Para quem: quem administra servidores, appliances VPN, dados de membros ou serviços externos, e quem quer saber se um serviço que usa sofreu um vazamento. Este artigo resume o que este site publicou em outubro e as informações públicas da CISA. Ele não trata de procedimentos de ataque.
Outubro em números
O 115 é uma contagem de artigos deste site
Conta apenas os artigos de primeiro relato que este site publicou em outubro (os publicados em 1 de novembro não estão incluídos): 65 incidentes no Japão, 28 incidentes no exterior, 4 incidentes globais e 18 vulnerabilidades. Os incidentes que não cobrimos não estão incluídos, e não é uma estatística elaborada por nenhum governo ou órgão. Não pode ser usado para dizer que os incidentes aumentaram em relação ao mês anterior.
Vulnerabilidades exploradas: o que havia nas 36
O KEV é a lista da CISA das vulnerabilidades que ela avaliou como exploradas. De 1 a 31 de outubro houve 36 adições, levando o catálogo a 1.766 entradas. Por tipo de produto:
Produtos de borda e de acesso remoto: 11
Plex, PHP, Ahsay, Zammad: 10
Outros (Windows, kernel do Linux, GitLab e mais): 10
Falhas antigas publicadas entre 2015 e 2023: 5
Os itens com artigo neste site têm link. Os que não têm estão listados como o KEV os registra.
| Grupo | Produto e CVE | Adicionado | Artigo deste site |
|---|---|---|---|
| Dispositivo de borda | Ivanti Connect Secure CVE-2026-104935 | 13 out | Resumo de dispositivos de borda |
| Dispositivo de borda | Ivanti Connect Secure CVE-2026-111357, CVE-2026-118527 | 30 out | Ivanti Connect Secure: acompanhamento |
| Dispositivo de borda | Palo Alto Networks PAN-OS CVE-2026-0322 | 14 out | Resumo de dispositivos de borda |
| Dispositivo de borda | Fortinet CVE-2025-61624 (FortiOS e outros) | 16 out | Resumo de dispositivos de borda |
| Dispositivo de borda | Fortinet FortiMail CVE-2026-104286 | 1 out | Nenhum |
| Dispositivo de borda | Cisco Secure Email Gateway CVE-2026-76519 | 14 out | Resumo de dispositivos de borda |
| Dispositivo de borda | Cisco Secure Firewall ASA CVE-2026-76418 | 29 out | VPN do Cisco ASA e FTD |
| Dispositivo de borda | Citrix NetScaler CVE-2026-88779 | 4 out | CVE-2026-88779 |
| Dispositivo de borda | Arista VeloCloud Orchestrator CVE-2026-114625 | 23 out | VeloCloud Orchestrator |
| Dispositivo de borda | BeyondTrust Remote Support CVE-2026-102764 | 16 out | Nenhum |
| Falhas antigas | ISC BIND CVE-2015-5477, ProFTPD CVE-2015-3306, Apache Struts CVE-2016-3081, ONLYOFFICE Docs CVE-2021-3199, Strapi CVE-2023-22894 | 8 out (as cinco) | Nenhum |
| Grupo do mesmo produto | Plex Media Server CVE-2026-96652, 96654, 96655, 96656 | 20 out | Plex Media Server |
| Grupo do mesmo produto | PHP CVE-2026-109618, CVE-2026-109619 | 26 out | Versão de segurança crítica do PHP |
| Grupo do mesmo produto | Zammad CVE-2026-102489, CVE-2026-102490 | 2 out | Intrusão do DIVD e Zammad |
| Grupo do mesmo produto | Ahsay AhsayCBS CVE-2026-105133, CVE-2026-105134 | 14 out | Nenhum |
| Outros | SiteGuard Server Edition (de origem japonesa) CVE-2026-106931 | 20 out | SiteGuard Server Edition |
| Outros | Kernel do Linux CVE-2026-46300 | 28 out | Kernel do Linux CVE-2026-46300 |
| Outros | VMware ESX CVE-2026-41709 | 28 out | Falha de registro do VMware ESX |
| Outros | GitLab CVE-2026-97229 | 29 out | Correção crítica do GitLab |
| Outros | Adobe Commerce CVE-2026-48356 | 27 out | Adobe Commerce |
| Outros | Google Brotli CVE-2026-111497 | 27 out | Brotli |
| Outros | Collabora Online CVE-2026-110447 | 23 out | Collabora CODE |
| Outros | Microsoft Windows CVE-2026-96951, Atlassian CVE-2026-21589, Siemens Software Center CVE-2026-110936 | 13, 15, 20 out | Somente Atlassian: resumo de dispositivos de borda |
Os grupos «Dispositivo de borda», «Grupo do mesmo produto» e «Outros» são próprios deste site, não do KEV.
