patch management
12 artigos com esta tag
SAP Security Patch Day de novembro de 2026: quatro falhas com CVSS 10.0. Corrija primeiro o Web Dispatcher e o ICM expostos à internet; como saber se você é afetado e o que fazer hoje
Em 10 de novembro de 2026, o Security Patch Day da SAP publicou 35 novas notas de segurança e 4 avisos de segurança no GitHub, e atualizou 3 notas anteriores. A lista da SAP marca 9 linhas como Critical. Quatro têm CVSS 10.0: corrupção de memória no Internet Communication Manager (ICM) do NetWeaver AS ABAP (CVE-2026-76964) e no SAP Web Dispatcher (CVE-2026-89126), controle de acesso quebrado no SAP Gateway (CVE-2026-89103) e falta de autenticação no provedor de serviço SAML2 do AS ABAP (CVE-2026-120017). Os registros CVE descrevem as quatro como sem autenticação, pela rede e sem interação do usuário (CVE-2026-120017 em certas configurações). Três têm CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) e exigem um login com poucos privilégios. A lista da SAP não menciona exploração, e nenhum dos CVEs da página está no catálogo KEV da CISA (versão de 10 de novembro, 19h UTC). Das avaliações da CISA associadas aos registros CVE, as quatro que pudemos ver dizem exploitation: none. O texto das SAP Notes exige login e este site não o leu. Conclusão deste site: corrija primeiro o Web Dispatcher e o ICM expostos à internet, confirme os níveis corrigidos nas SAP Notes e planeje a atualização incluindo a reinicialização.
Correção de emergência do OpenSSH 10.6p2 (CVE-2026-123158): incluído no KEV da CISA; no sshd com musl sem PAM, como o Alpine, é possível fazer login sem a senha
Em 5 de novembro de 2026 o OpenSSH lançou a versão 10.6p2 com uma solução alternativa crítica para um contorno da autenticação por senha no sshd em alguns sistemas Linux compilados e executados sem PAM, em especial os que usam musl libc, como o Alpine Linux. O CVE é CVE-2026-123158 (pontuação base CVSS 3.1 de 8,1, do registro CVE). Em 9 de novembro a CISA o incluiu no catálogo de vulnerabilidades exploradas conhecidas (KEV), com prazo em 12 de novembro para as agências federais dos EUA. Uma empresa privada de inteligência de ameaças relata que viu tentativas de ataque menos de nove horas após a publicação e um sucesso em um ambiente isca; nenhum dano a sistemas de produção foi relatado e não foi encontrada verificação independente. O Alpine Linux publicou um aviso em 5 de novembro com pacotes corrigidos para todos os branches. Segundo o Alpine, um host é afetado quando a autenticação por senha está ativa, uma conta tem um asterisco no campo de senha e outra conta tem um hash normal. Configurações com PAM ativado, com PasswordAuthentication no, ou contêineres que não executam sshd não são afetados. Conclusão deste site: se você executa o sshd no Alpine ou em outros sistemas baseados em musl, como OpenWrt ou Linux embarcado, atualize hoje para o pacote corrigido e reinicie o sshd, desative a autenticação por senha até lá e revise os logs de autenticação.
Jenkins 2.588 e LTS 2.580.2 corrigem 15 falhas (CVE-2026-117612 a 117626): confira sua versão e o que revisar após atualizar
Em 28 de outubro de 2026 o projeto Jenkins publicou um aviso de segurança corrigindo 15 vulnerabilidades no núcleo do Jenkins (CVE-2026-117612 a CVE-2026-117626) na versão semanal 2.588 e na LTS 2.580.2. Estão afetadas a semanal 2.587 e anteriores e a LTS 2.580.1 e anteriores. O aviso classifica 13 como altas e 2 como médias. A maioria exige alguma permissão, como Overall/Read ou Item/Configure (algumas configurações concedem Overall/Read a usuários anônimos). A exceção é a CVE-2026-117618, uma condição de corrida no assistente de configuração que permite a um usuário não autenticado criar uma conta de administrador durante a configuração inicial, o que aumenta a prioridade das instalações novas do Jenkins expostas à internet. As únicas medidas que o aviso lista são ajustes para desligar as novas verificações se a atualização causar problemas e a aplicação obrigatória da Política de Segurança de Conteúdo, que limita o impacto conhecido de três falhas XSS; a correção é atualizar. Este site não encontrou nenhum relato confiável de exploração em 3 de novembro, e nenhuma das 15 está no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA. A conclusão deste site: confirme a versão do seu Jenkins, atualize para a 2.588 (LTS 2.580.2), mantenha o Jenkins fora da internet e os usuários anônimos sem permissões, e revise usuários, administradores e agentes depois de atualizar.
