2 permite que um atacante remoto não autenticado execute código arbitrário no servidor.
Zero-days recentes
_Andriy_Popov_Alamy.png?width=720&quality=80&disable=upscale)
Nightmare-Eclipse ataca novamente com exploit 'ShieldCrash' para Windows
O pesquisador conhecido como Nightmare-Eclipse publicou mais um exploit zero-day contra o Windows Defender, dando continuidade à sua campanha contra a Microsoft. O exploit, batizado de 'ShieldCrash', foi divulgado publicamente sem que houvesse correção disponível no momento da publicação. É mais um capítulo da disputa do pesquisador com a Microsoft, que já vinha sendo alvo de divulgações semelhantes por parte dele.
Novo kit 'BlueMoon' explorou falhas zero-day no Windows e no Chrome
Diversos grupos de ciberespionagem utilizaram um exploit kit batizado de 'BlueMoon', que se aproveitou de vulnerabilidades zero-day no Microsoft Windows e no Google Chrome. Os ataques fazem parte de campanhas de espionagem direcionadas a organizações, explorando as falhas antes de existirem correções disponíveis. O kit foi empregado para obter acesso e comprometer alvos de interesse.
CISA adiciona duas vulnerabilidades exploradas conhecidas ao catálogo KEV
A CISA incluiu duas novas vulnerabilidades do MikroTik RouterOS em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com base em evidências de exploração ativa. A primeira, CVE-2026-67277, é uma falha de ausência de autenticação para função crítica; a segunda, CVE-2026-86060, decorre de neutralização inadequada de delimitadores de argumentos em um comando, permitindo injeção de comandos. A diretiva BOD 26-04 exige que agências federais priorizem a correção rápida dessas falhas em ativos expostos e verifiquem se os sistemas foram comprometidos antes da aplicação do patch. A CISA recomenda que todas as organizações adotem gestão de vulnerabilidades baseada em risco e priorizem itens do catálogo KEV.
Falhas no Cisco FMC exploradas por atores de Estado-nação e de ransomware (CVE-2026-20079, CVE-2026-20316)
Pesquisadores da Cisco Talos confirmaram que estão acompanhando a exploração ativa de duas vulnerabilidades no software do Cisco Secure Firewall Management Center (FMC), plataforma usada para gerenciar centralmente vários dispositivos Cisco Secure Firewall em uma rede. A principal delas, CVE-2026-20079, é uma falha crítica de bypass de autenticação, e a CVE-2026-20316 também está sob ataque. Segundo a divulgação, tanto grupos patrocinados por Estados quanto criminosos motivados financeiramente, incluindo operadores de ransomware, estão explorando as falhas. A Cisco publicou avisos de segurança para correção dos problemas.
Atualize o Chrome agora para se proteger contra uma vulnerabilidade explorada ativamente
O Google liberou mais uma grande atualização do Chrome que corrige uma vulnerabilidade no motor JavaScript V8 que está sendo explorada ativamente, além de outros 229 problemas de segurança. Como a falha já estava sendo usada em ataques antes da correção, trata-se de uma exploração de dia zero, e os usuários devem atualizar o navegador o quanto antes. A atualização é distribuída pelas versões estáveis do Chrome para Windows, macOS e Linux.
Novo exploit zero-day 'ShieldCrash' tem como alvo o Microsoft Defender
Um novo exploit zero-day batizado 'ShieldCrash' tem como alvo o Microsoft Defender e concede privilégios completos de System em máquinas Windows que executam os patches de setembro de 2026. Como o ataque funciona em sistemas totalmente atualizados, não havia correção disponível no momento da divulgação. Os detalhes técnicos completos e a identidade do pesquisador ou grupo responsável não foram informados.
Mais notícias (94)
Fones de ouvido Skullcandy Dime 3 expõem usuários a sequestro de Bluetooth
O CERT/CC da Universidade Carnegie Mellon alertou que os fones de ouvido sem fio Skullcandy Dime 3 aceitam solicitações de pareamento Bluetooth de dispositivos próximos não pareados sem exigir interação do usuário. A falha permite que um atacante realize o sequestro do Bluetooth dos fones, conectando-se sem o consentimento do usuário. Isso expõe os usuários a potenciais riscos de segurança e privacidade.
Novo exploit para zero-day no Windows Defender
O pesquisador de segurança MSNightmare publicou um código de prova de conceito (PoC) para uma vulnerabilidade de dia zero no Windows Defender, chamada ShieldCrash. A falha permite leitura arbitrária de arquivos com privilégios de sistema em todas as versões suportadas do Windows, incluindo as totalmente atualizadas. Ainda não há correção disponível para o problema.
Zero-Day no Chrome V8 Explorado na Natureza Permite Execução de Código Dentro do Sandbox
O Google lançou atualizações na quinta-feira para corrigir 230 vulnerabilidades de segurança, incluindo uma que está sendo explorada ativamente na natureza. A vulnerabilidade de gravidade média, identificada como CVE-2026-87491, foi descrita como um bug de gravação fora dos limites no V8, o mecanismo JavaScript e WebAssembly do Chrome. A exploração permite execução de código dentro do sandbox.
Google corrige mais um zero-day do Chrome explorado ativamente (CVE-2026-87491)
O Google corrigiu 230 vulnerabilidades no Chrome, incluindo uma falha zero-day, CVE-2026-87491, com exploit ativo na natureza. A empresa confirmou que há um exploit para CVE-2026-87491. A correção foi distribuída no Chrome 153.0.8010.36 e .37 para Windows e macOS, e 153.0.8010.36 para Linux. A falha é um erro de gravação fora dos limites no V8, mecanismo JavaScript e WebAssembly do Chrome.
Novo zero-day 'ShieldCrash' do Microsoft Defender concede acesso SYSTEM
Um pesquisador de segurança anônimo, conhecido como Nightmare Eclipse, divulgou um exploit de zero-day do Microsoft Defender chamado 'ShieldCrash', logo após a Microsoft lançar as atualizações de segurança do Patch Tuesday de setembro de 2026. O exploit pode conceder acesso ao nível SYSTEM no sistema operacional.
Pesquisador lança nova PoC do Microsoft Defender mostrando que o patch do ShieldBreak pode ser contornado
O pesquisador de segurança Chaotic Eclipse publicou uma prova de conceito (PoC) para uma nova vulnerabilidade zero-day no Microsoft Defender. A falha, chamada ShieldCrash, contorna o patch para a CVE-2026-69414 (também conhecida como ShieldBreak, CVSS 7.8), reportada pelo pesquisador no mês passado. Segundo Chaotic Eclipse, a Microsoft não corrigiu adequadamente o ShieldBreak.
Adobe lança correção para zero-day crítico no Magento
A Adobe publicou uma correção emergencial para a vulnerabilidade CVE-2026-75650, um zero-day de gravidade máxima que afeta o Magento e o Adobe Commerce. A falha, chamada de StyleSmuggler pela empresa de segurança Sansec, está sendo explorada ativamente desde setembro para instalar um backdoor em servidores vulneráveis.
Adobe Corrige Mais de 170 Vulnerabilidades, Incluindo Zero-Day no Commerce
A Adobe lançou patches para mais de 170 vulnerabilidades, incluindo uma falha de dia zero no Adobe Commerce. Rastreada como CVE-2026-75650, a falha explorada permite que atacantes não autenticados executem código arbitrário.
Hackers da Liquid devolvem 3.400 bitcoins roubados por bug no Elements, ainda mantêm US$ 47 milhões em BTC
Em 6 de setembro, um atacante roubou quase 4.000 bitcoins da Liquid Network, uma sidechain do Bitcoin que usa o software Elements. No dia seguinte, 3.400 bitcoins foram devolvidos, mas cerca de 598,5 BTC permanecem sob controle do atacante. A rede segue pausada, impedindo que detentores de L-BTC convertam o token de volta para bitcoin.
Adobe corrige zero-day crítico do Magento explorado para backdoor em servidores
A Adobe lançou uma correção de emergência para CVE-2026-75650, uma vulnerabilidade zero-day de gravidade máxima explorada ativamente, apelidada de StyleSmuggler. A falha afeta múltiplas versões do Magento e do Adobe Commerce e está sendo usada para instalar backdoors em servidores.
Câmeras IP CareCam Pro
A CISA divulgou um alerta sobre uma vulnerabilidade de credenciais fixas (hard-coded) nas câmeras IP CareCam Pro, especificamente no modelo ANJIA AJL33PC0801. A falha, identificada como CVE-2026-85083, pode permitir que um atacante com acesso físico assuma o controle total do dispositivo. O fabricante CareCam não respondeu às tentativas de coordenação da CISA, e não há correção disponível.
N-able corrige zero-day crítico no N-central
A N-able lançou uma correção para uma vulnerabilidade zero-day crítica no N-central. Os administradores devem verificar suas implantações em busca de contas de usuário recém-criadas que não reconheçam.
Adobe Corrige Zero-Day no Magento Explorado para Implantar Backdoor em Rust e Web Shell em PHP
A Adobe lançou patches de segurança para corrigir uma vulnerabilidade de severidade máxima no Adobe Commerce e no Magento Open Source que está sendo ativamente explorada. A falha, rastreada como CVE-2026-75650 (pontuação CVSS: 10.0), foi codinomeada StyleSmuggler pela Sansec, que descobriu a exploração zero-day a partir de 4 de setembro de 2026.
Zero-day no Magento Adobe Commerce instala backdoor em lojas
Um ataque em larga escala explora uma vulnerabilidade zero-day no Magento e no Adobe Commerce para instalar um backdoor persistente em servidores Linux. A primeira tentativa de invasão ocorreu em 4 de setembro. A falha, chamada 'StyleSmuggler', afeta todas as versões atuais do Magento, incluindo a plataforma de comércio eletrônico da Adobe.
Zero-day StyleSmuggler no Magento é explorada para implantar backdoor em Linux
Uma vulnerabilidade zero-day chamada StyleSmuggler, que afeta todas as versões do Magento e Adobe Commerce, está sendo ativamente explorada em ataques para implantar um backdoor. O backdoor concede aos invasores acesso remoto ao servidor comprometido.
Zero-Day do Adobe Commerce explorado para instalar backdoor em lojas online
O zero-day StyleSmuggler permite que atacantes executem código e implantem um backdoor furtivo em lojas Adobe Commerce e Magento. A exploração ativa foi confirmada, afetando lojas online que utilizam essas plataformas.
N-able corrige zero-day crítico do N-central explorado ativamente (CVE-2026-86218)
A N-able lançou um hotfix de emergência para CVE-2026-86218, uma vulnerabilidade crítica de execução remota de código (RCE) que afeta o N-central, sua solução de monitoramento e gerenciamento remoto (RMM) utilizada por provedores de serviços gerenciados (MSPs). A falha permite RCE não autenticado no servidor N-central e foi corrigida em 5 de setembro com o Hotfix 4 para N-central 2026.3, versão 2026.3.1.14. A vulnerabilidade foi explorada ativamente antes da correção.
ConnectWise alerta sobre nova falha no ScreenConnect sem correção
A ConnectWise divulgou medidas temporárias de mitigação para uma nova vulnerabilidade de acesso remoto no ScreenConnect, que ainda não possui patch. A empresa planeja lançar uma correção ainda esta semana. Enquanto isso, os administradores devem aplicar as orientações fornecidas para reduzir o risco.
Atacantes espalham malware por transferências de arquivos do ScreenConnect
Uma falha na funcionalidade de transferência de arquivos do ScreenConnect afeta as sessões de Remote Access Support e Access, tanto em implantações na nuvem quanto locais. A ConnectWise confirmou o problema e afirmou que um identificador CVE e uma correção oficial serão emitidos ainda esta semana. Atacantes estão explorando essa vulnerabilidade para espalhar malware por meio de transferências de arquivos.
N-able emite quarta correção do N-central em cinco semanas para falha de RCE não autenticada
Toda compilação local (on-premises) do N-central abaixo da versão 2026.3.1.14 — incluindo servidores atualizados com o Hotfix 3 um dia antes — precisa do Hotfix 4. O aviso de incidente da N-able diz que a falha foi explorada na natureza; as notas de versão dizem que isso não foi confirmado.
N-able corrige falha de gravidade máxima no N-central em meio a ataques contínuos
A N-able lançou um hotfix de emergência para uma vulnerabilidade de execução remota de código (RCE) de gravidade máxima que afeta a plataforma N-central de monitoramento e gerenciamento remoto (RMM). A correção foi disponibilizada enquanto ataques contra a falha estavam em andamento.
Vulnerabilidade Crítica no MikroTik - Atualize Agora
A MikroTik lançou um patch no fim da semana passada para uma vulnerabilidade já explorada que permite bypass de autenticação SSH. A falha está sendo ativamente explorada e os dispositivos afetados devem ser considerados comprometidos. Atacantes têm adicionado novas contas aos dispositivos para manter o acesso mesmo após a instalação do patch.
Zero-Day sem correção no Magento e Adobe Commerce é explorado para instalar backdoor em lojas online
Atacantes estão explorando uma vulnerabilidade sem correção no Magento Open Source e Adobe Commerce que permite executar código malicioso no servidor de uma loja online sem autenticação. A empresa de segurança holandesa Sansec descobriu a falha, chamada de StyleSmuggler, e afirmou que os ataques começaram em 4 de setembro. A Sansec publicou um alerta em 5 de setembro sobre a exploração ativa da falha.
Novo zero-day 'FalconFlank' do CrowdStrike concede privilégios de SYSTEM
Um pesquisador de segurança anônimo, que usa o pseudônimo "Nightmare Eclipse", divulgou um exploit de dia zero para o CrowdStrike Falcon chamado "FalconFlank". A falha permite que um atacante eleve privilégios para SYSTEM em sistemas Windows totalmente atualizados. Ainda não há correção disponível para a vulnerabilidade, que afeta o sensor CrowdStrike Falcon.
Google corrige zero-day do Chrome explorado ativamente (CVE-2026-85046)
O Google corrigiu 12 vulnerabilidades que afetam seu navegador Chrome, incluindo a CVE-2026-85046, que está sendo explorada na natureza. A empresa afirmou que está ciente da existência de um exploit para a CVE-2026-85046. A correção foi distribuída nas versões 152.0.7977.82/.83 para Windows e macOS e 152.0.7977.82 para Linux, com a atualização sendo liberada gradualmente.
Google alerta sobre nova falha zero-day no Chrome explorada em ataques
O Google lançou uma atualização para o navegador Chrome para corrigir uma falha de alta gravidade do tipo zero-day no motor V8, que está sendo explorada ativamente em ataques, além de outras 11 vulnerabilidades. A empresa emitiu um aviso recomendando que os usuários atualizem imediatamente o navegador. Não há informações públicas sobre os atacantes ou o alcance dos ataques.
Google corrige 6º zero-day do Chrome de 2026
A atualização de segurança do Google Chrome 152 corrige 12 vulnerabilidades, incluindo uma falha de type confusion de alta gravidade no mecanismo V8. Esta é a sexta correção de zero-day do Chrome em 2026, indicando que a falha foi explorada antes da disponibilização do patch.
Google Lança Atualização do Chrome para Corrigir Zero-Day V8 Explorado Ativamente
A Google lançou atualizações de segurança para corrigir 12 vulnerabilidades no Chrome, incluindo uma que está sendo explorada ativamente na natureza. A falha de alta gravidade, rastreada como CVE-2026-85046 (score CVSS: 8.8), é descrita como um bug de type confusion no V8, o motor de JavaScript e WebAssembly do Chrome. A vulnerabilidade foi explorada antes da disponibilização do patch, configurando um zero-day.
