vulnerabilidade
45 artigos com esta tag
SAP Security Patch Day de novembro de 2026: quatro falhas com CVSS 10.0. Corrija primeiro o Web Dispatcher e o ICM expostos à internet; como saber se você é afetado e o que fazer hoje
Em 10 de novembro de 2026, o Security Patch Day da SAP publicou 35 novas notas de segurança e 4 avisos de segurança no GitHub, e atualizou 3 notas anteriores. A lista da SAP marca 9 linhas como Critical. Quatro têm CVSS 10.0: corrupção de memória no Internet Communication Manager (ICM) do NetWeaver AS ABAP (CVE-2026-76964) e no SAP Web Dispatcher (CVE-2026-89126), controle de acesso quebrado no SAP Gateway (CVE-2026-89103) e falta de autenticação no provedor de serviço SAML2 do AS ABAP (CVE-2026-120017). Os registros CVE descrevem as quatro como sem autenticação, pela rede e sem interação do usuário (CVE-2026-120017 em certas configurações). Três têm CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) e exigem um login com poucos privilégios. A lista da SAP não menciona exploração, e nenhum dos CVEs da página está no catálogo KEV da CISA (versão de 10 de novembro, 19h UTC). Das avaliações da CISA associadas aos registros CVE, as quatro que pudemos ver dizem exploitation: none. O texto das SAP Notes exige login e este site não o leu. Conclusão deste site: corrija primeiro o Web Dispatcher e o ICM expostos à internet, confirme os níveis corrigidos nas SAP Notes e planeje a atualização incluindo a reinicialização.
Correção de emergência do OpenSSH 10.6p2 (CVE-2026-123158): incluído no KEV da CISA; no sshd com musl sem PAM, como o Alpine, é possível fazer login sem a senha
Em 5 de novembro de 2026 o OpenSSH lançou a versão 10.6p2 com uma solução alternativa crítica para um contorno da autenticação por senha no sshd em alguns sistemas Linux compilados e executados sem PAM, em especial os que usam musl libc, como o Alpine Linux. O CVE é CVE-2026-123158 (pontuação base CVSS 3.1 de 8,1, do registro CVE). Em 9 de novembro a CISA o incluiu no catálogo de vulnerabilidades exploradas conhecidas (KEV), com prazo em 12 de novembro para as agências federais dos EUA. Uma empresa privada de inteligência de ameaças relata que viu tentativas de ataque menos de nove horas após a publicação e um sucesso em um ambiente isca; nenhum dano a sistemas de produção foi relatado e não foi encontrada verificação independente. O Alpine Linux publicou um aviso em 5 de novembro com pacotes corrigidos para todos os branches. Segundo o Alpine, um host é afetado quando a autenticação por senha está ativa, uma conta tem um asterisco no campo de senha e outra conta tem um hash normal. Configurações com PAM ativado, com PasswordAuthentication no, ou contêineres que não executam sshd não são afetados. Conclusão deste site: se você executa o sshd no Alpine ou em outros sistemas baseados em musl, como OpenWrt ou Linux embarcado, atualize hoje para o pacote corrigido e reinicie o sshd, desative a autenticação por senha até lá e revise os logs de autenticação.
SonicWall SonicOS SSL-VPN CVE-2026-19868: SAML e sua MFA podem ser contornados, no KEV da CISA (atualize Gen7 e Gen8)
A CVE-2026-19868 é uma falha no serviço SSL-VPN do SonicWall SonicOS, o sistema operacional dos firewalls da SonicWall. Segundo o aviso SNWLID-2026-0014 da SonicWall de 6 de novembro de 2026, em um firewall com SAML ativado para os logins de SSL-VPN, um usuário com credenciais válidas de um método de autenticação alternativo pode contornar os controles de autenticação SAML e, com eles, a autenticação multifator (MFA) que o SAML impõe. A SonicWall diz que sua equipe de segurança investigou um relato que indicava possível exploração. A CISA adicionou a CVE ao catálogo Known Exploited Vulnerabilities (KEV) em 6 de novembro, com prazo de 20 de novembro. Afetados: firewalls Gen7 com SonicOS 7.3.3-7015 e anteriores, e firewalls Gen8 com 8.2.2-8015 e anteriores. Corrigidas: 7.3.4-7013 e 8.2.3-8015 ou posteriores. Não há solução alternativa. O mesmo aviso cobre outras seis CVEs, incluindo falhas na interface de gerenciamento e uma falha pré-autenticação no SSL-VPN que pode derrubar o serviço. Nossa conclusão: se você usa um firewall SonicWall Gen7 ou Gen8, atualize agora, use ou não SAML, e se você depende de SAML e MFA para os logins da VPN, verifique quais outras contas ainda conseguem entrar no SSL-VPN.