Nossa leitura: o que se destaca no KEV de outubro não é um novo tipo de fraqueza, mas os dispositivos de borda e os produtos antigos que costumam deixar de receber atualizações. As cinco adicionadas em 8 de outubro foram publicadas entre 3 e 11 anos atrás. Mesmo que você não use esses produtos, é um sinal para verificar se há algum ambiente antigo ainda em funcionamento. Para saber como ordenar as correções, veja Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV).
Os maiores vazamentos no Japão
A tabela traz os números oficiais como constam nos artigos deste site. Um registro é uma entrada; pessoas significa uma contagem aproximada sem duplicatas. «Possível» significa que o anúncio não disse que o vazamento estava confirmado. Como as unidades e a certeza diferem, não é um ranking. As datas são as dos anúncios. Alguns casos anunciados em outubro (Club Tourism, Tin Pan Alley, Northflank, Chainalysis, Linux CVE-2026-98432) foram publicados neste site em 1 de novembro.
| Organização e serviço | Anunciado | Número (unidade usada) | Certeza (conforme anunciado) | Artigo deste site |
|---|---|---|---|---|
| E-Store (ShopServe) | 16 out (relatório final) | Cerca de 23,356 milhões de pessoas | Vazado (compradores, operadores de lojas e afiliados combinados, sem duplicatas, aproximado) | ShopServe |
| Ryohin Keikaku (app da MUJI) | 30 out | Até cerca de 27,26 milhões de registros | Possivelmente vazado (inclui quem saiu do serviço) | App da MUJI |
| Club Tourism | 31 out (primeiro aviso) | Cerca de 4,32 milhões de registros | Possivelmente vazado | Club Tourism |
| Hana Cupid | 28 out | Até 4.238.242 registros | Vazado (a contagem é de «clientes que podem ter sido afetados») | Hana Cupid |
| Matsuya Foods Holdings (app da Matsuya) | 30 out | 2.377.127 registros ou mais (membros do app: 2.000, possivelmente até 3.000) | Vazado | Matsuya |
| Sony Network Communications (So-net) | 27 out | 2.141.986 registros de membros do So-net; 443.495 registros de membros do plala (curso S) | Vazamento confirmado | So-net |
| H2O Retailing (H2O ID) | 19 out | Cerca de 1,26 milhão de registros | Vazado (parte dos dados de quase todos os membros do H2O ID) | H2O ID |
| World (subsidiária Tin Pan Alley) | 30 out | Cerca de 1,2 milhão de registros no total | Possivelmente vazado | Tin Pan Alley |
Os itens vazados diferem conforme o caso. Por exemplo, o anúncio do app da MUJI lista endereço de e-mail, data de nascimento e gênero, e diz que nomes e endereços não estão incluídos. A Hana Cupid lista ID de usuário, senha criptografada e endereço de e-mail. Confira os seus próprios itens em cada artigo.
Um número de registros não é um número de pessoas, e constar na contagem não é o mesmo que ser afetado
Um registro não é uma pessoa, e vários casos incluem pessoas que já tinham saído do serviço. Se você foi afetado, isso é confirmado pelos avisos individuais que as empresas dizem que enviarão e pelo aviso no site oficial.
Cinco temas de outubro
(a) Vazamentos por meio de provedores de serviços e SaaS
Mesmo que a sua própria empresa não tenha feito nada de errado, uma lista confiada a um provedor pode vazar. Em outubro, houve incidentes em um serviço de envio de e-mail, um serviço de e-mails de alerta de desastres, um prestador de reservas de companhias aéreas e uma plataforma de gestão de TI.
- Blastmail: vazamento confirmado de nomes de empresas e de contatos de todos os contratos, e de listas de destinatários de 345 contratos
- SpeeCAN RAIDEN: serviço usado para e-mails municipais de desastres; até cerca de 3,136 milhões de endereços de e-mail (estimativa) podem ter vazado
- Prestador de reservas da JAL e da ANA: segundo os anúncios, dados de reserva de cerca de 92.000 pessoas (JAL e JTA) e de cerca de 37.800 pessoas (ANA) foram acessados por meio de um prestador
- ConnectWise Cloud Backup: o acesso não autorizado às credenciais do aplicativo levou à interrupção do serviço; um provedor de nuvem relatou tentativas de login contra mais de 2.250 tenants
(b) Bancos de dados de membros e de aplicativos
Os vazamentos de bancos de dados de membros e de sistemas de gestão de aplicativos de marcas de varejo, restaurantes e telecomunicações continuaram durante a segunda metade de outubro. Além da tabela acima, este site cobriu vários outros casos durante o mês.
- App da MUJI (até cerca de 27,26 milhões de registros, possível)
- Sistema de gestão do app da Matsuya (2.377.127 registros ou mais)
- Hana Cupid (até 4.238.242 registros)
- H2O ID (cerca de 1,26 milhão de registros)
(c) Roubos de criptomoedas
Do fim de setembro ao fim de outubro, houve incidentes ao mesmo tempo em corretoras e serviços relacionados. Os valores são os anunciados pelas empresas, e a maioria das causas ainda estava sob investigação.