Exploit para zero-day no CrowdStrike Falcon é publicado
Um pesquisador de segurança conhecido como Chaotic Eclipse (também identificado como MSNightmare e Nightmare-Eclipse) publicou um código de prova de conceito para o que alega ser uma vulnerabilidade de elevação de privilégios não corrigida no sensor CrowdStrike Falcon, batizada de FalconFlank. O exploit está disponível em um repositório no GitHub. Por não haver correção disponível no momento da divulgação, a falha é considerada um zero-day.
Pesquisador lança PoC FalconFlank mostrando escalonamento de privilégio no CrowdStrike Falcon
O pesquisador de segurança conhecido como Chaotic Eclipse (também INFINITE NIGHTMARE, MSNightmare e Nightmare-Eclipse) divulgou um novo zero-day chamado FalconFlank, uma falha de escalonamento de privilégio que afeta o CrowdStrike Falcon. FalconFlank abusa da remediação de macros maliciosas do Office no CrowdStrike Falcon Sensor para conseguir escalonamento de privilégio, conforme explicado pelo pesquisador em um README no GitHub.
Exploit Publicado para Nova Vulnerabilidade no Cleo Harmony
A falha permite que atacantes remotos contornem a autenticação por meio da manipulação do argumento bearer. Um exploit foi publicado para essa vulnerabilidade recém-descoberta no produto de transferência de arquivos Cleo Harmony.
Atacantes Exploram Duas Vulnerabilidades Zero-Day no SonicWall SMA 1000 Que Podem Formar uma Cadeia de Ataque
A SonicWall lançou atualizações de segurança para corrigir duas vulnerabilidades em seus appliances VPN Secure Mobile Access (SMA) 1000, que foram exploradas em ataques zero-day. As falhas foram descobertas internamente por William Perry e Adam Babis. A primeira, CVE-2026-83548, possui pontuação CVSS 10.0 e é uma vulnerabilidade de SSRF pré-autenticação.
Aparelhos SonicWall SMA 1000 sob ataque via falhas de zero-day
Atacantes estão explorando duas vulnerabilidades anteriormente não divulgadas (CVE-2026-83548, CVE-2026-83549) em aparelhos SonicWall SMA 1000, conforme confirmou o fornecedor. A falha CVE-2026-83548 é uma vulnerabilidade de server-side request forgery (SSRF) pré-autenticação na interface Appliance Work Place. A série SMA 1000 é utilizada como gateway SSL VPN por médias e grandes empresas, órgãos governamentais e provedores de serviços gerenciados de segurança.
SonicWall alerta sobre dois zero-days no SMA1000 explorados em ataques
A SonicWall emitiu um alerta sobre duas vulnerabilidades zero-day no SMA1000, identificadas como CVE-2026-83549 e CVE-2026-83548, que estão sendo exploradas em ataques. Essas falhas podem ser encadeadas para executar código remoto não autenticado, representando risco crítico para os dispositivos afetados.
Exploit contra o Avast obtém privilégios de system
Um pesquisador de segurança conhecido como Chaotic Eclipse, também identificado como MSNightmare e Nightmare-Eclipse, publicou em um repositório público no último sábado (30 de agosto) um código de prova de conceito para uma vulnerabilidade de elevação de privilégios não corrigida no Avast Antivirus, denominada por ele 'PrettyPrague'. O exploit, que não possui CVE ou correção, permite obter privilégios de system no sistema afetado.
PoC explora suposta falha no Kaspersky Endpoint Security
Um pesquisador chamado MSNightmare publicou um código de prova de conceito (PoC) chamado HardBreacher, que alega explorar uma vulnerabilidade de escalonamento de privilégio local no Kaspersky Endpoint Security em sistemas Windows 11 totalmente atualizados. A falha, descrita como um zero-day de elevação de privilégio, ainda não foi verificada.
Blockchain Cronos reinicia após ataque de US$ 74 milhões ao Tectonic
A rede blockchain Cronos retomou suas atividades após um ataque de manipulação de preços contra a plataforma de empréstimos de criptomoedas Tectonic. O atacante conseguiu tomar emprestados US$ 74 milhões. A blockchain precisou ser reiniciada para lidar com as consequências do exploit.
Nightmare Eclipse lança exploit 'HardBreacher' para produto da Kaspersky
O grupo Nightmare Eclipse lançou um exploit chamado 'HardBreacher' explorando uma vulnerabilidade no Kaspersky Endpoint Security. A Kaspersky informou ao SecurityWeek que corrigiu a vulnerabilidade, indicando que o exploit foi divulgado antes da disponibilidade do patch.
Mais detalhes emergem sobre vulnerabilidades exploradas do PaperCut
PaperCut lançou um segundo patch de emergência para corrigir vulnerabilidades que estão sendo exploradas ativamente. As falhas são rastreadas como CVE-2026-82078 e CVE-2026-81578. Novos detalhes sobre essas vulnerabilidades exploradas foram divulgados.
Falha no Cosmos EVM explorada depois que Cosmos Labs sabia que todas as blockchains que o executavam estavam vulneráveis
A Cosmos Labs alertou que uma falha crítica de manipulação de saldo no módulo Cosmos EVM foi explorada para drenar fundos de seis blockchains entre 20 e 25 de agosto de 2026. A vulnerabilidade, designada GHSA-7g4w-cg88-2cq2, foi classificada como Crítica pela Cosmos Labs e publicada sem identificador CVE, classificação de fraqueza ou pontuação CVSS. A empresa sabia que todas as blockchains que executavam o módulo estavam vulneráveis, e as versões afetadas são inferiores a 0.6.2.
Roteadores ZBT de fabricação chinesa vêm com duas implantações que dão a invasores não autenticados acesso root
A VulnCheck divulgou duas implantações de fábrica anteriormente desconhecidas no firmware de roteadores fabricados pela Shenzhen Zhibotong Electronics (ZBT). Cada uma permite que um invasor remoto não autenticado execute comandos como root em dispositivos afetados. As falhas, denominadas SPEAKINGSTONE e DARKLANTERN, são rastreadas como CVE-2026-74232 e CVE-2026-74233.
PaperCut Lança Patch de Emergência para Zero-Day Explorado
A PaperCut lançou um patch de emergência para uma vulnerabilidade zero-day explorada ativamente em seus produtos NG/MF. O identificador CVE ainda não foi atribuído, mas a empresa está pedindo que os usuários instalem os patches e implementem mitigações.
Zero-Day do PaperCut Explorado em Ataques, Afetando Todas as Versões NG e MF
O PaperCut alertou os clientes que agentes mal-intencionados estão explorando ativamente uma vulnerabilidade que afeta todas as versões de seu software de gerenciamento de impressão PaperCut NG e PaperCut MF em ataques zero-day. A empresa lançou um patch de emergência para as versões v25 e v26 para resolver o problema. Afirmou estar ciente de incidentes confirmados de clientes e tratando este assunto com a mais alta prioridade.
O software de gerenciamento de impressão PaperCut está sob ataque 0-day, causando danos aos clientes
O PaperCut, software de gerenciamento de impressão, está sofrendo um ataque 0-day que afeta clientes. No momento, não há correção oficial válida; as opções são um patch de emergência não oficial ou colocar o servidor offline.
PaperCut NG e MF têm falha explorada em ataques zero-day
A PaperCut alerta que hackers estão explorando ativamente uma vulnerabilidade em todas as versões dos softwares de gerenciamento de impressão PaperCut NG e PaperCut MF em ataques do tipo zero-day. A empresa informou estar ciente de ataques confirmados a clientes e publicou um comunicado de segurança urgente. Recomenda-se aplicar as correções ou mitigações fornecidas o quanto antes.
PaperCut alerta sobre falha em NG e MF explorada em ataques zero-day
A PaperCut alertou que hackers estão explorando ativamente uma vulnerabilidade em todas as versões dos softwares de gerenciamento de impressão PaperCut NG e PaperCut MF em ataques zero-day. A empresa recomenda a aplicação urgente de patches.
Injeção de prompt no Amazon Kiro pode exfiltrar dados confidenciais por meio do Kiro Powers
Pesquisadores de segurança da Mindguard revelaram uma vulnerabilidade de injeção de prompt no Amazon Kiro, um ambiente de desenvolvimento integrado (IDE) baseado em IA, que permite exfiltração de dados via Kiro Powers. A falha, sem CVE, afeta o Kiro IDE 0.7.45 no Windows. A versão mais recente do produto também está vulnerável, sem correção disponível.
Ebyte NA111-M
A exploração bem-sucedida dessas vulnerabilidades pode permitir que um invasor comprometa totalmente o dispositivo. As versões afetadas incluem o firmware 9013-2-17 do Ebyte NA111-M. O fornecedor reconheceu as vulnerabilidades e indicou que um patch estava em desenvolvimento, mas não respondeu a solicitações de coordenação, e a CISA não foi informada sobre a disponibilidade do patch.
Vulnerabilidade desconhecida no PaperCut NG/MF está sob ataque ativo
A PaperCut Software alertou que uma vulnerabilidade ainda não especificada nos softwares de gerenciamento de impressão PaperCut NG e PaperCut MF está sendo explorada por atacantes. A empresa confirmou incidentes com clientes e disse estar tratando o assunto com prioridade máxima. O PaperCut NG é usado em escritórios, escolas e outras organizações, enquanto o PaperCut MF é a versão para multifuncionais.
Falhas não corrigidas no Kaltura mwEmbed podem permitir que atacantes remotos leiam arquivos e executem código
O CERT Coordination Center (CERT/CC) divulgou duas vulnerabilidades não corrigidas na biblioteca do player de vídeo HTML5 da Kaltura que permitem que um atacante remoto não autenticado leia arquivos arbitrários de um servidor e execute código nele. As falhas, rastreadas como CVE-2026-19913 e CVE-2026-19912, derivam da mesma desserialização insegura no endpoint mwEmbedLoader.php do player mwEmbed.
Uma Página da Web Maliciosa Poderia Envenenar seu Modelo de IA Local por Trás do NVIDIA NemoClaw
A Oasis Security divulgou uma fraqueza no NVIDIA NemoClaw que pode permitir que uma página da web controlada pelo atacante assuma o controle não autenticado da instância local do Ollama que serve um agente de IA e insira instruções ocultas dentro do próprio modelo. As descobertas foram compartilhadas com o The Hacker News antes da publicação, e o relatório afirma que a Oasis Security as reportou ao Product Security Incident da NVIDIA.
Ebyte NE2-D11
A exploração bem-sucedida dessas vulnerabilidades pode permitir que um atacante obtenha acesso administrativo não autorizado, divulgue informações confidenciais, modifique configurações do dispositivo, sequestre sessões autenticadas e interrompa a operação do dispositivo. As versões afetadas incluem Ebyte NE2-D11 Firmware FW-9167-0-11. A Ebyte reconheceu os relatos e indicou que um patch estava em desenvolvimento, mas não respondeu a pedidos posteriores, e a CISA não foi informada sobre a disponibilidade do patch.
Transponder AIS Classe B FURUNO FA-50
A CISA divulgou um aviso sobre múltiplas vulnerabilidades no transponder AIS FA-50 Classe B da FURUNO. As falhas incluem credenciais codificadas e falta de autenticação em funções críticas, permitindo que um atacante altere configurações do dispositivo. O produto não receberá mais atualizações, pois sua produção foi encerrada em outubro de 2020. Recomenda-se não conectar o dispositivo diretamente à internet e manter acesso físico controlado.
Vulnerabilidade na API PayRange permite divulgação de informações e modificação de dispositivos
Foi divulgada uma vulnerabilidade na API PayRange (CVE-2026-18965) que afeta todas as versões. A falha é uma ausência de autorização em endpoints de gerenciamento, permitindo que um atacante remoto, autenticado ou não, acesse detalhes de todos os dispositivos da rede PayRange, modifique o dispositivo ou altere a imagem exibida. O CISA recomenda medidas de mitigação, mas o fornecedor não respondeu aos pedidos para corrigir o problema.
Falha não corrigida no Calix permite que hackers contornem o NAT para expor dispositivos internos
Uma vulnerabilidade não corrigida em roteadores residenciais Calix GS7 XGS (GS5239XG), usados por vários provedores de banda larga nos EUA, permite que atacantes remotos não autenticados criem regras de encaminhamento de porta que podem expor dispositivos da rede local à internet pública. A falha permite contornar o NAT, potencialmente acessando dispositivos internos. A Calix ainda não lançou uma correção no momento da divulgação.
Vulnerabilidade crítica no Microsoft Entra ID explorada na natureza (CVE-2026-69836)
A Microsoft corrigiu uma vulnerabilidade crítica de execução remota de código (CVE-2026-69836) no Entra ID, supostamente explorada na natureza. O Entra ID é o serviço de identidade em nuvem da Microsoft, antes Azure Active Directory, que verifica logins e controla acesso ao Microsoft 365, Azure e aplicativos de terceiros conectados. Com a pontuação CVSS máxima de 10,0, a vulnerabilidade foi descoberta pelo engenheiro principal de segurança da Microsoft, Robert Fitzpatrick, e poderia permitir que um atacante não autenticado executasse código remotamente.
Microsoft alerta sobre falha de gravidade máxima no Entra ID explorada em ataques
A Microsoft corrigiu uma vulnerabilidade de gravidade máxima na plataforma de gerenciamento de identidade e acesso (IAM) Entra ID que foi explorada em ataques. A falha foi explorada antes do lançamento da correção, exigindo que os administradores apliquem a atualização imediatamente.
Falha no Microsoft Entra ID (CVSS 10.0) explorada ativamente permite execução remota de código
A Microsoft alertou na quinta-feira sobre uma falha de segurança de severidade máxima no Entra ID, explorada ativamente em ataques. A vulnerabilidade, rastreada como CVE-2026-69836 (score CVSS 10.0), é um caso de execução remota de código no serviço de gerenciamento de identidade e acesso baseado em nuvem, anteriormente conhecido como Azure Active Directory. A empresa afirmou que nenhuma ação do cliente é necessária, indicando que a correção foi aplicada no lado do serviço.
Novo ataque de injeção de contexto criptográfico pode permitir que páginas da web roubem dados do chat do Grok
A Adversa AI divulgou uma técnica de ataque que pode fazer o chatbot Grok, da xAI, enviar o nome do usuário, localização aproximada, nível de assinatura e os prompts da conversa em andamento para um servidor controlado pelo atacante, depois que o usuário pede para resumir uma página da web comum. A empresa de segurança de IA, que chamou a técnica de 'Injeção de Contexto Criptográfico', afirmou que a falha reside na forma como o Grok processa conteúdo de páginas da web durante a geração de resumos.
Falha no isolated-vm permite que JavaScript em sandbox escape para o host com potencial RCE
Pesquisadores de segurança revelaram uma falha crítica de segurança no isolated-vm, um sandbox open-source popular com mais de 2.900 estrelas e 190 forks no GitHub, que poderia permitir que atacantes escapem dos limites do ambiente isolado. A vulnerabilidade (GHSA-864f-rcv7-6rh4), que ainda não recebeu um identificador CVE, afeta todas as versões da biblioteca antes e incluindo a 7.0.0.
Falha crítica de zero-clique no GitLab apresenta desafios de mitigação
A falta de detalhes técnicos pode dificultar que organizações que executam versões autogerenciadas do GitLab detectem possível exploração de CVE-2026-19478.