Ataques de ransomware ao Synology DSM: versões desatualizadas atacadas por uma falha corrigida em dezembro de 2024, o que atualizar e verificar hoje (SA-24:20)
Em 29 de outubro de 2026, a Synology disse ter identificado agentes de ameaça explorando uma vulnerabilidade corrigida em dezembro de 2024 para atacar dispositivos com versões desatualizadas do DSM, com o objetivo de criptografar dados e exigir resgate. Insta fortemente todos os que usam versões vulneráveis a atualizar o DSM imediatamente e recomenda ativar as atualizações automáticas. Aponta para a Synology-SA-24:20, cujas versões corrigidas são 7.2.2-72806-1 ou superior para o DSM 7.2.2, 7.2.1-69057-6 para o 7.2.1, 7.2-64570-4 para o 7.2, 7.1.1-42962-7 para o 7.1 e 6.2.4-25556-8 para o 6.2. O aviso lista três CVEs e a Synology não diz qual deles está sendo explorado. Não divulgou o número de vítimas nem o nome de nenhum atacante. Conclusão deste site: verifique hoje a versão do seu DSM, atualize para a versão corrigida ou posterior e não exponha a interface de administração do DSM à internet. Mantenha um backup separado do NAS e que ele não consiga sobrescrever.
Falha do WordPress 7.1.4 CVE-2026-119977: corrigida uma condição de corrida na atualização do núcleo que pode levar à execução remota de código; verifique sua versão e as atualizações automáticas
Em 28 de outubro de 2026, o projeto WordPress lançou a versão de segurança 7.1.4, que corrige uma falha no processo de atualização do núcleo que pode levar à execução remota de código. Segundo o aviso de segurança do WordPress no GitHub, durante uma atualização do núcleo com pacote completo, o WordPress extraía os arquivos novos em um diretório previsível dentro da pasta de atualização acessível pela web, e um atacante sem autenticação que vença uma corrida contra essa extração poderia alcançar a execução remota de código (RCE). A correção está na 7.1.4 e foi portada para todos os ramos até o 4.7 (7.0.8, 6.9.11, 6.8.12 e assim por diante). A Wordfence, como CNA, publicou o CVE-2026-119977 em 31 de outubro, com nota CVSS v3.1 8,1 (alta) e complexidade de ataque alta; o aviso do WordPress a classifica como baixa e não informa nota. Segundo o SecurityWeek, um fornecedor de segurança para WordPress viu a primeira correspondência da sua nova regra de firewall nove minutos após implantá-la e registrou mais de 18.500 requisições direcionadas a locais temporários de atualização nas primeiras 21 horas; o fornecedor não relatou nenhum comprometimento bem-sucedido. A CISA incluiu o CVE em seu catálogo Known Exploited Vulnerabilities (KEV) em 3 de novembro (a entrada do KEV dá às agências federais dos EUA o prazo de 6 de novembro, e a CISA exige delas, além do patch, uma triagem forense conforme a BOD 26-04). Sites com atualizações automáticas em segundo plano devem se atualizar sozinhos; sites com elas desativadas devem atualizar manualmente pela tela Atualizações. A conclusão deste site: trate como explorado, atualize hoje e, se a sua atualização foi tardia, verifique sinais de comprometimento (conselho deste site).