Jenkins 2.588 e LTS 2.580.2 corrigem 15 falhas (CVE-2026-117612 a 117626): confira sua versão e o que revisar após atualizar
Em 28 de outubro de 2026 o projeto Jenkins publicou um aviso de segurança corrigindo 15 vulnerabilidades no núcleo do Jenkins (CVE-2026-117612 a CVE-2026-117626) na versão semanal 2.588 e na LTS 2.580.2. Estão afetadas a semanal 2.587 e anteriores e a LTS 2.580.1 e anteriores. O aviso classifica 13 como altas e 2 como médias. A maioria exige alguma permissão, como Overall/Read ou Item/Configure (algumas configurações concedem Overall/Read a usuários anônimos). A exceção é a CVE-2026-117618, uma condição de corrida no assistente de configuração que permite a um usuário não autenticado criar uma conta de administrador durante a configuração inicial, o que aumenta a prioridade das instalações novas do Jenkins expostas à internet. As únicas medidas que o aviso lista são ajustes para desligar as novas verificações se a atualização causar problemas e a aplicação obrigatória da Política de Segurança de Conteúdo, que limita o impacto conhecido de três falhas XSS; a correção é atualizar. Este site não encontrou nenhum relato confiável de exploração em 3 de novembro, e nenhuma das 15 está no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA. A conclusão deste site: confirme a versão do seu Jenkins, atualize para a 2.588 (LTS 2.580.2), mantenha o Jenkins fora da internet e os usuários anônimos sem permissões, e revise usuários, administradores e agentes depois de atualizar.
Ataques de ransomware ao Synology DSM: versões desatualizadas atacadas por uma falha corrigida em dezembro de 2024, o que atualizar e verificar hoje (SA-24:20)
Em 29 de outubro de 2026, a Synology disse ter identificado agentes de ameaça explorando uma vulnerabilidade corrigida em dezembro de 2024 para atacar dispositivos com versões desatualizadas do DSM, com o objetivo de criptografar dados e exigir resgate. Insta fortemente todos os que usam versões vulneráveis a atualizar o DSM imediatamente e recomenda ativar as atualizações automáticas. Aponta para a Synology-SA-24:20, cujas versões corrigidas são 7.2.2-72806-1 ou superior para o DSM 7.2.2, 7.2.1-69057-6 para o 7.2.1, 7.2-64570-4 para o 7.2, 7.1.1-42962-7 para o 7.1 e 6.2.4-25556-8 para o 6.2. O aviso lista três CVEs e a Synology não diz qual deles está sendo explorado. Não divulgou o número de vítimas nem o nome de nenhum atacante. Conclusão deste site: verifique hoje a versão do seu DSM, atualize para a versão corrigida ou posterior e não exponha a interface de administração do DSM à internet. Mantenha um backup separado do NAS e que ele não consiga sobrescrever.
Falha do WordPress 7.1.4 CVE-2026-119977: corrigida uma condição de corrida na atualização do núcleo que pode levar à execução remota de código; verifique sua versão e as atualizações automáticas
Em 28 de outubro de 2026, o projeto WordPress lançou a versão de segurança 7.1.4, que corrige uma falha no processo de atualização do núcleo que pode levar à execução remota de código. Segundo o aviso de segurança do WordPress no GitHub, durante uma atualização do núcleo com pacote completo, o WordPress extraía os arquivos novos em um diretório previsível dentro da pasta de atualização acessível pela web, e um atacante sem autenticação que vença uma corrida contra essa extração poderia alcançar a execução remota de código (RCE). A correção está na 7.1.4 e foi portada para todos os ramos até o 4.7 (7.0.8, 6.9.11, 6.8.12 e assim por diante). A Wordfence, como CNA, publicou o CVE-2026-119977 em 31 de outubro, com nota CVSS v3.1 8,1 (alta) e complexidade de ataque alta; o aviso do WordPress a classifica como baixa e não informa nota. Segundo o SecurityWeek, um fornecedor de segurança para WordPress viu a primeira correspondência da sua nova regra de firewall nove minutos após implantá-la e registrou mais de 18.500 requisições direcionadas a locais temporários de atualização nas primeiras 21 horas; o fornecedor não relatou nenhum comprometimento bem-sucedido. A CISA incluiu o CVE em seu catálogo Known Exploited Vulnerabilities (KEV) em 3 de novembro (a entrada do KEV dá às agências federais dos EUA o prazo de 6 de novembro, e a CISA exige delas, além do patch, uma triagem forense conforme a BOD 26-04). Sites com atualizações automáticas em segundo plano devem se atualizar sozinhos; sites com elas desativadas devem atualizar manualmente pela tela Atualizações. A conclusão deste site: trate como explorado, atualize hoje e, se a sua atualização foi tardia, verifique sinais de comprometimento (conselho deste site).
CVE-2026-98432 do kernel do Linux: um use-after-free de TCP acionável pela rede (CVSS 9.8); instale o kernel corrigido, reinicie e verifique o MPTCP
CVE-2026-98432 é um use-after-free no código TCP IPv4 do kernel do Linux, publicado em 15 de outubro de 2026. A CNA do projeto do kernel o pontua com CVSS v3.1 9.8 (rede, sem privilégios, sem interação do usuário). Segundo relatos, pesquisadores de uma empresa de IA demonstraram, em laboratório e conforme seu próprio relatório, a execução remota de código como root contra um servidor com um listener Multipath TCP (MPTCP). O BleepingComputer diz que a execução remota de código em servidores TCP comuns não foi demonstrada publicamente e que nenhuma exploração ativa foi confirmada, e este site não encontrou o CVE no catálogo KEV da CISA em 1º de novembro. As correções upstream estão em 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 e 7.2.10 e posteriores. Em 1º de novembro, o Debian tem kernels corrigidos, a SUSE tem alguns, e Ubuntu e Red Hat listam as correções como em andamento. Desativar apenas o MPTCP não é uma correção completa. Conclusão deste site: atualize os servidores Linux expostos à internet conforme as correções forem chegando, reinicie e use uma medida provisória do fornecedor apenas até lá.