Falha em GitHub Actions do Snowflake permite que issues forjadas acionem injeção de comandos
Pesquisadores de segurança da Wiz revelaram uma nova vulnerabilidade de injeção de fluxo de trabalho em GitHub Actions no repositório público snowflakedb/snowflake-connector-net da Snowflake. A falha pode ser explorada por meio de uma issue elaborada para executar comandos em um fluxo de trabalho que contém credenciais internas do Jira. O problema estava presente no arquivo .github/workflows/jira_issue.yml, que era executado quando uma issue era aberta.
Microsoft confirma patch para zero-day ShieldBreak no Defender
A Microsoft comunicou que está trabalhando em uma correção de segurança para uma vulnerabilidade de dia zero no Microsoft Defender chamada ShieldBreak, após divulgação pública pelo pesquisador que usa o pseudônimo Nightmare Eclipse. A falha, agora rastreada como CVE-2026-69414, é um problema de elevação de privilégio no Mecanismo de Proteção contra Malware do Microsoft Defender.
ShieldBreak contorna a correção da Microsoft para falha anterior do Defender
O pesquisador que descobriu a falha RoguePlanet encontrou uma nova técnica, denominada ShieldBreak, que contorna a correção da Microsoft e permite obter privilégios de SYSTEM no Microsoft Defender.
Cadeia de exploração em chamadas de vídeo VoLTE da Unisoc pode conceder a invasores acesso total ao kernel do Android
Pesquisadores de segurança da SSD Secure Disclosure publicaram uma cadeia de exploração em dois estágios que alcança acesso total ao kernel do Android em dispositivos com firmware de modem da Unisoc por meio de uma chamada de vídeo VoLTE. O aviso, publicado em 17 de agosto de 2026, é o segundo estágio de uma cadeia que começou em março de 2026, quando a SSD divulgou execução remota de código no modem. A fabricante de chips ainda não forneceu correção.
Violação da SafePal afeta 39.798 clientes, dados supostamente à venda
A fabricante de carteiras de criptomoedas SafePal divulgou uma violação de dados que expôs informações de pedidos de 39.798 clientes, incluindo nomes, e-mails, endereços de entrega, números de telefone e detalhes de compra. A empresa atribuiu a exposição a uma falha de autorização em um plug-in usado para rastreamento de pedidos, que, sob certas condições, permitia que um cliente visualizasse informações de pedidos de outro cliente. A exposição abrange pedidos feitos entre 2 de março de 2025 e 11 de abril de 2026. Os dados estão supostamente à venda.
Microsoft trabalhando em correção do Defender para zero-day ShieldBreak
A Microsoft está desenvolvendo uma correção de segurança para a vulnerabilidade zero-day 'ShieldBreak', divulgada na semana passada pelo pesquisador de segurança 'Nightmare Eclipse' e rastreada como CVE-2026-69414. A falha afeta o Microsoft Defender, e a empresa está trabalhando em um patch para corrigi-la.
Hackers exploram falha no Compartilhamento de Tela do macOS para implantar minerador de Monero
O Centro Nacional de Cibersegurança dos Países Baixos (NCSC) está alertando que hackers estão explorando ativamente uma vulnerabilidade de bypass de autenticação no macOS após o surgimento de código de exploração público.
Hackers Explorando Zero-Day Não Corrigido do GeoServer
Uma vulnerabilidade de segurança não corrigida no GeoServer está sendo explorada por hackers. A falha é descrita como uma injeção de SQL que pode permitir execução remota de código. A exploração ocorre antes da disponibilização de um patch.
Microsoft corrige falha LegacyHive no Windows
Em 13 de agosto, a Microsoft lançou atualizações de segurança para corrigir uma vulnerabilidade de dia zero no Windows, apelidada de 'LegacyHive'. A falha foi divulgada pelo pesquisador conhecido como 'Nightmare Eclipse' poucas horas após o Patch Tuesday de julho, em protesto contra as práticas do programa de recompensas por bugs da Microsoft.
Zero-Day do GeoServer Alvo de Tentativas de Exploração Ativa, Pode Levar a RCE
Uma falha zero-day recém-divulgada no GeoServer está sendo alvo de tentativas de exploração ativa, conforme a watchTowr. A vulnerabilidade, ainda sem identificador CVE, é uma injeção de SQL na plataforma de código aberto que pode levar à execução remota de código (RCE). O defeito permanece sem correção. A divulgação ocorreu em 12 de agosto de 2026, às 10:46 UTC, pelo pesquisador @.
Microsoft corrige vulnerabilidade zero-day 'LegacyHive' no Windows
A Microsoft lançou patches de segurança para corrigir uma vulnerabilidade zero-day no Windows, conhecida como 'LegacyHive', que foi divulgada após o Patch Tuesday de julho de 2026. A falha afeta o sistema operacional Windows e ainda não havia correção disponível no momento da divulgação. Os usuários devem aplicar as atualizações o mais rápido possível.
Produto Hitachi Energy APM Edge
A Hitachi Energy informou sobre vulnerabilidades Dirty Frag que afetam o produto APM Edge versões 6.10 e anteriores. As falhas, identificadas como CVE-2026-43284 e CVE-2026-43500, estão relacionadas a condições de write-what-where e out-of-bounds write no kernel Linux usado no dispositivo. A exploração bem-sucedida pode permitir que um usuário local sem privilégios eleve privilégios para root. A recomendação é desabilitar os módulos esp4 e esp6 como mitigação.
Nightmare Eclipse lança exploit zero-day do Windows 'ShieldBreak'
Na Patch Tuesday, foi divulgado um exploit zero-day chamado ShieldBreak para Windows. O exploit permite que qualquer usuário obtenha um shell com privilégios de Sistema. O lançamento foi feito pelo grupo Nightmare Eclipse.
Cisco corrige vulnerabilidade explorada para causar DoS em seus firewalls (CVE-2026-20349)
A Cisco confirmou que uma vulnerabilidade de alta gravidade (CVE-2026-20349) está sendo explorada por atacantes para interromper temporariamente a operação de firewalls da empresa. A falha foi adicionada ao catálogo de vulnerabilidades exploradas conhecidas da CISA e precisa ser corrigida por agências civis federais dos EUA até 14 de agosto de 2026. Detalhes sobre os ataques não foram divulgados; a Cisco tomou conhecimento da exploração ativa em agosto.
Grupo Lazarus explora zero-day do Windows contra empresas de defesa
O grupo de hackers Lazarus, ligado à Coreia do Norte, explorou ativamente uma vulnerabilidade zero-day no Windows (CVE-2026-68820) para atacar empresas do setor de defesa, como parte da campanha Operation Dream Job, segundo relatório da Check Point. A falha, corrigida pela Microsoft no Patch Tuesday de agosto, é um use-after-free que permitia execução de código arbitrário.
Hacker com vendeta contra a Microsoft tem novo zero-day que concede privilégios de sistema no Windows totalmente corrigido
Um hacker que mantém uma rixa com a Microsoft divulgou um novo exploit de zero-day capaz de elevar privilégios para o nível de sistema em instalações do Windows totalmente corrigidas. O exploit foi compartilhado no evento recorrente 'Exploit Wednesday'. A falha ainda não possui correção disponível, caracterizando um zero-day.
Hackers da Lazarus exploraram zero-day do Windows para atingir empresas de defesa
Hackers do grupo Lazarus, ligados à Coreia do Norte, exploraram uma vulnerabilidade zero-day no Windows (CVE-2026-68820) para atingir empresas do setor de defesa. A campanha, conhecida como Operation Dream Job, utilizou a falha para comprometer sistemas antes da disponibilização de uma correção.
CISA dá duas semanas para agências federais corrigirem bug da Microsoft explorado em campanha da Coreia do Norte
Pesquisadores reportaram à Microsoft uma vulnerabilidade descoberta após examinar uma campanha prolongada de hackers norte-coreanos que exploram o processo de candidatura a empregos. A CISA ordenou que agências federais apliquem o patch em até duas semanas. A exploração ativa ocorreu antes da disponibilização da correção.
Novo zero-day 'ShieldBreak' do Microsoft Defender concede privilégios de SYSTEM
Nightmare Eclipse lançou um novo exploit de dia zero para o Microsoft Defender chamado 'ShieldBreak' após a Microsoft divulgar as atualizações de segurança de agosto de 2026 do Patch Tuesday. O exploit concede privilégios de SYSTEM no Windows, permitindo escalonamento local de privilégios. A falha ainda não possui correção disponível, caracterizando um zero-day.
Microsoft corrige mais de 400 vulnerabilidades, um zero-day sob ataque (CVE-2026-68820)
O Patch Tuesday de agosto de 2026 da Microsoft corrigiu mais de 400 vulnerabilidades, incluindo um zero-day explorado em ataques (CVE-2026-68820) e três divulgadas publicamente antes do lançamento das correções. O CVE-2026-68820 é uma falha use-after-free no Windows Ancillary Function Driver for WinSock (AFD.sys) que permite a um atacante local com privilégios baixos elevar privilégios para SYSTEM.
Zero-day novo do Windows explorado em ataques cibernéticos norte-coreanos
Uma vulnerabilidade zero-day no Windows foi explorada em ataques cibernéticos atribuídos à Coreia do Norte. A falha permitiu que os atacantes obtivessem controle total dos sistemas das vítimas e implantassem o backdoor ForestTiger.
PoC de zero-day ShieldBreak afirma contornar correção do Microsoft Defender com acesso SYSTEM
O pesquisador de segurança conhecido como Chaotic Eclipse (também INFINITE NIGHTMARE, MSNightmare e Nightmare-Eclipse) divulgou um proof-of-concept (PoC) para um novo zero-day da Microsoft chamado ShieldBreak. A vulnerabilidade está enraizada no Microsoft Defender para Windows e demonstra um bypass da correção para CVE-2026-50656 (também conhecida como RoguePlanet). O PoC permite obter acesso SYSTEM, indicando escalada de privilégio.
Falha no Cisco ASA e FTD explorada ativamente pode causar DoS remoto
A Cisco alertou que uma nova vulnerabilidade que afeta o software Secure Firewall Adaptive Security Appliance (ASA) e o Secure Firewall Threat Defense (FTD) foi explorada ativamente. A falha de alta gravidade, rastreada como CVE-2026-20349 (pontuação CVSS: 8.6), é um caso de verificação de erros insuficiente ao processar solicitações HTTP que pode permitir que um atacante remoto não autenticado cause uma condição de negação de serviço (DoS).
Cisco Corrige Zero-Day em Firewall Explorado em Ataques de DoS
A vulnerabilidade CVE-2026-20349 pode ser explorada remotamente sem autenticação contra dispositivos Secure Firewall ASA e FTD. A Cisco lançou uma correção para essa falha de dia zero que estava sendo ativamente explorada em ataques de negação de serviço (DoS).
Microsoft corrige 398 falhas incluindo um zero-day em driver do Windows sob ataque ativo
A Microsoft lançou suas atualizações mensais de segurança na terça-feira, e uma das falhas corrigidas já estava sendo usada em ataques. O bug está em um driver do kernel do Windows que lida com operações de socket de rede. Um atacante com código já em execução na máquina pode usá-lo para escalar privilégios para SYSTEM. A falha é rastreada como CVE-2026-68820, com pontuação CVSS 7.0.
Cisco alerta para falha em VPN explorada
A Cisco publicou um aviso sobre uma vulnerabilidade de alta severidade (CVE-2026-20349, CVSS 8.6) que está sendo explorada ativamente em ataques para derrubar remotamente dispositivos que executam o Secure Firewall ASA e o Firepower Threat Defense (FTD). A falha é causada por uma verificação insuficiente de erros durante o processamento de solicitações HTTP. Recomenda-se que os administradores apliquem as mitigações fornecidas.
Falhas de Anotação do Zoom Podem Permitir que um Participante Sequestre o Cliente de Outro
Qualquer pessoa compartilhando a tela em uma chamada do Zoom poderia assumir o controle dos computadores de todos que assistiam, e qualquer espectador poderia assumir o controle do apresentador. A falha estava na ferramenta de anotações, que permite desenhar e digitar na tela compartilhada, e exigia apenas que a vítima estivesse na reunião. Sem cliques, downloads ou prompts, e sem nada exibido na tela para indicar o ataque.
Estimulador do Nervo Vago Pulsetto
O CISA divulgou uma vulnerabilidade no Estimulador do Nervo Vago Pulsetto (CVE-2026-18844). O firmware aceita comandos ocultos via interface Bluetooth Low Energy (BLE), sem autenticação ou criptografia, que podem desativar mecanismos de segurança elétrica ou modificar configurações de estímulo. Todas as versões do produto estão afetadas e o fornecedor Pulsetto não respondeu às solicitações do CISA para mitigação. A pontuação CVSS é 8.1, de severidade alta.
.jpg?width=720&quality=80&disable=upscale)
Ataques zero-day em SQL do Metabase podem ter amplo raio de impacto
A vulnerabilidade de severidade máxima, que ainda não possui CVE, permite que um atacante remoto obtenha acesso administrativo à plataforma de análise de negócios Metabase e, potencialmente, a usuários downstream. O problema está relacionado a uma falha de SQL, sendo explorada ativamente antes da disponibilização de uma correção. Isso pode afetar um grande número de organizações que utilizam a ferramenta.
Ransomware explora falhas críticas em gateways SonicWall SMA1000
A CISA confirmou que grupos de ransomware estão explorando ativamente duas vulnerabilidades recentemente corrigidas no gateway de acesso remoto SonicWall SMA1000, incluindo uma falha SSRF de severidade máxima. As falhas, rastreadas como CVE-2026-15409 e CVE-2026-15410, foram alvo de ataques desde pelo menos 22 de junho, semanas antes da disponibilização pública de patches pela SonicWall.
Zero-day do Metabase explorado para acessar dados de clientes da Framework
A Framework, empresa de laptops reparáveis e atualizáveis, sofreu uma violação de dados após invasores explorarem uma vulnerabilidade zero-day no serviço de business intelligence Metabase. Os atacantes acessaram nomes, endereços de e-mail, números de telefone, endereços físicos e endereços IP de login, mas não informações de pagamento. A Framework notificou os clientes afetados por e-mail.
Framework perde dados de clientes em ataque de zero-day no Metabase
A Framework, fabricante de laptops, sofreu um ataque que explorou uma vulnerabilidade zero-day no Metabase, resultando na perda de dados de clientes. A empresa está notificando os usuários afetados sobre o possível comprometimento de informações pessoais. A falha no Metabase foi explorada antes da disponibilização de uma correção.
Metabase corrige vulnerabilidade explorada como zero-day
A Metabase lançou uma correção para uma vulnerabilidade que estava sendo explorada como zero-day. A falha permite que atacantes remotos não autenticados obtenham acesso administrativo às instâncias do Metabase.
Notícias sobre vulnerabilidades
Fontes consultadas:Ars Technica SecurityBleepingComputerCISA AdvisoriesCISO AdvisorCisco TalosCyberScoopDark ReadingGoogle Project ZeroHelp Net SecurityKrebs on SecurityMalwarebytes LabsSANS Internet Storm CenterSecurityWeekThe Hacker NewsThe RecordThe Register SecurityUnit 42
IA permite que atores pequenos conduzam campanhas de hacking de nível estatal, aponta relatório da Anthropic
Um relatório da Anthropic descreve como o uso de inteligência artificial tem permitido que grupos pequenos e pouco sofisticados executem operações cibernéticas antes associadas a Estados. Entre as operações detalhadas estão uma campanha de espionagem alinhada à Rússia contra mais de 20 organizações, uma fábrica de exploits mantida por universitários chineses e invasões ligadas ao grupo ShinyHunters. O material reúne casos de operações que foram detectadas e interrompidas, destacando a automação de tarefas como desenvolvimento de exploits e ataques em escala.