- Binance: em 29 de outubro estimou o impacto das retiradas não autorizadas em cerca de US$ 6,3 bilhões e disse que cobrirá a perda
- Bitget: disse que cerca de US$ 387,5 milhões foram levados após a exploração de um zero-day em um produto de segurança de terceiros (o incidente foi no fim de setembro; o artigo deste site foi publicado em outubro)
- Bithumb: segundo relatos, o acesso não autorizado a um groupware móvel interno expôs dados pessoais de 844 clientes
- Polymarket: disse que um provedor terceirizado foi comprometido (segundo relatos, por meio de um script), suspendeu as negociações e afirmou que compensará os usuários afetados
(d) Plataformas para desenvolvedores de IA e ataques assistidos por IA
Houve incidentes em plataformas que guardam chaves de API de IA, em ferramentas para desenvolvedores de IA e em IA hospedada. Também continuaram os relatos de ataques que usam capacidades de IA.
- Northflank: orientou os clientes a tratar todas as variáveis de ambiente armazenadas como descriptografadas; foi relatado uso indevido de chaves de API de IA
- OpenCode: foram afetadas as chaves de API de provedores de IA vinculadas de alguns usuários
- Zeabur: disse que foram lidas 3.218.965 variáveis de ambiente e informações de 321.810 contas
- Uma extensão do Cursor: uma extensão «Claude Code» adulterada foi distribuída no marketplace por cerca de 11 horas
- Chainalysis: disse ter sofrido acesso não autorizado com o que chama de «técnicas agênticas ofensivas»
- Cloudflare Workers AI: disse que dados de solicitações de outros clientes se misturaram às respostas em 155 casos
Separadamente, segundo relatos, a equipe de pesquisa de uma empresa de IA demonstrou em laboratório a execução remota de código com Linux kernel CVE-2026-98432. Isso se baseia no relatório da própria empresa, que a imprensa não verificou. Até onde conseguimos confirmar, nenhum ataque real foi visto e ela não consta no KEV. O panorama geral está em Ataques assistidos por IA e a ordem da defesa.
(e) Dispositivos de borda
Além dos 11 no KEV, o Ivanti Connect Secure foi adicionado duas vezes, em 13 e 30 de outubro, por falhas diferentes. Aplicar a correção não remove os vestígios de uma intrusão anterior à atualização.
- Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Ivanti Connect Secure CVE-2026-111357 e CVE-2026-118527
- VeloCloud Orchestrator CVE-2026-114625
- Como defender dispositivos VPN e acesso remoto
O que fazer em novembro
Atualize primeiro os dispositivos de borda que estão no KEV
Liste o produto e a versão de cada appliance VPN, firewall e gateway de e-mail, e passe para uma versão corrigida, em poucos dias, tudo o que estiver no KEV. Salve os logs antes de atualizar e limite à sua rede de gerenciamento as origens que podem alcançar a interface de administração.
Faça o inventário dos serviços externos que guardam suas listas de clientes
Liste os serviços que guardam e-mails e nomes de clientes: envio de e-mail, reservas, gestão de membros, backups. Verifique também se restam dados depois do fim de um contrato.
Troque as chaves armazenadas quando uma plataforma tiver um incidente
Quando uma plataforma de nuvem ou de desenvolvedores de IA relatar um incidente, troque as variáveis de ambiente, chaves de API e tokens guardados lá e confira os registros de uso em busca de algo que você não reconheça.
Prepare-se para o e-mail que se passa por uma empresa afetada
Depois que um vazamento é anunciado, os e-mails em nome dessa empresa tendem a aumentar. Não faça login nem insira nada pelos links deles; compare com o aviso no site oficial. Se você pode ter sido afetado, troque primeiro as senhas de qualquer serviço em que tenha reutilizado a mesma.
Para saber como reconhecer esses e-mails, veja O que é phishing?.
Fontes
- CISA, «Known Exploited Vulnerabilities Catalog» (feed JSON; este site contou as adições de 1 a 31 de outubro de 2026) — cisa.gov
- Artigos deste site: resumo de dispositivos de borda, ShopServe, app da MUJI, Club Tourism, Hana Cupid, Matsuya, So-net, H2O ID, Tin Pan Alley (cada um cita os anúncios oficiais)
- A contagem de primeiros relatos é a contagem deste site dos artigos de última hora em japonês que publicou em outubro de 2026
Leia a seguir
- Lista do ano todo: Linha do tempo de vazamentos de dados e ciberataques de 2026
- Defesa de dispositivos expostos: Como defender dispositivos VPN e acesso remoto
- Priorização de correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Ataques assistidos por IA: Ataques assistidos por IA e a ordem da defesa
- Verificação de comprometimento: Como verificar se o seu servidor foi comprometido