O que verificar após uma atualização de emergência do PHP: PHP web vs. PHP de linha de comando, set -e e códigos de saída do diff, e uma nova verificação de invasão
Durante a resposta de outubro de 2026 às vulnerabilidades críticas do PHP, um site administrado pelo operador deste site tinha atualizado o PHP web, mas o PHP de linha de comando usado pelo cron ainda apontava para uma versão antiga. Verifique o web e o CLI separadamente. Com set -e, diff e grep retornam status de saída 1 para 'diferenças encontradas' ou 'sem correspondência', o que interrompe o script; trate 0, 1 e 2 separadamente. Após a correção, execute a mesma lista de verificação de invasão em todos os servidores, e esclareça uma entrada de log suspeita comparando os arquivos ativos com a cópia conhecida como boa, implantada anteriormente.
Ciberataques e vazamentos de dados de outubro de 2026: 36 vulnerabilidades exploradas e vazamentos em larga escala
Em outubro de 2026, a CISA adicionou 36 vulnerabilidades ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), sete a menos que as 43 de setembro. Onze eram produtos de borda e de acesso remoto, como appliances VPN e firewalls; cinco eram falhas antigas publicadas entre 2015 e 2023 (todas adicionadas em 8 de outubro); dez eram de Plex, PHP, Ahsay e Zammad, e dez de outros produtos. Este site publicou 115 primeiros relatos sobre incidentes e vulnerabilidades em outubro (65 incidentes no Japão, 28 no exterior, 4 globais e 18 vulnerabilidades); é uma contagem de artigos deste site, não estatística nacional. No Japão, continuaram os vazamentos de bancos de dados de membros e de aplicativos. Os maiores números anunciados foram ShopServe (cerca de 23,356 milhões de pessoas), o app da MUJI (até cerca de 27,26 milhões de registros, possível), Club Tourism (cerca de 4,32 milhões de registros, possível) e Hana Cupid (até 4.238.242 registros). Também continuaram os vazamentos em provedores de serviços e SaaS, os roubos em corretoras de criptomoedas e os incidentes em plataformas para desenvolvedores de IA. Nossa conclusão para novembro: atualize primeiro os dispositivos de borda que chegaram ao KEV, faça o inventário dos serviços externos que guardam suas listas de clientes e prepare-se para o phishing que se passa por uma empresa afetada.
Cisco Catalyst SD-WAN Manager CVE-2026-76504: acesso de administrador sem login, explorada (atualize para uma versão corrigida)
A CVE-2026-76504 é uma falha na autenticação de sessões da API do Cisco Catalyst SD-WAN Manager (antigo vManage), o sistema de gerenciamento do SD-WAN da Cisco. Segundo o aviso da Cisco de 30 de setembro de 2026, o tratamento incorreto da codificação URI em uma solicitação HTTP permite que um invasor remoto sem autenticação contorne uma regra de autenticação e chegue à API com os privilégios do usuário admin. Afeta o produto independentemente da configuração e tem CVSS 9.8. A Cisco diz que sua equipe de segurança tomou conhecimento de exploração ativa em setembro de 2026. Não há solução alternativa; a correção é atualizar para a primeira versão corrigida do seu ramo (20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 ou 26.2.1). O serviço em nuvem gerenciado pela Cisco já está corrigido. A CISA a adicionou ao catálogo KEV em 30 de setembro com prazo de 3 de outubro. Nossa conclusão: se você roda o SD-WAN Manager localmente, atualize agora, mantenha as interfaces de gerenciamento fora da internet e revise os logs com as verificações do aviso da Cisco, porque ele pode ter ficado exposto por semanas.
Drupal Commerce Core CVE-2026-118539: desvio de acesso sem autenticação, explorado ativamente (atualize para 8.x-2.41 ou 3.3.13)
Em 28 de outubro de 2026, a Equipe de Segurança do Drupal publicou o SA-CONTRIB-2026-254 para o módulo Commerce Core (CVE-2026-118539). O módulo não protege o suficiente certas rotas e campos de entidade, o que permite um desvio de acesso que pode ter impacto financeiro para o dono da loja. O Drupal o classifica como Altamente crítico (21/25), sem exigir autenticação, e afirma que está sendo explorado ativamente na prática. As versões afetadas são as anteriores à 8.x-2.41 e da 3.0.0 até a 3.3.13, exclusive; as versões corrigidas são a 8.x-2.41 e a 3.3.13. O registro do NVD mostra uma pontuação CVSS v3.1 menor, de 6,5, adicionada pelo ADP da CISA, e ainda aguarda análise. Em 31 de outubro, não consta do catálogo KEV da CISA. Nossa conclusão: se você opera uma loja online no Drupal Commerce, atualize já e audite os pedidos e pagamentos recentes em busca de algo incoerente.