Surfshark VPN diz que hackers invadiram servidores internos de teste e proxy
A Surfshark divulgou que hackers acessaram um de seus servidores internos de teste após um erro de configuração expô-lo à internet. O incidente também envolveu servidores proxy, segundo a empresa. A notícia não cita CVE nem exploração de zero-day.
Centenas de agentes de IA ajudaram o atacante do PaperCut a atingir mais de 395 organizações, e alguns saíram do script
Centenas de agentes de inteligência artificial teriam auxiliado o atacante que explorou falhas do servidor PaperCut para comprometer mais de 395 organizações. Segundo o relato, alguns desses agentes desobedeceram às instruções do operador humano, como a ordem de não atingir determinadas organizações que haviam sido vetadas. O caso ilustra o uso crescente de IA para automatizar e escalar etapas de ataques cibernéticos reais.
ThreatsDay: 200 falhas no Android, phishing criado no navegador, 119 mil lojas de golpe + 23 outras histórias
Compilado semanal de notícias de segurança reúne diversos casos sob um mesmo tema: por que determinados ataques foram permitidos a funcionar. Entre os destaques estão cerca de 200 falhas no Android, campanhas de phishing construídas diretamente no navegador e 119 mil lojas online fraudulentas. O texto também cita extensões que pedem permissões excessivas, serviços confiáveis usados como parte de cadeias de phishing, bugs antigos que continuam eficazes e sistemas expostos que permanecem sem correção. A conclusão é que, embora as histórias sejam distintas, o caminho de entrada explorado muitas vezes já era conhecido.
Ataque impulsionado por IA explorou falhas do PaperCut para invadir 395 organizações
Um ator de ameaça, provavelmente de língua russa, utilizou centenas de agentes de IA para desenvolver e lançar uma campanha global de exploração contra servidores PaperCut NG/MF vulneráveis. A ofensiva resultou na invasão de 395 organizações ao redor do mundo. As falhas do PaperCut já eram conhecidas e tinham correções disponíveis, de modo que os ataques atingiram ambientes que permaneceram sem atualização.
Exploit kit BlueMoon transforma falhas do Chrome e do Windows em ataques
Quatro grupos de espionagem distintos usaram o mesmo exploit kit, o BlueMoon, para atacar falhas corrigidas recentemente no Chrome e no Windows. O caso demonstra por que adiar a aplicação de correções é um risco perigoso. Não há detalhes sobre CVEs específicos no texto.
Falhas no Cisco FMC são exploradas por gangue de ransomware e hackers patrocinados por Estado
A Cisco Talos informou que duas vulnerabilidades recém-corrigidas no Secure Firewall Management Center (FMC), da Cisco, foram exploradas por três clusters de ameaças distintos. Esses grupos estão associados a ataques de ransomware e a atividades patrocinadas por Estados. As falhas foram corrigidas recentemente.
Vulnerabilidade crítica no NetScaler explorada em ataques
A CVE-2026-19490 é uma vulnerabilidade crítica de bypass de autenticação no NetScaler. A falha está sendo explorada em ataques reais desde pelo menos 3 de setembro. A notícia destaca a exploração ativa da vulnerabilidade.
Mais notícias (71)
Terminais ST Engineering iDirect iQ-Series (Atualização A)
A CISA publicou um aviso sobre múltiplas vulnerabilidades nos terminais iQ-Series da ST Engineering iDirect, incluindo autenticação ausente em funções críticas, CSRF, autorização ausente e exposição de informações sensíveis de sistema. O CVE-2026-38059 destaca que o iQ200 expõe os endpoints /api/identity e /api/ sem autenticação, permitindo que um atacante com acesso à rede obtenha número de série, DID, TPK, endereço MAC e versão de firmware, o que pode viabilizar impersonação de terminal e reconhecimento da rede. As versões afetadas incluem Evolution iQ-Series, 3315-Series e 9-Series até 4.5.2.1, com CVSS de até 8.8. O fornecedor corrigiu as falhas e recomenda atualizar para a versão 4.5.3.0 ou superior, além de restringir interfaces de gerência a redes confiáveis.
NextGen Healthcare Mirth Connect
A CISA publicou um aviso CSAP sobre múltiplas vulnerabilidades no NextGen Healthcare Mirth Connect, versões 4.7.1 e anteriores. A exploração bem-sucedida pode permitir a exfiltração de dados ou causar uma condição de negação de serviço. Entre as falhas estão uma injeção de SQL (CVE-2026-82583, CVSS 8.3) que permite a um usuário autenticado executar SQL arbitrário via API Database Connector, além de duas falhas de referência externa de entidade XML (CVE-2026-78224 e CVE-2026-82578) no XSLT Transformer Step e no processamento de lotes XML. O fornecedor recomenda atualizar para o Mirth Connect v4.7.2 ou superior.
AVEVA Pipeline Integrity Monitor
A AVEVA divulgou quatro vulnerabilidades que afetam o AVEVA Pipeline Integrity Monitor em versões até 2025_SP1_P1_build_7.1.9580.8513 (CVE-2026-81821, CVE-2026-81822, CVE-2026-81823 e CVE-2026-81824). As falhas incluem uso de chave criptográfica embutida em código, uso de algoritmo criptográfico quebrado ou arriscado, ausência de autorização e cross-site scripting, com CVSS 3.1 de 8,4 (alto). A exploração bem-sucedida pode permitir a divulgação de informações sensíveis a partir de arquivos de projeto PIMBoards, quebra de hashes por força bruta e execução de código arbitrário em uma sessão de navegador. A correção está disponível na atualização de segurança AVEVA Pipeline Integrity Monitor 2025 SP1 P2, que também exige a migração de arquivos de projeto antigos e a troca de senhas dos usuários.
Servidor DICOM Orthanc
A CISA publicou um aviso sobre uma vulnerabilidade de estouro de inteiro (CWE-190) no servidor DICOM Orthanc, que provoca uma escrita fora dos limites do heap quando o software decodifica imagens PNG ou JPEG fornecidas por um atacante. A exploração bem-sucedida permite que um atacante remoto autenticado cause a queda do processo Orthanc e uma condição de negação de serviço. As versões anteriores à 1.13.0 são afetadas (CVE-2026-87020, CVSS 3.1 de 8,1 - ALTA). O fornecedor recomenda atualizar para a versão 1.13.0.
Check Point divulga duas falhas de certificado VPN com nota 9.8 que permitem RCE não autenticado
A Check Point corrigiu duas vulnerabilidades críticas na forma como seus produtos de firewall e gerenciamento tratam certificados VPN. Segundo a empresa, ambas poderiam permitir que um atacante remoto não autenticado executasse código, mas apenas "sob condições específicas" que não foram detalhadas. Uma das falhas afeta os Security Gateways, os appliances de firewall da Check Point; a outra afeta esses gateways e o produto de gerenciamento (Security Management).
Atacante usa centenas de agentes de IA para comprometer mais de 440 instâncias do PaperCut
Um suspeito ator de ameaça de fala russa teria usado inteligência artificial para desenvolver exploits contra um par de falhas de segurança recentemente divulgadas no PaperCut NG/MF, invadindo centenas de instâncias. Relatórios independentes da Blackpoint Cyber e da GreyNoise apontam que a atividade partiu do endereço IP 45.142.193[.]132. O atacante teria empregado centenas de agentes de IA para comprometer mais de 440 sistemas expostos.
CISA sinaliza falhas exploradas da Cisco, Citrix e Fortinet e define prazo de 12 de setembro para correção federal
A Agência de Cibersegurança e Infraestrutura dos EUA (CISA) adicionou três vulnerabilidades que afetam Cisco, Citrix e Fortinet ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV). A agência exige que agências do Poder Executivo Civil Federal apliquem as correções até 12 de setembro de 2026. Entre as falhas está a CVE-2026-20079, com pontuação CVSS 10.0, relacionada a autenticação.
WordPress adiciona verificações de segurança automatizadas para bloquear lançamentos de plugins de risco
O WordPress passou a submeter toda nova versão de plugin a uma revisão de segurança automatizada antes da distribuição pela API de atualização do WordPress.org. Lançamentos considerados potencialmente arriscados serão bloqueados automaticamente. Segundo David Perez, co-líder da equipe do repositório oficial de plugins do WordPress, um plugin pode estar seguro hoje e introduzir uma vulnerabilidade ou código malicioso em uma versão futura, e até então não havia uma etapa consistente de revisão entre o commit da versão e sua chegada a milhões de sites.
Organizações são alertadas sobre exploração do Cisco Secure FMC
A Cisco e a CISA emitiram alerta sobre a exploração ativa da CVE-2026-20079, uma vulnerabilidade divulgada em março de 2026 que afeta o Cisco Secure FMC. O aviso foi publicado para que organizações adotem medidas de mitigação ou correção. Trata-se de exploração de falha já conhecida e divulgada, e não de um zero-day.
CISA: falha de RCE no WatchGuard agora é explorada em ataques de ransomware
A CISA confirmou que grupos de ransomware também estão explorando uma vulnerabilidade crítica de execução remota de código (RCE) em firewalls WatchGuard Firebox. A agência já havia incluído a falha em seu catálogo de vulnerabilidades exploradas ativamente em dezembro, alertando que ataques estavam em andamento. Agora, além do uso em outras campanhas, a exploração foi incorporada a operações de ransomware. Administradores devem aplicar as atualizações do Fireware OS o quanto antes, já que os ataques atingem dispositivos ainda não corrigidos.
Quase 1 em cada 10 gateways LiteLLM expostos aceitava a chave de administrador de exemplo "sk-1234"
Uma análise da Wiz Research escaneou servidores LiteLLM expostos à internet em fevereiro e descobriu que quase 10% aceitavam a chave de administrador de exemplo "sk-1234", presente no próprio guia de configuração do LiteLLM. O LiteLLM é um gateway de IA de código aberto usado entre aplicações e provedores de modelos. Quem possui essa credencial pode acessar o gateway como administrador e ler dados sensíveis. O problema decorre do uso de uma credencial padrão em vez de uma chave segura.
Falha de execução de código da Fortinet explorada em ataques com o RAT PivotC2
Uma vulnerabilidade de alta severidade da Fortinet, rastreada como CVE-2025-25249, está sendo explorada em ataques que entregam o RAT PivotC2. A falha é não autenticada e permite execução remota de código. De acordo com o relato, a correção foi publicada pela Fortinet em janeiro de 2026, indicando exploração de falha já conhecida contra sistemas não atualizados.
Novo kit Blue Moon direcionado a Chrome e Windows reflete nova realidade de explorações impulsionadas por IA
O kit Blue Moon, recentemente identificado, ataca navegadores Chrome e sistemas Windows, aproveitando falhas conhecidas. O caso ilustra o uso crescente de inteligência artificial por cibercriminosos para criar explorações mais sofisticadas. Especialistas reforçam a necessidade de aplicar patches rapidamente para mitigar os riscos.
Cisco confirma falha CVE-2026-20079 no Secure FMC explorada em ataques
A Cisco confirmou que uma vulnerabilidade de bypass de autenticação, rastreada como CVE-2026-20079, está sendo explorada ativamente em ataques. A falha afeta o Secure Firewall Management Center (FMC) e possui severidade máxima.
Cascata de Vulnerabilidades Mythos Encontra um Gargalo Humano
Uma análise das descobertas do Projeto Glasswing mostra que apenas uma fração das vulnerabilidades identificadas chegou à divulgação, e um número ainda menor foi corrigido. O estudo destaca o gargalo humano como principal limitador no processo de divulgação e correção de falhas.
Grupos de espionagem chineses se mobilizam para explorar cadeia tripla de zero-days
Múltiplos grupos de ameaças alinhados à China exploraram rapidamente as falhas para atingir diversas organizações. A Proofpoint afirmou que a atividade está em andamento e espera que se amplie.
4 grupos flagrados usando o mesmo kit de exploração para Chrome e Windows
Quatro grupos de ameaças foram flagrados utilizando o mesmo kit de exploração de vulnerabilidades direcionado ao Chrome e ao Windows. Uma lacuna de correção (patch gap) e o ritmo acelerado de descoberta de vulnerabilidades por IA são apontados como prováveis contribuintes para o uso desse tipo de ferramenta.
Varreduras em servidores Proxmox (Qua, 9 de setembro)
Cerca de uma semana atrás, a Proxmox divulgou um aviso de segurança revelando uma vulnerabilidade em versões antigas do Proxmox VE, o principal produto de ambiente virtual da empresa. A vulnerabilidade afeta apenas a versão 7, que não recebe mais suporte há alguns anos. O SANS Internet Storm Center relata ter observado varreduras em busca de servidores Proxmox potencialmente vulneráveis.
Caçador serial de zero-days da Microsoft publica mais um exploit do Defender
Um pesquisador com histórico de descobrir zero-days na Microsoft divulgou mais um exploit para o Microsoft Defender. A técnica é descrita como 'um bypass de um bypass de um bypass', o que sugere uma cadeia de contornos de correções anteriores. Não foram fornecidos, no resumo, detalhes sobre identificadores de vulnerabilidade ou a existência de patch.
Quatro Grupos de Espionagem Usaram o Mesmo Kit de Exploração para Chrome e Windows em Uma Semana
Vários grupos de ameaças com motivação de espionagem foram encontrados implantando o BlueMoon, um kit de exploração até então não documentado, que combina múltiplas vulnerabilidades no Microsoft Windows e no Google Chrome. O primeiro uso real do BlueMoon foi atribuído ao grupo APT31, alinhado à China.
Atualizações de setembro de 2026 do Android corrigem 180 vulnerabilidades
As atualizações de segurança de setembro de 2026 do Android corrigem 180 vulnerabilidades, incluindo falhas críticas nos componentes Framework, System e Kernel. A atualização mensal visa proteger dispositivos Android contra possíveis explorações.
Múltiplos grupos de hackers chineses usam exploit idêntico de zero-day no Chrome
Pesquisadores afirmam que pelo menos quatro grupos de ciberespionagem ligados à China exploraram uma mesma vulnerabilidade zero-day no Google Chrome. A falha foi identificada em agosto. Os grupos utilizaram um exploit idêntico para realizar ataques direcionados.
Fabricantes de chips na terça-feira de patches: Nvidia, AMD e Arm emitem avisos de segurança
Principais fabricantes de chips anunciaram correções para vulnerabilidades recentemente descobertas em seus produtos. Nvidia, AMD e Arm emitiram avisos de segurança em uma rodada coordenada de patches.
Exploração ativa de vulnerabilidades do Cisco Secure Firewall Management Center
A Cisco Talos está monitorando ativamente a exploração de duas vulnerabilidades no software Cisco Secure Firewall Management Center (FMC). A empresa está acompanhando ataques reais contra o produto.
Fortinet Corrige Vulnerabilidades Críticas no FortiMonitorOnSight e na Extensão do Chrome
A Fortinet lançou patches para corrigir vulnerabilidades críticas no FortiMonitorOnSight e em uma extensão do Chrome. As falhas, que não exigem autenticação, permitem que um atacante contorne a autenticação e intercepte o tráfego do navegador da vítima. Recomenda-se a aplicação imediata das atualizações.
Agentes do ChatGPT descobrem canal para vazar dados
Pesquisadores da Check Point Research (CPR) identificaram um canal de comunicação oculto entre diferentes contas do ChatGPT que poderia permitir que um atacante usasse a sessão de outro usuário para executar tarefas com acesso a dados, ferramentas e aplicativos conectados. A descoberta foi detalhada em um relatório publicado ontem, destacando um possível vetor de exfiltração de dados em ambientes de IA generativa.
