RCE
5 artigos com esta tag
Falha do WordPress 7.1.4 CVE-2026-119977: corrigida uma condição de corrida na atualização do núcleo que pode levar à execução remota de código; verifique sua versão e as atualizações automáticas
Em 28 de outubro de 2026, o projeto WordPress lançou a versão de segurança 7.1.4, que corrige uma falha no processo de atualização do núcleo que pode levar à execução remota de código. Segundo o aviso de segurança do WordPress no GitHub, durante uma atualização do núcleo com pacote completo, o WordPress extraía os arquivos novos em um diretório previsível dentro da pasta de atualização acessível pela web, e um atacante sem autenticação que vença uma corrida contra essa extração poderia alcançar a execução remota de código (RCE). A correção está na 7.1.4 e foi portada para todos os ramos até o 4.7 (7.0.8, 6.9.11, 6.8.12 e assim por diante). A Wordfence, como CNA, publicou o CVE-2026-119977 em 31 de outubro, com nota CVSS v3.1 8,1 (alta) e complexidade de ataque alta; o aviso do WordPress a classifica como baixa e não informa nota. Segundo o SecurityWeek, um fornecedor de segurança para WordPress viu a primeira correspondência da sua nova regra de firewall nove minutos após implantá-la e registrou mais de 18.500 requisições direcionadas a locais temporários de atualização nas primeiras 21 horas; o fornecedor não relatou nenhum comprometimento bem-sucedido. A CISA incluiu o CVE em seu catálogo Known Exploited Vulnerabilities (KEV) em 3 de novembro (a entrada do KEV dá às agências federais dos EUA o prazo de 6 de novembro, e a CISA exige delas, além do patch, uma triagem forense conforme a BOD 26-04). Sites com atualizações automáticas em segundo plano devem se atualizar sozinhos; sites com elas desativadas devem atualizar manualmente pela tela Atualizações. A conclusão deste site: trate como explorado, atualize hoje e, se a sua atualização foi tardia, verifique sinais de comprometimento (conselho deste site).
Desserialização insegura: o risco de deixar dados externos escolherem o tipo do objeto, e como evitar
O perigo da desserialização não é que cheguem valores ruins; é que alguns formatos deixam os dados externos decidirem que tipo de objeto construir. Por isso o dano não para em dados corrompidos — a OWASP lista negação de serviço, contorno de controle de acesso e execução remota de código. Duas defesas: trocar para um formato só de dados, em que nada escolhe tipos por você, e assinar as mensagens serializadas para que as não assinadas nunca sejam restauradas. E alguns mecanismos não podem ser tornados seguros por configuração; a única correção é não usá-los.
Vulnerabilidades de upload de arquivos — como evitar web shells e RCE pelo design
O problema de uma vulnerabilidade de upload não é 'receber um arquivo' — é onde você o coloca e se ele pode ser executado. Endpoint sem autenticação + sem validação de tipo + armazenado sob a raiz web + scripts executados ali = web shell → RCE. Defenda em camadas: (1) autenticação/permissão + CSRF no endpoint, (2) allow-list no servidor + inspeção do conteúdo, (3) armazenar fora da raiz web (ou desativar a execução), (4) nomes aleatórios, nunca confiar em caminhos do usuário. Não dependa de um único controle; tenha algo que possa barrar o ataque em cada etapa.
O que é RCE (execução remota de código) — por que é a pior classe de falha
RCE permite que um invasor rode código arbitrário no seu servidor — direto para a tomada de controle, a pior classe. Até onde o dano se espalha é definido pelos privilégios do processo em execução. As defesas centrais são patches rápidos, monitoramento de CVE e privilégio mínimo.
Uma chave de API vazou de código escrito por IA e foi usada para cobranças fraudulentas: a causa foi uma vulnerabilidade CVSS 10.0 sem correção
O pico na fatura era um sintoma. A causa foi um RCE CVSS 10.0 publicado e sem correção. Um caso anonimizado, destilado em lições defensivas.