Ivanti Connect Secure CVE-2026-111357 e CVE-2026-118527: mais duas falhas adicionadas ao KEV da CISA (o que fazer diante dos ataques de outubro)
Em 30 de outubro de 2026, a CISA adicionou duas vulnerabilidades do Ivanti Connect Secure ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV): a CVE-2026-111357, uma escalada local de privilégios para root, e a CVE-2026-118527, uma falha de identificadores previsíveis que permite a um invasor remoto autenticado colocar arquivos com conteúdo controlado pelo invasor em um local conhecido. A CISA diz que ambas podem ser encadeadas com a CVE-2026-104935, o desvio de autenticação adicionado ao KEV em 13 de outubro. Em 2 de novembro, uma empresa de pesquisa dos EUA informou que a Ivanti atualizou seu aviso em 29 de outubro para incluir as duas CVEs e lançou correções (não conseguimos ler o aviso da própria Ivanti, então isto se baseia na citação da empresa): 25.1.1.3 para a 25.1.1.2 e anteriores, e 22.8R2.6 para a 22.8R2.5 e anteriores. As correções de 13 de outubro (25.1.1.2 e 22.8R2.5) não corrigem essas duas. A Ivanti recomenda migrar da 22.8.x para a 25.1.1.3 ou posterior, ou aplicar a 22.8R2.6 se isso não for possível de imediato. A Ivanti diz que a exploração antes da divulgação afetou um número limitado de clientes, encadeada com a CVE-2026-104935. O prazo para as agências federais dos EUA é 2 de novembro para a CVE-2026-111357 e 13 de novembro para a CVE-2026-118527. Outra empresa de pesquisa relata exploração desde 3 de outubro, roubo de credenciais e consultas ao Active Directory por senhas do Windows LAPS e chaves de recuperação do BitLocker. A CISA e a empresa alertam que a ferramenta Integrity Checker da Ivanti pode não detectar a exploração. Nossa conclusão: aplique os patches já e, mesmo depois, trate como possivelmente comprometido qualquer appliance acessível pela internet desde o início de outubro até que uma análise forense diga o contrário. Preserve a memória e os logs antes de qualquer reinicialização ou redefinição, e troque as credenciais, inclusive as senhas de administrador local gerenciadas pelo LAPS e as chaves de recuperação do BitLocker. Confirme os números de versão no aviso da Ivanti.
Orkes Conductor CVE-2026-58138: execução de comandos do sistema sem autenticação, com tentativas de ataque observadas (atualize para 3.30.2 ou posterior)
A CVE-2026-58138 é uma falha no Conductor, o mecanismo de fluxos de trabalho de código aberto do projeto conductor-oss, que o registro CVE chama de Orkes Conductor. Nas versões a partir de 3.21.21 e anteriores a 3.30.2, um invasor remoto pode executar comandos do sistema operacional sem autenticação enviando à API de fluxos de trabalho uma definição de fluxo com expressões em JavaScript ou Python, porque os avaliadores de scripts não estavam isolados. A CVE foi publicada em 30 de junho de 2026 com CVSS 9.8 (v3.1) e 9.3 (v4.0). A correção está na versão 3.30.2, de 3 de junho, cujas notas a descrevem apenas como uma restrição maior do mecanismo de JavaScript. Uma empresa de segurança de redes informou em setembro que seu serviço de prevenção de intrusões bloqueou 1.290 tentativas de ataque em um dia e 6.696 em sete dias. São tentativas bloqueadas, não comprometimentos confirmados. Em 31 de outubro, a CVE não está no catálogo KEV da CISA e o NVD não a analisou (situação Deferred). Nossa conclusão: se você roda o Conductor por conta própria, passe agora para 3.30.2 ou posterior, mantenha a API fora da internet e, se uma versão afetada estava acessível, revise-a como possivelmente comprometida.
Plex2Shell: quatro CVEs do Plex Media Server exploradas ativamente (atualize para 1.43.3.10861 ou posterior)
Plex2Shell é o nome que um pesquisador de segurança deu a quatro falhas no Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Segundo a Plex, encadeadas elas permitem que um invasor remoto sem autenticação execute código com os privilégios do processo do Plex Media Server. As quatro foram corrigidas na 1.43.3.10861, lançada para todos em 4 de agosto de 2026. Em 19 de outubro (UTC), a Plex escreveu que as falhas estão sendo exploradas de forma ativa e ampla após o surgimento de uma prova de conceito pública em 16 de outubro, e que servidores comprometidos foram usados para rodar mineradores de criptomoedas e software de proxy. A CISA adicionou as quatro ao seu catálogo Known Exploited Vulnerabilities (KEV) em 20 de outubro, com prazos de 23 de outubro e 3 de novembro. Isoladamente, cada CVE tem apenas de 4.3 a 7.2 (CVSS v3.1). Em 6 de novembro, a QNAP disse que alguns usuários relataram que o Plex Media Server em seu NAS parecia ter sido comprometido; ela diz que seus próprios sistemas operacionais, QTS e QuTS hero, não são afetados, e pede aos donos cujo Plex estava acessível pela internet que tratem o NAS como possivelmente comprometido. Nossa conclusão: se você roda o Plex Media Server, confirme hoje que ele está na 1.43.3.10861 ou posterior, pare de expor diretamente a porta 32400 a menos que precise do acesso remoto e, se uma versão anterior estava acessível pela internet, siga as verificações de comprometimento da Plex e reconstrua o servidor em caso de dúvida (em um NAS da QNAP, siga o FAQ da QNAP).