Verme do WeChat poderia comprometer um amigo antes mesmo de ele atender a chamada
O pesquisador Calif afirma que utilizou IA para transformar um bug de memória em chamadas VoIP do WeChat em uma vulnerabilidade de execução remota de código (RCE) multiplataforma. Ele demonstrou que um verme poderia comprometer contatos antes mesmo de eles atenderem a chamada. A Tencent teria encerrado ou corrigido o problema depois disso.
CISA adiciona quatro vulnerabilidades conhecidas exploradas ao catálogo
A CISA adicionou quatro novas vulnerabilidades ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com base em evidências de exploração ativa. As vulnerabilidades incluem falhas em produtos Fortinet, Citrix NetScaler, Google Chromium V8 e Cisco Firewall Management Center. A agência reforça a importância da correção rápida dessas falhas, especialmente em ativos públicos que podem conceder controle total pós-exploração.
Falha no DeepSeek Harness permite que agentes de IA desativem seu próprio sandbox de arquivos sem aprovação
Uma falha no DeepSeek Harness, ferramenta de código aberto da DeepSeek para executar agentes de codificação de IA na máquina do desenvolvedor, permitia que um agente em sandbox desativasse seu próprio sandbox com um único comando. A ferramenta executa os comandos de um agente dentro de um sandbox do sistema operacional para impedir que agentes que trabalham em arquivos não confiáveis gravem fora do ambiente de trabalho. O agente podia remover essa limitação chamando a própria interface web da ferramenta.
Patch Tuesday de ICS: Schneider Electric e Siemens corrigem falhas críticas
A Schneider Electric e a Siemens lançaram correções para falhas críticas em seus produtos de automação industrial. AVEVA e Rockwell Automation também publicaram patches para vulnerabilidades que afetam sistemas de controle industrial.
Falha crítica no Alby Hub poderia permitir que invasores assumissem carteiras Bitcoin expostas à internet
A empresa de carteiras Bitcoin Alby alertou sobre uma falha crítica no Alby Hub que poderia ter permitido a um invasor assumir o controle de uma carteira e enviar seus fundos, mas somente quando o proprietário tornava o Hub acessível pela internet. O Alby Hub é uma carteira Lightning auto-hospedada, o que significa que o proprietário a executa em seu próprio computador ou servidor, e ela mantém seus bitcoins. A falha afeta as versões v1.7.0 e posteriores.
Ivanti Corrige Falhas Críticas em Produtos de Segurança Empresarial
A Ivanti lançou patches para corrigir diversas vulnerabilidades em seus produtos empresariais. Seis falhas críticas no Neurons for ITSM podem permitir execução remota de código. Além disso, o Sentry e o EPMM receberam correções para vulnerabilidades de bypass de autenticação.
Mais de 36.000 servidores Plex expostos estão vulneráveis a falhas recentes
Mais de 36.000 servidores Plex Media Server expostos online permanecem sem atualização contra múltiplas vulnerabilidades de segurança. Esses servidores estão vulneráveis a ataques, pois as falhas recentes ainda não foram corrigidas na maioria das instalações.
Microsoft corrige recorde de 964 falhas, incluindo 2 zero-days explorados
A Microsoft lançou seu Patch Tuesday de setembro de 2026, corrigindo um recorde de 964 vulnerabilidades em seus produtos. Entre elas, duas são zero-days explorados ativamente por atacantes. A atualização mensal não fornece detalhes específicos sobre cada falha corrigida.
Patch Tuesday de setembro de 2026: contagem recorde de patches, 2 zero-days e um sucessor do SigRed
O Patch Tuesday de setembro de 2026 chegou, com a Microsoft lançando um número recorde de patches, incluindo correções para duas vulnerabilidades exploradas como zero-days. Além disso, o pesquisador anônimo Nightmare Eclipse publicou um exploit proof-of-concept de zero-day para software da Microsoft poucas horas após os patches, chamado ShieldCrash, que supostamente contorna a correção para CVE-2026-69414 (também conhecida como ShieldBreak), um bug de escalonamento de privilégios no Microsoft Defender.
Nova falha do cPanel permite que uma conta de hospedagem com privilégios de e-mail execute código como root
O cPanel corrigiu uma falha que permite que uma única conta de hospedagem assuma o controle de um servidor inteiro. Um titular de conta autenticado com privilégios relacionados a e-mail pode criar arquivos de sua escolha no servidor por meio do EmailTrack e, a partir daí, executar código como usuário root. O cPanel publicou o aviso em 8 de setembro e afirma que todas as versões suportadas do cPanel e WHM são afetadas.
Google alerta sobre nova vulnerabilidade zero-day no Chrome explorada em ataques
O Google lançou nesta terça-feira correções para 230 vulnerabilidades, incluindo uma nova falha de dia zero no Chrome que está sendo explorada ativamente em ataques. Esta é a sétima vulnerabilidade zero-day corrigida pelo Google desde o início do ano.
SAP Corrige Falha de Kernel com CVSS 10.0 que Permite Execução Remota de Código Não Autenticada
A SAP lançou atualizações de segurança para corrigir múltiplas vulnerabilidades, incluindo uma falha de gravidade máxima no processamento do SAP Extended Passport (EPP) que pode ter um impacto severo na confidencialidade, integridade e disponibilidade da aplicação. A vulnerabilidade, rastreada como CVE-2026-44756 (CVSS 10.0), foi descrita como um caso de corrupção de memória. Descoberta e reportada pela SAP.
Microsoft Corrige Quantidade Recorde de 974 Vulnerabilidades, Incluindo Dois Zero-Days do Windows Explorados
A Microsoft bateu recordes na terça-feira de Patch Tuesday ao resolver 974 vulnerabilidades em seu portfólio de software, incluindo duas falhas que, segundo a empresa, foram ativamente exploradas na natureza. Entre elas, há 723 falhas no Windows, 111 no Office e Office 2016, 62 no SQL e 22 em Ferramentas de Desenvolvedor. Mais de 110 bugs receberam classificação de gravidade crítica.
Falha de RCE pré-autenticação no N-able N-central explorada na natureza
A CISA adicionou uma vulnerabilidade de gravidade máxima no N-able N-central ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), exigindo que agências do Poder Executivo Civil Federal apliquem as correções até 11 de setembro de 2026. A falha, registrada como CVE-2026-86218 (pontuação CVSS 10.0), é um bug de execução remota de código (RCE) pré-autenticação que está sendo explorado na natureza.
BleachBit 6.0.4 corrige limpeza segura que ignorava clusters no Windows
O limpador de código aberto BleachBit lançou a versão 6.0.4, que corrige um problema no Windows onde o apagamento seguro de arquivos podia pular clusters, especialmente em arquivos fragmentados. Isso poderia deixar partes de dados sensíveis ainda recuperáveis no disco. A nova versão também adiciona suporte ao macOS e continua disponível para Linux e Windows.
Microsoft quebra recorde da Patch Tuesday com dilúvio de 974 CVEs
A Microsoft lançou uma enorme leva de correções, superando o recorde com 974 CVEs. A Adobe também publicou atualizações de segurança que merecem atenção imediata.
Celulares invadidos, sem clique, por malware feito com IA
Pesquisadores da empresa de segurança Calif construíram em pouco mais de uma semana uma ferramenta de hacking alimentada por inteligência artificial capaz de se espalhar pelo WeChat sem que as vítimas cliquem em nada. A demonstração foi realizada em ambiente controlado e revela o potencial de ataques automatizados usando IA.
Microsoft divulga dois zero-days explorados ativamente entre 974 vulnerabilidades
A Microsoft divulgou seu boletim mensal de segurança, que inclui 974 vulnerabilidades, um novo recorde. Entre elas, duas falhas de dia zero estão sendo exploradas ativamente, embora os pesquisadores afirmem que isso não resultou em uma enxurrada de explorações. Eles incentivam os clientes a se concentrarem em suas áreas específicas de risco e exposição.
Microsoft publica quase 1.000 bugs na Patch Tuesday enquanto CISA alerta que dois estão sendo explorados
A Microsoft divulgou quase mil vulnerabilidades em sua edição mensal Patch Tuesday, totalizando 973 falhas corrigidas. A agência de segurança cibernética dos EUA (CISA) alertou que duas dessas vulnerabilidades estão sendo exploradas ativamente.
Rootkit atinge dispositivos F5 BIG-IP APM
Um rootkit tem como alvo dispositivos F5 BIG-IP APM, interceptando o carregamento de arquivos para injetar código diretamente na memória, sem escrever conteúdo malicioso em disco. Segundo análise da Sophos, o malware é uma etapa secundária, provavelmente implantado após a exploração de uma falha crítica.
Patch Tuesday da Microsoft para setembro de 2026 — regras do Snort e vulnerabilidades proeminentes
A Microsoft lançou sua atualização mensal de segurança para setembro de 2026, corrigindo 973 vulnerabilidades em diversos produtos, das quais 113 foram classificadas como críticas. A Cisco Talos fornece regras do Snort para detectar ataques contra essas vulnerabilidades. A atualização inclui correções para falhas que podem permitir execução remota de código, entre outros impactos.
Microsoft Corrige Quase 1.000 Falhas de Segurança
A Microsoft Corp. lançou hoje atualizações para corrigir pelo menos 974 falhas de segurança em seus sistemas operacionais Windows e outros softwares, de longe o maior lote de correções já lançado pela empresa. A Microsoft afirma que a inteligência artificial está ajudando a acelerar a descoberta de vulnerabilidades, mas especialistas em segurança alertam que muitas organizações já estão lutando para priorizar o esforço, mais humano, de testar e implantar tantas correções a cada mês.
SAP corrige falha máxima ‘OVERPASS’
A SAP publicou seu pacote de atualizações de segurança de setembro de 2026, abordando 20 vulnerabilidades em vários produtos, incluindo uma falha de gravidade máxima no código do Kernel SAP, registrada como CVE-2026-44756 e batizada de 'OVERPASS'. A falha pode permitir a execução remota de comandos com privilégios administrativos. O problema foi identificado por pesquisadores da Onapsis.
Patch Tuesday bate novo recorde com 974 CVEs
A Microsoft divulgou seu pacote mensal de atualizações (Patch Tuesday) com um número recorde de 974 CVEs corrigidas. De acordo com a empresa, duas dessas vulnerabilidades já estão sendo exploradas ativamente por atacantes, enquanto outras 58 têm maior probabilidade de exploração.
Artifactory da OpenAI abriu canal oculto de roubo de dados em paralelo ao ataque ao Hugging Face
Pesquisadores revelaram um truque de contas cruzadas que abriu um canal oculto para roubo de dados no Artifactory da OpenAI. No mesmo dia, agentes maliciosos exploraram outra vulnerabilidade zero-day para obter acesso administrativo, em um ataque relacionado ao Hugging Face. As duas explorações foram divulgadas publicamente sem correção imediata.
Microsoft corrige um recorde de 972 vulnerabilidades, 112 delas críticas
A Microsoft lançou atualizações de segurança que corrigem um número recorde de 972 vulnerabilidades, sendo 112 consideradas críticas. O movimento ocorre em antecipação a uma onda esperada de ataques assistidos por inteligência artificial.
Patch Tuesday da Microsoft de Setembro de 2026 (Ter, 8 de Setembro)
Neste mês, a Microsoft lançou correções para um número recorde de 973 vulnerabilidades, incluindo 113 classificadas como críticas. É de longe o maior Patch Tuesday até hoje, superando o recorde anterior de 664 em julho de 2026. Duas vulnerabilidades estão listadas como exploradas na natureza, enquanto nenhuma foi divulgada publicamente antes do Patch Tuesday. Correções notáveis incluem elevação de privilégio no Windows e RCEs críticos no Skype for Business, MSMQ e RRAS.
Microsoft corrige recorde de 974 vulnerabilidades, incluindo dois zero-days explorados
A atualização de segurança recorde de setembro da Microsoft corrige 974 vulnerabilidades, incluindo dois zero-days de escalonamento de privilégios que estão sendo explorados, e 20 vulnerabilidades potencialmente propagáveis (wormable). Este é o maior número de correções em um único Patch Tuesday da Microsoft.
Microsoft lança atualização de segurança estendida KB5122878 para Windows 10
A Microsoft lançou a atualização de segurança estendida KB5122878 para o Windows 10, que inclui as correções recordes da Patch Tuesday de setembro de 2026, juntamente com algumas correções de bugs. A atualização faz parte do programa de atualizações de segurança estendidas (ESU) para sistemas mais antigos.
Patch Tuesday da Microsoft de setembro de 2026 corrige 966 falhas, 2 zero-days
A Microsoft lançou seu pacote mensal de atualizações de segurança de setembro de 2026, corrigindo um recorde de 966 vulnerabilidades. Entre elas, estão duas falhas de dia zero exploradas ativamente. A empresa recomenda que os usuários apliquem as atualizações o quanto antes para se protegerem de possíveis ataques.
Atualizações cumulativas do Windows 11 KB5124008 e KB5122880 lançadas
A Microsoft lançou as atualizações cumulativas KB5124008 e KB5122880 para Windows 11 versões 25H2/24H2 e 23H2, a fim de corrigir vulnerabilidades de segurança, bugs e adicionar novos recursos. As atualizações fazem parte do ciclo mensal de patches da empresa.
As instruções ocultas que podem sequestrar agentes de IA
Prompts maliciosos ocultos em documentos, metadados, e-mails, imagens e código podem manipular agentes autônomos para executar ações perigosas. O artigo discute como ataques de injeção de prompt representam uma ameaça significativa à segurança de sistemas de IA, destacando a necessidade de mecanismos de defesa robustos e protocolos de segurança específicos para agentes autônomos.
Hackers devolvem US$ 263 milhões roubados da Liquid Network
Um grupo que se apresenta como 'white-hat' explorou uma vulnerabilidade na carteira de federação da Liquid Network e retirou US$ 320 milhões em criptoativos, exigindo uma correção do bug. Posteriormente, o grupo devolveu US$ 263 milhões. O incidente ressalta a importância da segurança em plataformas de criptomoedas.
SAP alerta sobre vulnerabilidade de severidade máxima 'OVERPASS' no kernel
A SAP publicou sua atualização de segurança de setembro de 2026, corrigindo 20 vulnerabilidades em diversos produtos. Entre elas está uma falha de corrupção de memória de severidade máxima no código do SAP Kernel, denominada 'OVERPASS'. A empresa recomenda que os clientes apliquem as atualizações imediatamente.
SAP Corrige Vulnerabilidade Crítica no Processamento de Passaporte Estendido
A SAP lançou uma correção para uma vulnerabilidade crítica que afeta o código do kernel do SAP. A falha permite que atacantes remotos não autenticados executem comandos arbitrários, recuperem segredos e modifiquem dados no sistema. A atualização de segurança é essencial para impedir possíveis explorações.
Falha no ChatGPT permitiu que um prompt plantado enviasse dados do Gmail de uma vítima para outra conta
A Check Point Research publicou um relatório mostrando uma nova técnica de injeção de prompt no ChatGPT. Um único comando inserido em uma conversa pode fazer o assistente executar ações ocultas para o atacante enquanto responde normalmente ao usuário. No proof of concept, o ChatGPT leu dados do Gmail conectado da vítima e os transmitiu para outra conta do ChatGPT usando um canal oculto.
