auto-hospedagem
3 artigos com esta tag
Vulnerabilidade CVE-2026-110447 no servidor CODE integrado do Nextcloud Collabora explorada: quem é afetado e o que fazer
Em 14 de outubro de 2026, os desenvolvedores do Collabora Online divulgaram a CVE-2026-110447, uma vulnerabilidade de injeção de comando do sistema operacional, sem autenticação, no app do Nextcloud Collabora Online - Built-in CODE Server (ID do app richdocumentscode). Por meio do proxy.php do app, comandos podem ser executados como o usuário do servidor web. A condição é que o servidor CODE integrado não esteja em execução, o que pode acontecer após reinicialização de contêiner, atualização ou falha. Versões anteriores à 26.4.303 são afetadas; a 26.4.303 foi lançada em 11 de setembro. Os desenvolvedores afirmam que desativar o app não impede o problema e pedem que os usuários atualizem ou removam o app. No Nextcloud 29 e versões anteriores, que já não recebem suporte, atualize o Nextcloud ou remova o app. Os desenvolvedores afirmam que servidores Collabora Online independentes, imagens Docker, pacotes RPM/DEB e Nextcloud All-in-One não são afetados. A pontuação CVSS v4.0 é 9,2. A CISA incluiu a falha em seu catálogo Known Exploited Vulnerabilities (KEV) em 23 de outubro, com prazo em 26 de outubro. Usuários relataram ataques a partir de cerca de 10 de setembro no repositório dos desenvolvedores e, segundo reportagens da imprensa, web shells foram plantados. Conclusão deste site: se o app CODE integrado estiver instalado, mesmo desativado, verifique a versão hoje, atualize ou remova o app e depois procure sinais de comprometimento desde 10 de setembro.
GitLab CVE-2026-110264 (CVSS 10.0) e a CVE-2026-97229 explorada: como verificar e atualizar um GitLab self-managed
Em 21 de outubro de 2026, o GitLab lançou as versões de correção crítica 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13 para a Community Edition (CE) e a Enterprise Edition (EE). A falha mais grave, a CVE-2026-110264 (CVSS 10.0), é um estouro de inteiro ao compilar uma expressão regular especialmente elaborada que, sob certas condições, poderia permitir que um usuário não autenticado executasse código arbitrário no servidor GitLab. Quase todas as versões a partir da 7.0 são afetadas. Em 29 de outubro, a CISA incluiu uma falha irmã, a CVE-2026-97229 (CVSS 10.0, CWE-190), em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com prazo até 1º de novembro. É o mesmo tipo de bug (um estouro de inteiro no compilador de expressões regulares de CI/CD, alcançável por um usuário não autenticado); o GitLab a corrigiu antes, em 12 de outubro, nas versões 19.4.2, 19.3.5 e 19.2.8, e ela afeta apenas 19.2.0 a 19.2.7, 19.3.0 a 19.3.4 e 19.4.0 a 19.4.1. Quem ainda está abaixo da 19.4.2, 19.3.5 ou 19.2.8 está exposto a uma falha explorada. Atualizar para as versões recomendadas aqui (19.5.1, 19.4.3, 19.3.6, 19.2.9) também corrige a CVE-2026-97229. O GitLab.com já está corrigido; instalações self-managed precisam ser atualizadas. A mesma versão de 21 de outubro corrige duas falhas de gravidade Alta (CVSS 8.2 e 7.5) e outras, mas essas correções só chegam nas linhas 19.3.6, 19.4.3 e 19.5.1. A causa raiz está no motor de expressões regulares do Ruby (Onigmo), e o Ruby lançou 4.0.9, 3.4.12 e 3.3.13 em 23 de outubro. Aplicações que compilam uma regexp a partir de strings controladas pelo atacante são afetadas, e o Regexp.timeout não protege contra os bugs. Os avisos do GitLab não dizem que a CVE-2026-110264 tenha sido explorada, e ela não consta no KEV em 30 de outubro. A Alpine Linux relatou uma tentativa de ataque contra o seu próprio GitLab pela CVE-2026-97229 em 20 e 21 de outubro, e que atualizar apenas o GitLab (para a 19.3.6) não fechou a falha porque a correção também exigia um Ruby corrigido; reconstruiu a instância e não encontrou evidência de que código do invasor tenha sido executado. Conclusão deste site: atualize o GitLab self-managed hoje, após verificar as paradas obrigatórias de atualização, chegue à 19.3.6 ou posterior e, se você mesmo compila o GitLab ou usa seu próprio Ruby, confira que esse Ruby também seja 3.3.13, 3.4.12 ou 4.0.9 ou posterior. Aplicações Ruby devem migrar para um Ruby corrigido e parar de montar regexps a partir de entrada do usuário.
Git auto-hospedado vs. GitHub: qual é de fato mais seguro?
Auto-hospedar o Git não te torna 'mais seguro' — realoca o risco. A classe de exposição pública acidental desaparece, mas aplicar patches no servidor, backups e detecção de segredos pré-commit passam para você. A escolha certa se você continua fazendo esse trabalho; pior que o GitHub se você o negligencia. A visão deste site: a auto-hospedagem só funciona junto com seus controles compensatórios.