SharePoint Server CVE-2026-65660: execução de código por um usuário logado, explorada (instale as atualizações de agosto de 2026)
A CVE-2026-65660 é uma falha de injeção de código no Microsoft SharePoint Server local (Subscription Edition, 2019 e Enterprise 2016). Segundo a Microsoft, um invasor autenticado com acesso de baixo nível pode enviar uma solicitação especialmente criada para executar código no servidor, sem interação do usuário. A classificação é CVSS 8.8. A correção saiu nas atualizações de segurança de 11 de agosto de 2026. A Microsoft a publicou primeiro como uma falha de falsificação (spoofing) e a mudou para execução remota de código em 27 de agosto. Em 25 de setembro, a Microsoft acrescentou que tinha evidências confiáveis de ataques observados, e a CISA a adicionou ao catálogo KEV no mesmo dia com prazo de 28 de setembro. Uma empresa de segurança informou em 24 de setembro que tentativas de ataque contra um honeypot combinavam esta falha com um problema separado, relatado como corrigido em junho de 2026, que permite que a solicitação chegue sem login em sites que permitem visualização anônima. Nossa conclusão: se você roda o SharePoint Server, confirme que todos os servidores estão na build corrigida ou superior, verifique se as atualizações de junho de 2026 também estão instaladas, revise o acesso anônimo e procure sinais de comprometimento nos servidores que estavam com atualizações atrasadas.
VMware ESX CVE-2026-41709 (CVSS 2.7): a CISA lista como explorada essa falha de registro de baixa gravidade; aplique todo o VMSA-2026-0006 e verifique seus hosts
CVE-2026-41709 é uma falha de registro insuficiente no VMware ESX (CVSS 2.7, baixa): um atacante que já tem acesso de administrador pode realizar certas operações sem que elas fiquem registradas nos logs. A Broadcom a corrigiu no aviso VMSA-2026-0006 em 29 de julho de 2026, sem solução alternativa. Em 28 de outubro de 2026 (horário dos EUA) a CISA a incluiu em seu catálogo de vulnerabilidades exploradas conhecidas (KEV), com prazo de 11 de novembro para as agências federais dos EUA. O relatório de ameaças de uma empresa de segurança diz que um grupo ligado à China a usou como dia zero em várias invasões a organizações dos EUA, até o início de 2026, e a SecurityWeek descreve a finalidade como reduzir a visibilidade da trilha de auditoria; este site não verificou esse relatório de forma independente. A falha não dá entrada por si só, mas significa que os logs de um host afetado podem não mostrar o que um invasor fez. O mesmo aviso inclui duas falhas do vCenter com nota 9,8, uma das quais (CVE-2026-59310) a CISA listou como explorada em 18 de agosto, de modo que aplicar apenas a correção da falha do ESX deixa abertas as portas de entrada. Conclusão deste site: atualize ESX e vCenter para os builds corrigidos de todo o aviso, envie os logs dos hosts para um servidor separado e procure sinais de comprometimento em vez de confiar apenas nos logs.
Falha de VPN no Cisco ASA e FTD CVE-2026-76418: um invasor sem autenticação pode reiniciar o dispositivo (como verificar, versões corrigidas)
Em 28 de outubro de 2026 (UTC), a Cisco divulgou o CVE-2026-76418 (CVSS v3.1 8.6) no serviço de VPN SSL de acesso remoto do Cisco Secure Firewall ASA e do Secure Firewall Threat Defense (FTD). Um invasor remoto sem autenticação pode fazer o dispositivo reiniciar inesperadamente, causando negação de serviço. A causa é um erro de lógica quando há autenticação secundária configurada em um grupo de túnel (um perfil de conexão VPN), acionado por uma requisição manipulada ao se conectar à VPN SSL. O aviso não descreve execução de código nem vazamento de dados. Não há solução alternativa, e a Cisco recomenda fortemente atualizar. A Cisco PSIRT diz que tomou conhecimento de exploração em outubro de 2026, mas não dá detalhes. A CISA a incluiu em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) em 29 de outubro, com prazo até 1º de novembro para as agências federais dos EUA. Nossa conclusão: se você expõe a VPN SSL em ASA ou FTD, verifique se algum grupo de túnel usa autenticação secundária e, se usar, atualize. Existem mitigações provisórias da Cisco, mas elas reduzem a segurança.
Fragnesia do kernel do Linux (CVE-2026-46300): a CISA a lista como explorada com prazo em 31 de outubro; atualize o PHP e o kernel e reinicie
O CVE-2026-46300, apelidado de Fragnesia, é uma falha no kernel do Linux que permite a um usuário local com poucos privilégios obter root (CVSS v3.1 7.8, vetor de ataque local). Quando o kernel move fragmentos de dados entre buffers de rede, ele pode perder uma marca que indica que os dados são compartilhados com um arquivo na memória, e o código IPsec ESP pode então descriptografar sobre a cópia em cache de um arquivo somente leitura. O projeto do kernel publicou o CVE em 23 de maio de 2026, e as correções estão nos kernels 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 e 7.0.10 e posteriores. Em 28 de outubro de 2026 (horário dos EUA), a CISA a adicionou ao seu catálogo de vulnerabilidades exploradas conhecidas (KEV) com base em evidências de exploração ativa, com prazo de 31 de outubro para as agências federais dos EUA. A descrição da CISA diz que ela pode ser encadeada com as falhas do PHP CVE-2026-109618 e CVE-2026-109619 para implantar webshells PHP e executar comandos como root. Uma empresa de segurança relatou que essa cadeia foi usada contra 25 servidores (principalmente firewalls), e a SecurityWeek repetiu o relato; este site não verificou os números de forma independente. Ubuntu, Red Hat e Debian publicaram kernels corrigidos, e uma atualização do kernel só passa a valer depois de reiniciar. Conclusão deste site: se você roda sites PHP em Linux, atualize o PHP e o kernel, reinicie e procure webshells.