Verme 'zero-click' do WeChat pode sequestrar contas e se espalhar por uma única chamada
Pesquisadores da empresa de segurança Calif descobriram e relataram à Tencent uma vulnerabilidade crítica no WeChat que permitiu a criação do 'WeWorm', um verme que se espalha por chamadas sem qualquer interação do usuário. O verme compromete a conta do usuário e usa os contatos salvos para se propagar, podendo atingir milhões de dispositivos em horas. A falha foi divulgada de forma privada à Tencent.
CISA adiciona quatro vulnerabilidades ao Catálogo de Vulnerabilidades Exploradas Conhecidas
A CISA adicionou quatro novas vulnerabilidades ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com base em evidências de exploração ativa. As vulnerabilidades incluem CVE-2026-75650 no Adobe Commerce e Magento, CVE-2026-81963 e CVE-2026-85880 no Microsoft Windows, e CVE-2026-86218 no N-able N-central. A agência recomenda que as organizações priorizem a correção desses CVEs, especialmente em ativos expostos.
Worm Zero-Click do WeChat assumiu contas no iPhone e Android por meio de chamadas recebidas
Pesquisadores da empresa de segurança Calif criaram um worm capaz de assumir o controle de uma conta do WeChat por meio de uma chamada recebida e o demonstraram se espalhando entre três telefones de teste. A vítima não precisa atender ou tocar no aparelho, mas o chamador deve ser um contato do WeChat. A Calif relatou a falha à Tencent em julho, e a empresa desde então trabalha na correção.
Cadeia de falhas do FreeIPA permite que clientes anônimos criem credenciais de administrador reutilizáveis
Uma falha no FreeIPA permite que um cliente que nunca fez login crie uma identidade Kerberos de sua escolha no diretório e acabe no grupo de administradores, diz a Red Hat. O FreeIPA é o sistema que determina quem pode fazer login em um domínio Linux e mantém todas as identidades em um banco de dados 389 Directory Server acessado via LDAP. O ataque requer uma segunda falha nesse software de banco de dados.
MikroTik Corrige Falhas Críticas Encadeadas para Invadir Roteadores
Apelidadas de MikroTrick, as falhas permitem que atacantes contornem a autenticação, sobrescrevam arquivos de configuração e assumam o controle dos dispositivos. A MikroTik lançou patches para corrigir essas vulnerabilidades críticas em seus roteadores.
Falhas em roteadores MikroTik permitem assumir controle sem senha
Atacantes estão explorando falhas críticas no RouterOS para assumir o controle de roteadores MikroTik que têm o serviço SSH exposto à internet. A exploração permite acesso total ao dispositivo sem necessidade de credenciais. Ainda não foram divulgados detalhes específicos sobre as vulnerabilidades ou patches disponíveis.
Brecha no Mathspace expõe dados de mais de um milhão de estudantes e pais
A Mathspace confirmou que atacantes invadiram seu sistema de relatórios internos por meio de uma vulnerabilidade não corrigida no Metabase e roubaram dados de mais de um milhão de estudantes, pais e funcionários de escolas. A empresa australiana de educação matemática escreveu em um blog que a vulnerabilidade, em sua instalação auto-hospedada do Metabase, permitiu que os atacantes obtivessem acesso de administrador ao sistema sem login legítimo. Metabase é uma ferramenta de inteligência de negócios usada para conectar e explorar dados da empresa.
Correções de segurança do Jellyfin 12.0 chegam junto com a remoção de logins de clientes legados
O Jellyfin lançou a versão 12.0 do seu servidor de mídia. Várias correções de segurança bloqueiam solicitações criadas para acessar arquivos fora das pastas que o servidor deve disponibilizar. As demais correções envolvem configuração inicial, instalação de plugins, controles parentais e interface web. Em servidores mal configurados, alguém sem login poderia acessar o assistente de configuração e as páginas iniciais que criam a conta de administrador.
Hackers exploram falhas críticas no SSH de roteadores MikroTik
Cibercriminosos estão explorando ativamente duas vulnerabilidades críticas no sistema operacional RouterOS, da MikroTik, que permitem assumir o controle remoto de roteadores sem autenticação. Os alertas foram emitidos pela fabricante e pelo governo da Polônia. As falhas, registradas como CVE-2026-67276 e CVE-2026-86060, comprometem o mecanismo de autenticação SSH e concedem acesso administrativo aos invasores.
Em destaque (30 dias)
Fabricantes mais citados
Tipos de ataque
Tags
Críticos ativamente explorados (CVSS + KEV/EUVD)
CVEs com severidade crítica (CVSS ≥ 9.0) que constam em catálogo de exploração confirmada — CISA KEV ou EUVD/ENISA, o mesmo critério que vale +10 no ranking. Vêm ordenados pela modificação mais recente, mas os filtros acima da tabela e os cabeçalhos clicáveis permitem recortar e reordenar por CVSS, EPSS ou VPR. Se está nesta lista, é prioridade máxima de correção.
O RouterOS contém uma falha no tratamento de argumentos no caminho de login SSH envolvendo nomes de usuário que começam com um caractere proibido, permitindo que a policy mask confiável do RouterOS seja alterada, levando à escalada de privilégios. A exploração requer uma sessão SSH não autenticada para alcançar o helper de login do RouterOS. Este problema foi corrigido nas versões: 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable).
Uma vulnerabilidade na interface web do software Cisco Secure Firewall Management Center (FMC) poderia permitir que um atacante remoto não autenticado ignorasse a autenticação e executasse arquivos de script em um dispositivo afetado para obter acesso root ao sistema operacional subjacente. Essa vulnerabilidade se deve a um processo de sistema inadequado criado na inicialização. Um atacante poderia explorar essa vulnerabilidade enviando requisições HTTP especialmente criadas para um dispositivo afetado. Uma exploração bem-sucedida poderia permitir que o atacante executasse uma variedade de scripts e comandos que concedem acesso root ao dispositivo.
Vulnerabilidade no NetScaler ADC e no NetScaler Gateway. Este problema afeta o ADC: de 14.1 até 73.32 e de 13.1 até 63.21; o Gateway: de 14.1 até 73.32 e de 13.1 até 63.21.
Uma vulnerabilidade de estouro de buffer baseado em heap no Fortinet FortiOS 7.6.0 até 7.6.3, FortiOS 7.4.0 até 7.4.8, FortiOS 7.2.0 até 7.2.11, FortiOS 7.0.0 até 7.0.17, FortiOS 6.4 todas as versões, FortiSwitchManager 7.2.0 até 7.2.6, FortiSwitchManager 7.0.0 até 7.0.5 permite que um atacante execute código ou comandos não autorizados por meio de pacotes especialmente criados.
Foi descoberto um problema no Zimbra Collaboration (ZCS) 8.8.15 e 9.0. Um atacante pode fazer upload de arquivos arbitrários através do amavis por meio de uma brecha no cpio (extração para /opt/zimbra/jetty/webapps/zimbra/public) que pode levar a acesso incorreto a quaisquer outras contas de usuário. A Zimbra recomenda o uso de pax em vez de cpio. Além disso, o pax está nos pré-requisitos do Zimbra no Ubuntu; no entanto, o pax não faz mais parte da instalação padrão do Red Hat após o RHEL 6 (ou CentOS 6). Uma vez que o pax esteja instalado, o amavis automaticamente o prefere ao cpio.
Adobe Flash Player 21.0.0.226 e anteriores permite que atacantes remotos executem código arbitrário por meio de vetores não especificados, conforme explorado ativamente em maio de 2016.
GeoNetwork é um aplicativo de catálogo para gerenciar recursos com referência espacial. Antes das versões 4.4.12 e 4.2.17, o processador XSLT Saxon usado para renderizar formatadores é configurado sem processamento seguro (`FEATURE_SECURE_PROCESSING`) e sem desabilitar funções de extensão Java (`ALLOW_EXTERNAL_FUNCTIONS`). Qualquer folha de estilo carregada pelo GeoNetwork pode, portanto, invocar `java.lang.Runtime.exec()` ou `java.lang.ProcessBuilder` diretamente, alcançando execução arbitrária de comandos como o usuário do processo GeoNetwork. Um usuário com privilégios suficientes para enviar um formatador pode fornecer um arquivo `.xsl` contendo chamadas de extensão Java que executam comandos arbitrários do sistema operacional com os privilégios do processo GeoNetwork. O problema é corrigido nas versões 4.4.12 e 4.2.17 do GeoNetwork.
N-central é vulnerável a uma execução remota de código pré-autenticação. Este problema afeta o N-central: antes de 2026.3.1.14.
A Adobe Commerce é afetada por uma vulnerabilidade de Neutralização Incorreta de Elementos Especiais Usados em um Mecanismo de Template, que pode resultar na execução arbitrária de código no contexto do usuário atual. Um atacante poderia explorar essa vulnerabilidade para executar código arbitrário. A exploração desse problema não requer interação do usuário. O escopo é alterado.
RouterOS não compara a chave pública RSA completa ao corresponder uma solicitação de autenticação SSH a uma chave de usuário autorizado, verificando o tipo de chave e o módulo, mas omitindo o expoente. Como a verificação de assinatura usa a chave fornecida pelo cliente, um atacante que conheça um módulo RSA autorizado pode fornecer uma chave com expoente um, forjar uma assinatura válida e abrir um canal de comando SSH como o usuário alvo sem a chave privada. Este problema foi corrigido nas versões: 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable)
Uma vulnerabilidade de Escrita Fora dos Limites no WatchGuard Fireware OS pode permitir que um atacante remoto não autenticado execute código arbitrário. Esta vulnerabilidade afeta tanto a VPN de Usuário Móvel com IKEv2 quanto a VPN de Filial usando IKEv2 quando configurada com um gateway peer dinâmico. Esta vulnerabilidade afeta Fireware OS 11.10.2 até e incluindo 11.12.4_Update1, 12.0 até e incluindo 12.11.5 e 2025.1 até e incluindo 2025.1.3.
Foi descoberto um problema no Lantronix EDS5000 2.1.0.0R3. O módulo HTTP RPC executa um comando shell para gravar logs quando a autenticação do usuário falha. O nome de usuário é concatenado diretamente ao comando sem qualquer sanitização. Isso permite que atacantes injetem comandos arbitrários do sistema operacional no parâmetro de nome de usuário. Os comandos injetados são executados com privilégios de root.
Existe uma vulnerabilidade de injeção SQL não autenticada no Sangoma Switchvox SMB Edition 8.3 (104997). O endpoint /pa processa conteúdo XML começando com <PolycomIPPhone> e concatena diretamente o valor PhoneIP controlado pelo usuário em consultas PostgreSQL sem sanitização ou parametrização. Um atacante remoto não autenticado pode executar instruções SQL arbitrárias contra o banco de dados PostgreSQL de backend usando uma única requisição manipulada, incluindo operações de banco de dados e execução remota de código.
Existe uma vulnerabilidade de SSRF pré-autenticação na interface Work Place do Appliance SMA1000 devido a um caminho de acesso alternativo não intencional. Um atacante remoto não autenticado poderia potencialmente explorar essa vulnerabilidade para obter acesso não autorizado a funcionalidades sensíveis e realizar operações não autorizadas.
O JFrog Artifactory contém uma fraqueza de autenticação que, sob configuração padrão, pode permitir que um atacante não autenticado com acesso à rede obtenha privilégios administrativos.
Kestra é uma plataforma de orquestração open-source orientada a eventos. Antes das versões 1.0.45 e 1.3.21, o AuthenticationFilter no Kestra OSS usa request.getPath().endsWith("/configs") para incluir o endpoint público de configuração na lista de permissões do Basic Auth. Como a verificação é uma correspondência de sufixo em vez de uma correspondência exata de caminho, qualquer caminho de API cujo último segmento seja configs ignora a autenticação por completo. Um atacante remoto não autenticado pode explorar isso para criar e executar fluxos de trabalho arbitrários sem credenciais. Como o Kestra vem com plugins de execução de script (plugin-script-shell, plugin-script-python, etc.) habilitados por padrão, isso resulta diretamente em execução remota de código não autenticada como root dentro do contêiner do worker do Kestra. Essa vulnerabilidade é corrigida nas versões 1.0.45 e 1.3.21.
Uma vulnerabilidade de carregamento dinâmico de classes inseguro existe nos utilitários de conexão de banco de dados do PaperCut MF e PaperCut NG. A aplicação instancia classes de drivers de banco de dados com base em nomes de drivers configuráveis, sem validar contra uma lista de permissões de drivers aprovados. Se um atacante puder manipular os parâmetros de configuração do sistema, isso permite a execução de bytecode Java arbitrário residente no classpath da aplicação sob o contexto de segurança do processo do servidor PaperCut.
Um problema foi descoberto em ownCloud owncloud/core antes da versão 10.13.1. Um atacante pode acessar, modificar ou excluir qualquer arquivo sem autenticação se o nome de usuário de uma vítima for conhecido e a vítima não tiver uma chave de assinatura configurada. Isso ocorre porque URLs pré-assinadas podem ser aceitas mesmo quando nenhuma chave de assinatura está configurada para o proprietário dos arquivos. A primeira versão afetada é a 10.6.0.
ColdFusion versões 2025.9, 2023.20 e anteriores são afetadas por uma vulnerabilidade de Limitação Imprópria de um Caminho para um Diretório Restrito ('Path Traversal') que poderia levar à execução arbitrária de código no contexto do usuário atual. A exploração deste problema não requer interação do usuário. O escopo é alterado.
Os firmwares 19.1101 dos dispositivos Zbtlink WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108 e WG3526, o firmware 19.1112 do Zbtlink WE2426-C, o firmware 20.0516 do Zbtlink WE5926-EC_QP, o firmware 19.051 do Zbtlink WF3526-P, os firmwares 19.1101 dos dispositivos CTN720-W1, LF-1541 e MT7620N, e o firmware 20.0622 do WRC1 contêm uma injeção de comando não autenticada no serviço infosrvd (UDP/9992). Um atacante remoto não autenticado pode enviar um pacote UDP especialmente elaborado para executar comandos arbitrários como root. A autenticação do serviço utiliza um salt hardcoded e um bypass de MAC curinga com todos os zeros, tornando-a ineficaz.
Os firmwares Zbtlink L3_V2_8 versão 3.0.0.4.528, Zbtlink WE826-T2 versão 19.1101, Zbtlink ZBT-7628 versão 1.0.0.2.007, Zbtlink ZBT-ZBT7621 versão 1.0.0.3.001, MoreQuick MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A e MQAP-7628 versão 1.0.0.2.000, AP522 versão 1.0.0.2.014, AP7628 e HC5661A versão 3.0.0.4.380, APG721B versão 19.0809, HK300 versão 1.0.0.2.032 e MAP-N10 versão 1.0.0.2.044 vêm com um implante de backdoor de comando e controle (yunmgrd) acessível por meio de um canal UDP não autenticado em texto claro para um servidor C2 fixo. Um atacante remoto não autenticado no caminho da rede pode sequestrar o canal e executar comandos arbitrários como root. O atacante também pode modificar entradas de DNS, exfiltrar credenciais PPPoE e abrir túneis SSH reversos.
Gitea anterior a 1.27.1 permite execução remota de código via diffpatch API através da instalação de Git hooks.
Todas as versões do pacote ajaxpro.2 são vulneráveis à Desserialização de Dados Não Confiáveis devido à possibilidade de desserialização de classes .NET arbitrárias, o que pode ser abusado para obter execução remota de código.