Ransomware na Capcom (2020) — por que um dispositivo VPN antigo foi a porta de entrada, e a defesa contra a dupla extorsão
A porta de entrada foi um dispositivo VPN antigo de backup que continuou ligado numa subsidiária norte-americana depois de unidades novas o substituírem. A partir dele a rede foi invadida, os dados foram roubados e então o ransomware criptografou os sistemas (dupla extorsão). Dados de até ~390.000 pessoas foram potencialmente expostos (nenhum dado de cartão de pagamento). A Capcom se recusou a pagar, restaurou de backup e divulgou de forma transparente. Defenda-se desativando equipamentos sem uso, aplicando patches em dispositivos de borda e cobrindo tanto o roubo quanto a criptografia (segmentação, detecção, backups).
Segurança do WordPress — uma referência de hardening para produção
O WordPress tem a maior participação, então é o maior alvo, mas as vias de entrada são previsíveis (vulnerabilidades de plugins/temas, atualizações puladas, administradores fracos, painéis de administração expostos). Esta é uma referência de trabalho: (1) uma lista de verificação de hardening por ordem de prioridade (P0–P2), (2) orientação por área — atualizações automáticas, minimização de plugins/temas, administrador forte + 2FA, redução da exposição da administração (xmlrpc/enumeração via REST/edição de arquivos), wp-config e segredos, permissões de arquivo, HTTPS/backups, atualizações do PHP/dependências, e (3) uma lista de autoverificação. Apenas defensivo — sem passos de ataque.
O que é malware? Tipos, rotas de infecção e as defesas básicas
Malware (software malicioso) é o termo guarda-chuva para software feito para causar dano aos seus dispositivos ou dados. Vírus, worms, trojans, ransomware, spyware e bots são todos tipos abaixo dele. Por mais diferentes que pareçam, a defesa é a mesma em três partes: prevenir a infecção (atualizações, não abrir anexos/macros suspeitos, MFA), detectar (EDR, antivírus) e conseguir se recuperar (backups). Acertar essas defesas comuns importa muito mais do que decorar os nomes dos tipos.
O que é ransomware? Como funciona, como entra e como evitar pagar
Ransomware é um malware que criptografa seus arquivos e exige pagamento para tê-los de volta. Ataques modernos adicionam a dupla extorsão — roubam os dados primeiro e ameaçam vazá-los, então só descriptografar não detém o vazamento. Principais rotas de entrada: phishing, VPN/RDP fracos ou sem MFA e falhas sem patch expostas à internet. A defesa mais importante são backups offline/imutáveis mais testes de restauração — conseguir se recuperar sem pagar. Também previna a invasão (MFA, patches) e limite o dano (privilégio mínimo, segmentação).
Vazamento em massa do MOVEit (2023) — como um zero-day de SQL injection alcançou mais de 2.700 organizações, e como se defender
A entrada foi um zero-day de SQL injection (CVE-2023-34362) no MOVEit Transfer, exposto à internet. Um web shell (LEMURLOOT) foi plantado e dados foram roubados em massa do banco de dados de retaguarda, atingindo mais de 2.700 organizações e cerca de 93,3M de pessoas. A maioria das vítimas foi arrastada indiretamente porque um fornecedor usava o MOVEit. No seu ambiente: patch rápido de KEV, minimizar a exposição, menor privilégio e segmentação entre web↔DB, inventário de fornecedores e minimização de dados.
Ainda no Windows 10? Os riscos de segurança de usá-lo após o fim do suporte
O suporte regular do Windows 10 da família Home/Pro versão 22H2 terminou em 14 de outubro de 2025. A orientação oficial consultada em 16 de outubro de 2026 indica ESU para consumidores até 12 de outubro de 2027, com continuidade automática para quem já está inscrito. Confira a inscrição, as atualizações e as condições regionais, priorizando a migração para um SO atualizado. LTSC/IoT e ESU corporativo são programas separados.
Vazamento da Equifax (2017) — como uma falha não corrigida no Apache Struts expôs 147M de pessoas
A causa foi um CVE conhecido e já corrigido (CVSS 10.0) deixado sem aplicar em um sistema público. Um certificado de monitoramento expirado ocultou a exfiltração por 76 dias. No seu ambiente: inventário de ativos, um SLA de patch, monitoramento por máquina e detecção saudável.