Vulnerabilidade CVE-2026-48356 do Adobe Commerce e do Magento: CISA confirma exploração (KEV), a correção de julho e como verificar se houve invasão
Em 27 de outubro de 2026, a CISA incluiu a CVE-2026-48356, uma vulnerabilidade de upload de arquivos no Adobe Commerce e no Magento Open Source, em seu catálogo de vulnerabilidades sabidamente exploradas (KEV). O prazo para as agências civis federais dos EUA é 10 de novembro. A Adobe corrigiu essa falha, junto com outras 13, no boletim de segurança APSB26-73 em 14 de julho de 2026. São afetados o Adobe Commerce 2.4.4 a 2.4.9, o Magento Open Source 2.4.6 a 2.4.9, o Adobe Commerce B2B e o Adobe Commerce Events. A correção é a correção de segurança 2026-jul de cada linha de versões (1.21.0 para o Events). A tabela do boletim da Adobe atribui CVSS 9,6, enquanto o registro CVE da Adobe e o NVD atribuem 9,3; a única diferença é o impacto na disponibilidade. O boletim da Adobe (atualizado em 11 de agosto) ainda diz que a Adobe não tem conhecimento de exploração. Em 24 de outubro, uma empresa de segurança de e-commerce relatou que web shells instalados por meio dessa falha (que ela chama de PolyShell) e de outras falhas foram usados para injetar JavaScript em páginas de lojas, em uma campanha que atingiu 953 lojas, a maioria Magento, desde julho de 2025, e que encontrou o código injetado também em lojas corrigidas. Em 28 de outubro, nenhum órgão público japonês havia emitido alerta e nenhuma loja japonesa havia divulgado ter sido afetada. Conclusão deste site: lojas com Adobe Commerce e Magento devem confirmar hoje que a correção de julho está aplicada e, mesmo que esteja, verificar as pastas de upload, os blocos CMS e as contas de administrador em busca de sinais de invasão.
Vulnerabilidade do Brotli CVE-2026-111497 (Node2Shell): como verificar Node.js, Python e .NET, e o que atualizar
Em 21 de outubro de 2026 (horário dos EUA), o Google publicou o Brotli 1.2.1, 1.1.1 e 1.0.10 para corrigir a CVE-2026-111497, uma escrita fora dos limites na biblioteca oficial do Brotli. São afetados o Brotli 1.0.3–1.0.9, 1.1.0 e 1.2.0. Descomprimir dados Brotli manipulados pode corromper a memória e causar travamentos, exposição de memória ou, potencialmente, execução de código arbitrário. O Google atribui nota 9,2 no CVSS v4.0. O Node.js lançou 22.23.4, 24.22.1 e 26.12.1 no mesmo dia, e em 22 de outubro os pacotes do PyPI foram corrigidos no brotli 1.2.1 e no brotlicffi 1.2.1.0. A Microsoft publicou correções para o .NET 8, 9 e 10 (8.0.33, 9.0.22, 10.0.14) em 25 de outubro (horário dos EUA), e o Bun (1.4.4) e o Envoy também lançaram correções. O JPCERT/CC, a equipe de resposta a emergências de computador do Japão, emitiu em 26 de outubro um alerta que menciona os apelidos Node2Shell e HTTP2Shell. Muitos programas carregam a própria cópia do Brotli, então atualizar a biblioteca do sistema operacional não corrige as cópias dentro das builds oficiais do Node.js, dos wheels do Python vindos do PyPI, das imagens de contêiner ou dos executáveis de arquivo único. Em 27 de outubro (horário dos EUA), a CISA a adicionou ao seu catálogo de vulnerabilidades exploradas conhecidas (KEV), citando evidências de exploração ativa, e deu às agências federais dos EUA até 10 de novembro para corrigi-la. A CISA não publicou detalhes. Uma empresa de inteligência de ameaças relatou ter visto tráfego de exploração contra o Node.js 24.22.0, embora esse tráfego tenha falhado no teste da própria empresa, e a Microsoft ainda marca a falha como não explorada. Veículos de imprensa relatam que código de prova de conceito foi publicado. Conclusão deste site: se um serviço em Node.js, Bun, Python ou .NET descomprime dados recebidos de fora, atualize-o hoje sem esperar uma janela de manutenção e depois reconstrua contêineres e executáveis. Sites WordPress e PHP: empresas de segurança explicam em 2 de novembro que não é uma falha do núcleo do WordPress, dos plugins nem dos temas, então atualizar o WordPress não a corrige. O WordPress não inclui o Brotli e usa a biblioteca do sistema operacional, então atualize o pacote libbrotli do SO, reconstrua os contêineres e reinicie depois o PHP-FPM ou o Apache (a reinicialização é um acréscimo nosso). Uma empresa reproduziu em laboratório a execução de código por meio de pingbacks do XML-RPC e diz que, em 2 de novembro, não encontrou nenhum relato público de um site WordPress realmente comprometido.