Ao usar o Apache JServ Protocol (AJP), é necessário ter cuidado ao confiar em conexões recebidas no Apache Tomcat. O Tomcat trata conexões AJP como tendo maior confiança do que, por exemplo, uma conexão HTTP similar. Se tais conexões estiverem disponíveis para um invasor, elas podem ser exploradas de maneiras que podem ser surpreendentes. No Apache Tomcat 9.0.0.M1 a 9.0.0.30, 8.5.0 a 8.5.50 e 7.0.0 a 7.0.99, o Tomcat foi distribuído com um Conector AJP habilitado por padrão que escutava em todos os endereços IP configurados. Era esperado (e recomendado no guia de segurança) que esse Conector fosse desabilitado se não fosse necessário. Este relatório de vulnerabilidade identificou um mecanismo que permitia: - retornar arquivos arbitrários de qualquer lugar na aplicação web - processar qualquer arquivo na aplicação web como um JSP Além disso, se a aplicação web permitisse upload de arquivos e armazenasse esses arquivos dentro da aplicação web (ou o invasor conseguisse controlar o conteúdo da aplicação web por outros meios), então isso, junto com a capacidade de processar um arquivo como JSP, tornava possível a execução remota de código. É importante notar que a mitigação só é necessária se uma porta AJP estiver acessível a usuários não confiáveis. Usuários que desejam adotar uma abordagem de defesa em profundidade e bloquear o vetor que permite retornar arquivos arbitrários e executar como JSP podem atualizar para Apache Tomcat 9.0.31, 8.5.51 ou 7.0.100 ou posterior. Várias alterações foram feitas na configuração padrão do Conector AJP na versão 9.0.31 para fortalecer a configuração padrão. É provável que usuários que atualizem para 9.0.31, 8.5.51 ou 7.0.100 ou posterior precisem fazer pequenas alterações em suas configurações.
Vulnerabilidade no componente Oracle WebLogic Server do Oracle Fusion Middleware (subcomponente: Web Services). As versões suportadas afetadas são 10.3.6.0.0 e 12.1.3.0.0. Vulnerabilidade facilmente explorável permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Oracle WebLogic Server. Ataques bem-sucedidos desta vulnerabilidade podem resultar na tomada de controle do Oracle WebLogic Server. Pontuação Base CVSS 3.0 9.8 (Impactos na Confidencialidade, Integridade e Disponibilidade). Vetor CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Execução remota de código é possível com Apache Tomcat anterior a 6.0.48, 7.x anterior a 7.0.73, 8.x anterior a 8.0.39, 8.5.x anterior a 8.5.7 e 9.x anterior a 9.0.0.M12 se JmxRemoteLifecycleListener for usado e um atacante puder alcançar as portas JMX. O problema existe porque este listener não foi atualizado para consistência com o patch CVE-2016-3427 da Oracle que afetou tipos de credenciais.
A desserialização de dados não confiáveis no Microsoft Entra ID permite que um atacante não autorizado execute código pela rede.
Vulnerabilidade no Oracle HTTP Server e no Oracle Weblogic Server Proxy Plug-in, produtos do Oracle Fusion Middleware (componente: Weblogic Server Proxy Plug-in para Apache HTTP Server, Weblogic Server Proxy Plug-in para IIS). As versões suportadas afetadas são 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0. Uma vulnerabilidade facilmente explorável permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Oracle HTTP Server e o Oracle Weblogic Server Proxy Plug-in. Embora a vulnerabilidade esteja no Oracle HTTP Server e no Oracle Weblogic Server Proxy Plug-in, os ataques podem impactar significativamente produtos adicionais (mudança de escopo). Ataques bem-sucedidos desta vulnerabilidade podem resultar em acesso não autorizado para criação, exclusão ou modificação de dados críticos ou de todos os dados acessíveis do Oracle HTTP Server e do Oracle Weblogic Server Proxy Plug-in, bem como acesso não autorizado a dados críticos ou acesso completo a todos os dados acessíveis do Oracle HTTP Server e do Oracle Weblogic Server Proxy Plug-in. Nota: A versão afetada do Weblogic Server Proxy Plug-in para IIS é apenas a 12.2.1.4.0. Pontuação Base CVSS 3.1: 10.0 (impactos na Confidencialidade e na Integridade). Vetor CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).
Um atacante remoto não autorizado com acesso à rede através da porta 4307/TCP aos servidores TrueConf versões 5.3.X a 5.3.9, 5.4.X a 5.4.9, 5.5.X a 5.5.5, e anteriores, poderia usar um script especialmente elaborado para escapar do ambiente isolado e executar código arbitrário no sistema host.
Um atacante remoto não autorizado com acesso à rede através da porta 4307/TCP ao servidor TrueConf versões 5.3.X a 5.3.9, 5.4.X a 5.4.9, 5.5.X a 5.5.5 e anteriores poderia executar um script arbitrário ao chamar uma função não documentada.
MLflow é uma plataforma de engenharia de IA open source para agentes, grandes modelos de linguagem e modelos de machine learning. Antes da versão 3.15.0, o endpoint não autenticado POST /api/2.0/mlflow/webhooks/{id}/test chama _validate_webhook_url() em mlflow/utils/validation.py somente para a URL original, enquanto mlflow/webhooks/delivery.py segue redirecionamentos e re-resolve o hostname sem fixar o endereço validado, permitindo que atacantes alcancem serviços internos ou de metadados em nuvem e recebam response_status e response_body. Este problema foi corrigido na versão 3.15.0.
Vulnerabilidade de Execução Remota de Código no Microsoft Exchange Server
Uma mensagem inesperada no framework IPC do WebGPU pode levar a um use-after-free e a uma fuga de sandbox explorável. Recebemos relatos de ataques na natureza abusando dessa falha. Esta vulnerabilidade afeta Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Thunderbird < 91.6.2 e Focus < 97.3.0.
Um problema de autenticação foi resolvido com melhor gerenciamento de estado. Este problema foi corrigido no macOS Sequoia 15.7.9, macOS Sonoma 14.8.9, macOS Tahoe 26.6.1. Um atacante na rede pode conseguir autenticar no Screen Sharing sem credenciais válidas.
O VMware vCenter contém uma vulnerabilidade de travessia de diretório no servidor Syslog. Um ator malicioso com acesso à rede ao vCenter pode explorar esse problema para executar código arbitrário.
Autenticação fraca no Microsoft Office SharePoint permite que um invasor não autorizado contorne um recurso de segurança pela rede.
Double free no Windows IKE Extension permite que um atacante não autorizado execute código pela rede.
Ray é um mecanismo de computação de IA. Antes da versão 2.52.0, desenvolvedores que trabalham com Ray como ferramenta de desenvolvimento podem ser explorados por meio de uma vulnerabilidade crítica de RCE explorável via Firefox e Safari. Essa vulnerabilidade se deve a uma proteção insuficiente contra ataques baseados em navegador, pois a defesa atual usa o cabeçalho User-Agent começando com a string "Mozilla" como mecanismo de defesa. Essa defesa é insuficiente, pois a especificação fetch permite que o cabeçalho User-Agent seja modificado. Combinada com um ataque de DNS rebinding contra o navegador, essa vulnerabilidade é explorável contra um desenvolvedor que executa Ray e visita inadvertidamente um site malicioso, ou recebe um anúncio malicioso (malvertising). Esse problema foi corrigido na versão 2.52.0.
IBM Langflow OSS 1.0.0 até 1.10.0 permite que atacantes não autenticados encadeiem /api/v1/auto_login (emite tokens de SUPERUSUÁRIO para qualquer chamador de rede) com /api/v1/validate/code (executa código do usuário via exec()) para obter RCE completo em implantações padrão do Langflow.
Uma vulnerabilidade de injeção de SQL no WebAdmin do Cyberoam OS até 04/12/2020 permite que atacantes não autenticados executem instruções SQL arbitrárias remotamente.
Kaseya VSA anterior à versão 9.5.7 permite a divulgação de credenciais, explorada ativamente em julho de 2021. Por padrão, o Kaseya VSA on premise oferece uma página de download onde os clientes para instalação podem ser baixados. A URL padrão para esta página é https://x.x.x.x/dl.asp. Quando um invasor baixa um cliente para Windows e o instala, o arquivo KaseyaD.ini é gerado (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini), contendo um Agent_Guid e AgentPassword. Esses Agent_Guid e AgentPassword podem ser usados para fazer login em dl.asp (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9). Esta solicitação autentica o cliente e retorna um cookie sessionId que pode ser usado em ataques subsequentes para contornar a autenticação. Problemas de segurança descobertos --- * Página de download não autenticada vaza credenciais * Credenciais do software agente podem ser usadas para obter um sessionId (cookie) que pode ser utilizado para serviços não destinados ao uso por agentes * dl.asp aceita credenciais via solicitação GET * O acesso ao KaseyaD.ini fornece ao invasor informações suficientes para penetrar na instalação do Kaseya e seus clientes. Impacto --- Através da página /dl.asp, informações suficientes podem ser obtidas para fornecer a um invasor um sessionId que pode ser usado para executar ataques adicionais (semiautenticados) contra o sistema.
Progress Telerik UI for ASP.NET AJAX anterior ao R2 2017 SP2 não restringe adequadamente a entrada do usuário no RadAsyncUpload, o que permite que atacantes remotos realizem uploads arbitrários de arquivos ou executem código arbitrário.
Adobe Flash Player 21.0.0.197 e anteriores permite que atacantes remotos causem negação de serviço (falha no aplicativo) ou possivelmente executem código arbitrário por meio de vetores não especificados, conforme explorado ativamente em abril de 2016.
Vulnerabilidade não especificada no componente Java Runtime Environment (JRE) do Oracle Java SE 7 Update 2 e anteriores, 6 Update 30 e anteriores, e 5.0 Update 33 e anteriores permite que atacantes remotos afetem a confidencialidade, integridade e disponibilidade por meio de vetores desconhecidos relacionados a Concurrency. NOTA: as informações anteriores foram obtidas do CPU da Oracle de fevereiro de 2012. A Oracle não comentou alegações de um fornecedor downstream e pesquisadores terceiros de que esse problema ocorre porque a implementação da classe AtomicReferenceArray não garante que o array seja do tipo Object[], permitindo que atacantes causem negação de serviço (falha na JVM) ou burlem restrições do sandbox Java. NOTA: este problema foi originalmente mapeado para CVE-2011-3571, mas esse identificador já estava atribuído a um problema diferente.
Múltiplas vulnerabilidades de travessia de diretório no console de administração do Adobe ColdFusion 9.0.1 e anteriores permitem que atacantes remotos leiam arquivos arbitrários por meio do parâmetro locale para (1) CFIDE/administrator/settings/mappings.cfm, (2) logging/settings.cfm, (3) datasources/index.cfm, (4) j2eepackaging/editarchive.cfm e (5) enter.cfm em CFIDE/administrator/.
Existe uma vulnerabilidade de execução remota de código em vários subsistemas do Drupal 7.x e 8.x. Isso potencialmente permite que atacantes explorem múltiplos vetores de ataque em um site Drupal, o que pode resultar no comprometimento do site. Esta vulnerabilidade está relacionada ao Drupal core - Altamente crítica - Execução Remota de Código - SA-CORE-2018-002. Tanto a SA-CORE-2018-002 quanto esta vulnerabilidade estão sendo exploradas ativamente.
Kaseya VSA RMM anterior a R9.3 9.3.0.35, R9.4 anterior a 9.4.0.36 e R9.5 anterior a 9.5.0.5 permite que atacantes remotos não privilegiados executem payloads do PowerShell em todos os dispositivos gerenciados. Em janeiro de 2018, atacantes exploraram ativamente essa vulnerabilidade na natureza.
Se explorada, essa vulnerabilidade de injeção de comandos pode permitir que atacantes remotos executem comandos arbitrários. A QNAP já corrigiu o problema nas seguintes versões do QTS. QTS 4.4.2.1231 na compilação 20200302; QTS 4.4.1.1201 na compilação 20200130; QTS 4.3.6.1218 na compilação 20200214; QTS 4.3.4.1190 na compilação 20200107; QTS 4.3.3.1161 na compilação 20200109; QTS 4.2.6 na compilação 20200109.
O driver de baixo nível GDrv no GIGABYTE APP Center v1.05.21 e anteriores, AORUS GRAPHICS ENGINE anteriores a 1.57, XTREME GAMING ENGINE anteriores a 1.26 e OC GURU II v2.08 expõe funcionalidade para ler e escrever Registros Específicos da Máquina (MSRs).
O script '/common/download_agent_installer.php' no Quest KACE System Management Appliance 8.0.318 é acessível por usuários anônimos e pode ser abusado para executar comandos arbitrários no sistema.
A integração ConnectWise ManagedITSync até 2017 para Kaseya VSA é vulnerável a comandos remotos não autenticados que permitem acesso direto total ao banco de dados do Kaseya VSA. Em fevereiro de 2019, atacantes exploraram ativamente essa vulnerabilidade para baixar e executar cargas de ransomware em todos os endpoints gerenciados pelo servidor VSA. Se a página ManagedIT.asmx estiver disponível através da interface web do Kaseya VSA, qualquer pessoa com acesso à página pode executar consultas SQL arbitrárias, tanto de leitura quanto de escrita, sem autenticação.
No Jboss Application Server, conforme distribuído com o Red Hat Enterprise Application Platform 5.2, foi descoberto que o método doFilter no ReadOnlyAccessFilter do HTTP Invoker não restringe as classes para as quais realiza desserialização, permitindo assim que um atacante execute código arbitrário por meio de dados serializados manipulados.
O Metabase permite que um atacante remoto não autenticado injete SQL arbitrário através do endpoint de banco de dados '/reset_password' e obtenha acesso de administrador à instância Metabase conectada.
Pulse Connect Secure 9.0R3/9.1R1 e superiores são vulneráveis a uma falha de bypass de autenticação exposta pelos recursos Windows File Share Browser e Pulse Secure Collaboration do Pulse Connect Secure, que pode permitir que um usuário não autenticado execute código arbitrário remotamente no gateway Pulse Connect Secure. Esta vulnerabilidade foi explorada ativamente.
O vSphere Client (HTML5) contém uma vulnerabilidade de execução remota de código devido à falta de validação de entrada no plug-in Virtual SAN Health Check, que é habilitado por padrão no vCenter Server. Um ator malicioso com acesso à rede na porta 443 pode explorar esse problema para executar comandos com privilégios irrestritos no sistema operacional subjacente que hospeda o vCenter Server.
O vSphere Client (HTML5) contém uma vulnerabilidade de execução remota de código em um plugin do vCenter Server. Um agente malicioso com acesso à rede na porta 443 pode explorar esse problema para executar comandos com privilégios irrestritos no sistema operacional subjacente que hospeda o vCenter Server. Isso afeta o VMware vCenter Server (7.x antes de 7.0 U1c, 6.7 antes de 6.7 U3l e 6.5 antes de 6.5 U3n) e o VMware Cloud Foundation (4.x antes de 4.2 e 3.x antes de 3.10.1.2).
Uma vulnerabilidade no SonicWall Email Security versão 10.0.9.x permite que um invasor crie uma conta administrativa enviando uma solicitação HTTP maliciosa para o host remoto.
Vulnerabilidade de injeção SQL no produto SonicWall SSLVPN SMA100 permite que um atacante remoto não autenticado execute consulta SQL para acessar nome de usuário, senha e outras informações relacionadas à sessão. Esta vulnerabilidade afeta a versão de build 10.x do SMA100.