Vulnerabilidade CVE-2026-110447 no servidor CODE integrado do Nextcloud Collabora explorada: quem é afetado e o que fazer
Em 14 de outubro de 2026, os desenvolvedores do Collabora Online divulgaram a CVE-2026-110447, uma vulnerabilidade de injeção de comando do sistema operacional, sem autenticação, no app do Nextcloud Collabora Online - Built-in CODE Server (ID do app richdocumentscode). Por meio do proxy.php do app, comandos podem ser executados como o usuário do servidor web. A condição é que o servidor CODE integrado não esteja em execução, o que pode acontecer após reinicialização de contêiner, atualização ou falha. Versões anteriores à 26.4.303 são afetadas; a 26.4.303 foi lançada em 11 de setembro. Os desenvolvedores afirmam que desativar o app não impede o problema e pedem que os usuários atualizem ou removam o app. No Nextcloud 29 e versões anteriores, que já não recebem suporte, atualize o Nextcloud ou remova o app. Os desenvolvedores afirmam que servidores Collabora Online independentes, imagens Docker, pacotes RPM/DEB e Nextcloud All-in-One não são afetados. A pontuação CVSS v4.0 é 9,2. A CISA incluiu a falha em seu catálogo Known Exploited Vulnerabilities (KEV) em 23 de outubro, com prazo em 26 de outubro. Usuários relataram ataques a partir de cerca de 10 de setembro no repositório dos desenvolvedores e, segundo reportagens da imprensa, web shells foram plantados. Conclusão deste site: se o app CODE integrado estiver instalado, mesmo desativado, verifique a versão hoje, atualize ou remova o app e depois procure sinais de comprometimento desde 10 de setembro.
GitLab CVE-2026-110264 (CVSS 10.0) e a CVE-2026-97229 explorada: como verificar e atualizar um GitLab self-managed
Em 21 de outubro de 2026, o GitLab lançou as versões de correção crítica 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13 para a Community Edition (CE) e a Enterprise Edition (EE). A falha mais grave, a CVE-2026-110264 (CVSS 10.0), é um estouro de inteiro ao compilar uma expressão regular especialmente elaborada que, sob certas condições, poderia permitir que um usuário não autenticado executasse código arbitrário no servidor GitLab. Quase todas as versões a partir da 7.0 são afetadas. Em 29 de outubro, a CISA incluiu uma falha irmã, a CVE-2026-97229 (CVSS 10.0, CWE-190), em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com prazo até 1º de novembro. É o mesmo tipo de bug (um estouro de inteiro no compilador de expressões regulares de CI/CD, alcançável por um usuário não autenticado); o GitLab a corrigiu antes, em 12 de outubro, nas versões 19.4.2, 19.3.5 e 19.2.8, e ela afeta apenas 19.2.0 a 19.2.7, 19.3.0 a 19.3.4 e 19.4.0 a 19.4.1. Quem ainda está abaixo da 19.4.2, 19.3.5 ou 19.2.8 está exposto a uma falha explorada. Atualizar para as versões recomendadas aqui (19.5.1, 19.4.3, 19.3.6, 19.2.9) também corrige a CVE-2026-97229. O GitLab.com já está corrigido; instalações self-managed precisam ser atualizadas. A mesma versão de 21 de outubro corrige duas falhas de gravidade Alta (CVSS 8.2 e 7.5) e outras, mas essas correções só chegam nas linhas 19.3.6, 19.4.3 e 19.5.1. A causa raiz está no motor de expressões regulares do Ruby (Onigmo), e o Ruby lançou 4.0.9, 3.4.12 e 3.3.13 em 23 de outubro. Aplicações que compilam uma regexp a partir de strings controladas pelo atacante são afetadas, e o Regexp.timeout não protege contra os bugs. Os avisos do GitLab não dizem que a CVE-2026-110264 tenha sido explorada, e ela não consta no KEV em 30 de outubro. A Alpine Linux relatou uma tentativa de ataque contra o seu próprio GitLab pela CVE-2026-97229 em 20 e 21 de outubro, e que atualizar apenas o GitLab (para a 19.3.6) não fechou a falha porque a correção também exigia um Ruby corrigido; reconstruiu a instância e não encontrou evidência de que código do invasor tenha sido executado. Conclusão deste site: atualize o GitLab self-managed hoje, após verificar as paradas obrigatórias de atualização, chegue à 19.3.6 ou posterior e, se você mesmo compila o GitLab ou usa seu próprio Ruby, confira que esse Ruby também seja 3.3.13, 3.4.12 ou 4.0.9 ou posterior. Aplicações Ruby devem migrar para um Ruby corrigido e parar de montar regexps a partir de entrada do usuário.