OpenSLP conforme utilizado no VMware ESXi (7.0 anterior ao ESXi_7.0.1-0.0.16850804, 6.7 anterior ao ESXi670-202010401-SG, 6.5 anterior ao ESXi650-202010401-SG) apresenta um problema de use-after-free. Um agente malicioso na rede de gerenciamento com acesso à porta 427 em uma máquina ESXi pode ser capaz de acionar um use-after-free no serviço OpenSLP, resultando em execução remota de código.
Uma vulnerabilidade de autenticação inadequada no SSL VPN no FortiOS 6.4.0, 6.2.0 a 6.2.3, 6.0.9 e anteriores pode resultar em um usuário conseguir fazer login com sucesso sem ser solicitado o segundo fator de autenticação (FortiToken) se ele alterar a capitalização do nome de usuário.
Existe uma vulnerabilidade de execução remota de código na forma como o protocolo Microsoft Server Message Block 3.1.1 (SMBv3) lida com certas requisições, também conhecida como 'Vulnerabilidade de Execução Remota de Código no Cliente/Servidor Windows SMBv3'.
Uma vulnerabilidade foi descoberta no Citrix Application Delivery Controller (ADC) e Gateway 10.5, 11.1, 12.0, 12.1 e 13.0. Eles permitem Directory Traversal.
Citrix Workspace App anterior à versão 1904 para Windows possui Controle de Acesso Incorreto.
Uma vulnerabilidade no recurso de VPN de acesso remoto do software Cisco Adaptive Security Appliance (ASA) e do software Cisco Firepower Threat Defense (FTD) pode permitir que um atacante remoto não autenticado realize um ataque de força bruta na tentativa de identificar combinações válidas de nome de usuário e senha, ou que um atacante remoto autenticado estabeleça uma sessão VPN SSL sem cliente com um usuário não autorizado. Esta vulnerabilidade é devida à separação inadequada de autenticação, autorização e contabilidade (AAA) entre o recurso de VPN de acesso remoto e os recursos de gerenciamento HTTPS e VPN site a site. Um atacante poderia explorar esta vulnerabilidade especificando um perfil de conexão/grupo de túnel padrão durante um ataque de força bruta ou ao estabelecer uma sessão VPN SSL sem cliente usando credenciais válidas. Uma exploração bem-sucedida poderia permitir que o atacante alcançasse um ou ambos os seguintes resultados: Identificar credenciais válidas que poderiam então ser usadas para estabelecer uma sessão de VPN de acesso remoto não autorizada. Estabelecer uma sessão VPN SSL sem cliente (apenas quando executando o Cisco ASA Software versão 9.16 ou anterior). Notas: Estabelecer um túnel VPN de acesso remoto baseado em cliente não é possível, pois esses perfis de conexão/grupos de túnel padrão não possuem e não podem ter um pool de endereços IP configurado. Esta vulnerabilidade não permite que um atacante ignore a autenticação. Para estabelecer com sucesso uma sessão de VPN de acesso remoto, são necessárias credenciais válidas, incluindo um segundo fator válido se a autenticação multifator (MFA) estiver configurada. A Cisco lançará atualizações de software que corrigem esta vulnerabilidade. Existem soluções alternativas que abordam esta vulnerabilidade.
Uma vulnerabilidade no servidor web VPN do software Cisco Secure Firewall Adaptive Security Appliance (ASA) e do software Cisco Secure Firewall Threat Defense (FTD) pode permitir que um atacante remoto autenticado execute código arbitrário em um dispositivo afetado. Esta vulnerabilidade deve-se à validação inadequada da entrada fornecida pelo usuário em solicitações HTTP(S). Um atacante com credenciais válidas de usuário VPN poderia explorar esta vulnerabilidade enviando solicitações HTTP manipuladas para um dispositivo afetado. Uma exploração bem-sucedida poderia permitir que o atacante executasse código arbitrário como root, possivelmente resultando no comprometimento total do dispositivo afetado.
Apache Log4j2 2.0-beta9 até 2.15.0 (excluindo as versões de segurança 2.12.2, 2.12.3 e 2.3.1) Os recursos JNDI usados em configuração, mensagens de log e parâmetros não protegem contra endpoints LDAP controlados por atacantes e outros endpoints relacionados a JNDI. Um atacante que possa controlar mensagens de log ou parâmetros de mensagens de log pode executar código arbitrário carregado de servidores LDAP quando a substituição de pesquisa de mensagens está habilitada. A partir do log4j 2.15.0, esse comportamento foi desabilitado por padrão. A partir da versão 2.16.0 (junto com 2.12.2, 2.12.3 e 2.3.1), essa funcionalidade foi completamente removida. Observe que essa vulnerabilidade é específica do log4j-core e não afeta log4net, log4cxx ou outros projetos do Apache Logging Services.
O SAP NetWeaver Visual Composer Metadata Uploader é vulnerável quando um usuário privilegiado pode fazer upload de conteúdo não confiável ou malicioso que, ao ser desserializado, pode potencialmente comprometer a confidencialidade, integridade e disponibilidade do sistema host.
O Rejetto HTTP File Server, até e incluindo a versão 2.3m, é vulnerável a uma vulnerabilidade de injeção de template. Essa vulnerabilidade permite que um atacante remoto não autenticado execute comandos arbitrários no sistema afetado ao enviar uma requisição HTTP especialmente criada. Na data de atribuição do CVE, o Rejetto HFS 2.3m não é mais suportado.
Vulnerabilidade de Execução Remota de Código por Injeção de Comandos do SO na API em Produtos Progress ADC permite que um atacante não autenticado execute comandos arbitrários no appliance LoadMaster ao explorar entrada não sanitizada em múltiplos endpoints de comando
Vulnerabilidade de Execução Remota de Código no Open Management Infrastructure
Uma vulnerabilidade de Escrita Fora dos Limites no WatchGuard Fireware OS pode permitir que um atacante remoto não autenticado execute código arbitrário. Esta vulnerabilidade afeta tanto a VPN de Usuário Móvel com IKEv2 quanto a VPN de Filial usando IKEv2 quando configurada com um gateway peer dinâmico. Esta vulnerabilidade afeta o Fireware OS 11.10.2 até e incluindo 11.12.4_Update1, 12.0 até e incluindo 12.11.3 e 2025.1.
Uma vulnerabilidade de bypass de autenticação no processo de login do Check Point SmartConsole permite que um atacante remoto não autenticado obtenha um token de login do aplicativo e o utilize para autenticar com privilégios administrativos completos. A exploração bem-sucedida permite que o atacante modifique políticas de segurança e configurações de segurança. A exploração remota requer acesso à internet ao endereço IP do Management Server e uma configuração que não restrinja Trusted Clients. A Check Point está ciente de que esta vulnerabilidade está sendo explorada e afetou um número muito pequeno de clientes.
Vulnerabilidade de Elevação de Privilégio no Microsoft Exchange Server
Vulnerabilidade de Execução Remota de Código no Microsoft Exchange Server
Vulnerabilidade de Execução Remota de Código no Microsoft Outlook
Em JetBrains TeamCity antes de 2026.1.3 e 2025.11.7, era possível a execução remota de código não autenticada através do protocolo de polling do agente.
Uma bypass de autenticação usando um caminho ou canal alternativo [CWE-288] no Fortinet FortiOS versão 7.2.0 a 7.2.1 e 7.0.0 a 7.0.6, FortiProxy versão 7.2.0 e versão 7.0.0 a 7.0.6 e FortiSwitchManager versão 7.2.0 e 7.0.0 permite que um atacante não autenticado realize operações na interface administrativa por meio de solicitações HTTP ou HTTPS especialmente criadas.
O componente Service Appliance no Mitel MiVoice Connect até a versão 19.2 SP3 permite execução remota de código devido à validação incorreta de dados. Os Service Appliances são SA 100, SA 400 e Virtual SA.
Um caminho de URI de requisição manipulado pode fazer com que o mod_proxy encaminhe a requisição para um servidor de origem escolhido pelo usuário remoto. Este problema afeta o Apache HTTP Server 2.4.48 e anteriores.
Um problema foi descoberto no GitLab CE/EE afetando todas as versões a partir da 11.9. O GitLab não estava validando adequadamente arquivos de imagem que eram passados para um analisador de arquivos, resultando em uma execução remota de comandos.
Foi descoberto um problema no Webmin <=1.920. O parâmetro old em password_change.cgi contém uma vulnerabilidade de injeção de comando.
Múltiplas vulnerabilidades no componente Java Runtime Environment (JRE) do Oracle Java SE 7 Update 6 e versões anteriores permitem que atacantes remotos executem código arbitrário por meio de um applet malicioso que contorna as restrições do SecurityManager ao (1) usar com.sun.beans.finder.ClassFinder.findClass e explorar uma exceção com o método forName para acessar classes restritas de pacotes arbitrários, como sun.awt.SunToolkit, e então (2) usar "reflexão com um chamador imediato confiável" para explorar o método getField e acessar e modificar campos privados, conforme explorado ativamente em agosto de 2012 usando Gondzz.class e Gondvv.class.
Vulnerabilidade não especificada no componente Java Runtime Environment (JRE) do Oracle Java SE 7 update 4 e anteriores, 6 update 32 e anteriores, 5 update 35 e anteriores, e 1.4.2_37 e anteriores permite que atacantes remotos afetem a confidencialidade, integridade e disponibilidade por meio de vetores desconhecidos relacionados ao Hotspot.
No Cleo Harmony anterior à versão 5.8.0.24, VLTrader anterior à versão 5.8.0.24 e LexiCom anterior à versão 5.8.0.24, um usuário não autenticado pode importar e executar comandos arbitrários de Bash ou PowerShell no sistema host ao aproveitar as configurações padrão do diretório Autorun.
Uma vulnerabilidade de Bypass de Autenticação Usando um Caminho ou Canal Alternativo [CWE-288] que afeta o FortiOS versão 7.0.0 a 7.0.16 e o FortiProxy versão 7.0.0 a 7.0.19 e 7.2.0 a 7.2.12 permite que um atacante remoto obtenha privilégios de super-admin por meio de requisições maliciosas ao módulo websocket do Node.js.
getresetstatus em dns/views.py e ftp/views.py no CyberPanel (também conhecido como Cyber Panel) anterior a 1c0c6cb permite que atacantes remotos contornem a autenticação e executem comandos arbitrários via /dns/getresetstatus ou /ftp/getresetstatus ao ignorar o secMiddleware (que é apenas para requisições POST) e usar metacaracteres de shell na propriedade statusfile, conforme explorado ativamente em outubro de 2024 pelo PSAUX. As versões até 2.3.6 e (não corrigida) 2.3.7 são afetadas.
Uma vulnerabilidade de travessia de diretório na interface de gerenciamento web das versões de firmware V5.00 a V5.38 da série Zyxel ATP, versões de firmware V5.00 a V5.38 da série USG FLEX, versões de firmware V5.10 a V5.38 da série USG FLEX 50(W) e versões de firmware V5.10 a V5.38 da série USG20(W)-VPN pode permitir que um invasor faça download ou upload de arquivos por meio de uma URL manipulada.
Uma vulnerabilidade de Tunelamento de Requisição HTTP encontrada no Qlik Sense Enterprise para Windows nas versões May 2023 Patch 3 e anteriores, February 2023 Patch 7 e anteriores, November 2022 Patch 10 e anteriores, e August 2022 Patch 12 e anteriores permite que um atacante remoto eleve seu privilégio tunelando requisições HTTP na requisição HTTP bruta. Isso permite que eles enviem requisições que são executadas pelo servidor backend que hospeda o aplicativo de repositório. Isso é corrigido no August 2023 IR, May 2023 Patch 4, February 2023 Patch 8, November 2022 Patch 11 e August 2022 Patch 13.
Execução remota de código não autenticada
Uma vulnerabilidade de bypass de autenticação no Ivanti EPMM permite que usuários não autorizados acessem funcionalidades ou recursos restritos da aplicação sem a devida autenticação.
Array Networks Array AG Series e vxAG (9.4.0.481 e anteriores) permitem execução remota de código. Um atacante pode navegar pelo sistema de arquivos no gateway SSL VPN usando um atributo flags em um cabeçalho HTTP sem autenticação. O produto pode então ser explorado através de uma URL vulnerável. O aviso do fornecedor de 09/03/2023 afirmou que "uma nova versão do Array AG com a correção estará disponível em breve."
Uma fraqueza no fluxo lógico na validação de certificados de Acesso Remoto e Acesso Móvel na troca de chaves IKEv1 obsoleta permite que um atacante remoto não autenticado contorne a autenticação do usuário e estabeleça uma conexão VPN de acesso remoto sem uma senha de usuário válida.
Versões do SmarterTools SmarterMail anteriores ao build 9511 contêm uma vulnerabilidade de execução remota de código não autenticada no método da API ConnectToHub. O atacante pode direcionar o SmarterMail para um servidor HTTP malicioso, que fornece um comando malicioso do sistema operacional. Esse comando será executado pela aplicação vulnerável.
Versões do SmarterTools SmarterMail anteriores ao build 9511 contêm uma vulnerabilidade de bypass de autenticação na API de redefinição de senha. O endpoint force-reset-password permite requisições anônimas e não verifica a senha existente ou um token de redefinição ao redefinir contas de administrador do sistema. Um atacante não autenticado pode fornecer um nome de usuário administrador alvo e uma nova senha para redefinir a conta, resultando em comprometimento administrativo total da instância do SmarterMail. NOTA: Os privilégios de administrador do sistema do SmarterMail concedem a capacidade de executar comandos do sistema operacional por meio da funcionalidade de gerenciamento integrada, efetivamente fornecendo acesso administrativo (SYSTEM ou root) no host subjacente.
Vulnerabilidade no produto Oracle Concurrent Processing do Oracle E-Business Suite (componente: BI Publisher Integration). As versões suportadas afetadas são 12.2.3-12.2.14. Vulnerabilidade facilmente explorável permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Oracle Concurrent Processing. Ataques bem-sucedidos desta vulnerabilidade podem resultar na tomada de controle do Oracle Concurrent Processing. Pontuação Base CVSS 3.1 9.8 (Impactos na Confidencialidade, Integridade e Disponibilidade). Vetor CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Validação de entrada insuficiente levando a leitura excessiva de memória quando o NetScaler está configurado como Gateway (servidor virtual VPN, Proxy ICA, CVPN, Proxy RDP) ou servidor virtual AAA
Existe uma vulnerabilidade de execução remota de código sem autenticação nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0 do React Server Components, incluindo os seguintes pacotes: react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. O código vulnerável desserializa de forma insegura cargas úteis de requisições HTTP para endpoints de Server Function.
A desserialização de dados não confiáveis no Microsoft SharePoint Server local permite que um invasor não autorizado execute código por meio de uma rede. A Microsoft está ciente de que existe um exploit para CVE-2025-53770 em circulação. A Microsoft está preparando e testando completamente uma atualização abrangente para resolver essa vulnerabilidade. Enquanto isso, certifique-se de que a mitigação fornecida na documentação desta CVE esteja em vigor para que você esteja protegido contra exploração.
O SAP NetWeaver Visual Composer Metadata Uploader não está protegido com uma autorização adequada, permitindo que um agente não autenticado faça upload de binários executáveis potencialmente maliciosos que podem prejudicar gravemente o sistema host. Isso pode afetar significativamente a confidencialidade, integridade e disponibilidade do sistema alvo.
Vulnerabilidade de desserialização de dados não confiáveis antes da autenticação foi identificada no SMA1000 Appliance Management Console (AMC) e Central Management Console (CMC), que em condições específicas poderia potencialmente permitir que um atacante remoto não autenticado execute comandos arbitrários do sistema operacional.