VeloCloud Orchestrator CVE-2026-114625 explorada: versões corrigidas e o que verificar
Em 22 de outubro de 2026, a Arista divulgou a CVE-2026-114625, uma vulnerabilidade de injeção de SQL (CVSS v4.0 9.4, v3.1 9.9) na edição local (on-premises) do VeloCloud Orchestrator (VCO), sua plataforma de gerenciamento de SD-WAN. A Arista diz que detectou o problema e que ele é conhecido por ser explorado ativamente. Qualquer usuário autenticado, até o papel de locatário integrado de menor nível (Enterprise Read Only), pode obter privilégios de operador e se passar por um operador superusuário local. As versões corrigidas são 5.2.3.18, 6.1.3.10 e 6.4.2.12. O comunicado diz que as versões não listadas não são vulneráveis; a linha 7.0 não está listada, e nenhum motivo é informado. O VCO hospedado, incluindo o Dedicated, já foi corrigido. A CISA incluiu a falha em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) em 23 de outubro, com prazo até 26 de outubro. É a terceira falha explorada do VCO em três meses, depois da CVE-2026-16812 em julho (injeção de comandos do sistema operacional, sem autenticação, CVSS 10.0) e da CVE-2026-93952 em setembro (validação de entrada inadequada, sem autenticação, CVSS v3.1 10.0). Conclusão deste site: organizações que executam o VCO on-prem devem migrar hoje para a versão corrigida mais recente de sua linha, restringir a interface de gerenciamento a redes administrativas confiáveis e preservar os logs e verificar se houve comprometimento antes de atualizar.
Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026: Ivanti, PAN-OS, FortiOS, Cisco
Entre 13 e 16 de outubro de 2026, a CISA adicionou ao seu catálogo Known Exploited Vulnerabilities (KEV) quatro vulnerabilidades em dispositivos de borda amplamente utilizados (equipamentos que ficam no limite entre uma rede e a internet): Ivanti Connect Secure CVE-2026-104935 (bypass de autenticação, sem necessidade de login, CVSS 8.6), Palo Alto Networks PAN-OS CVE-2026-0322 (execução de código na interface de gerenciamento, exige login com privilégio elevado, CVSS v4.0 8.6), Fortinet FortiOS e produtos relacionados CVE-2025-61624 (path traversal, exige login de administrador, CVSS 6.0) e Cisco Secure Email Gateway CVE-2026-76519 (gravação arbitrária de arquivos, sem necessidade de login, CVSS 9.8). O Atlassian Data Center CVE-2026-21589 (leitura de arquivos, sem necessidade de login) foi adicionado em 15 de outubro. Todos os prazos federais já passaram. Conclusão deste site: se você usa algum desses cinco produtos, atualize hoje para uma versão corrigida, restrinja o acesso de gerenciamento às redes administrativas e verifique se houve comprometimento antes de atualizar.
Chaves de CA intermediária da eMudhra (emSign) comprometidas: o que usuários de Python precisam fazer com pip, certifi e uv
Em 17 de outubro de 2026, um relatório mostrou que as chaves privadas de oito certificados intermediários da autoridade certificadora indiana eMudhra (seis para TLS) haviam sido geradas de forma tão inadequada que qualquer pessoa poderia recuperá-las. A eMudhra revogou todos os oito em 18 de outubro, e Chrome e Firefox os bloquearam em 17 de outubro por meio de seus mecanismos de envio. Em 20 de outubro a Mozilla decidiu uma remoção emergencial de confiança na raiz superior, emSign ECC Root CA - G3, e o Chrome a removerá em 27 de outubro (horário do Pacífico). Os navegadores estão protegidos, mas clientes TLS fora do navegador podem confiar em certificados forjados até que sua própria cópia da lista de CAs seja atualizada. No Python, o pip sempre carrega seu certifi incorporado, portanto um pip antigo continua exposto mesmo após a correção do repositório do sistema operacional. Os projetos Python publicaram um aviso em 20 de outubro (atualizado até 22 de outubro) pedindo que os usuários atualizem para pelo menos certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 e pixi 0.82.1 e que reconstruam imagens de contêiner sem o cache de camadas. Em 21 de outubro lançaram Python 3.15.1, 3.14.9 e 3.13.17 com pip 26.2.2. Não haverá versão 3.11 ou 3.12 com um pip mais novo. Isto não é um bug de execução de código no CPython: um invasor na rota da rede poderia redirecionar conexões ao PyPI, python.org e outros sites para um servidor falso. Nenhuma exploração havia sido anunciada até 24 de outubro. Em 22 de outubro a eMudhra disse que vai deixar o negócio global de certificados SSL/TLS. A visão deste site: atualize o pip para 26.2.2 ou posterior e o certifi para 2026.10.19 ou posterior em todos os ambientes, reconstrua imagens Docker sem o cache e eleve quaisquer fixações de certifi em lockfiles.
SiteGuard Server Edition CVE-2026-106931 explorada: quem é afetado e o que fazer
Em 14 de outubro de 2026, a EG Secure Solutions divulgou a CVE-2026-106931, uma vulnerabilidade de injeção de comandos do SO no recurso de estatísticas do SiteGuard Server Edition, seu firewall de aplicações web (WAF) baseado em host, e afirmou que a exploração já foi confirmada. A exploração pode permitir a execução de comandos arbitrários do SO com privilégios de root ou SYSTEM no servidor que executa o produto. São afetadas as versões Ver2.20 e posteriores com o recurso de estatísticas ativado (ele vem ativado por padrão): as edições Apache, Nginx e IIS anteriores à Ver8.00 Update5, e as edições FreeBSD Apache e Nginx anteriores à Ver7.00 Update6. A edição IIS da Ver3.10 até a Ver4.00 Update4 não é afetada. As correções são a Ver8.00 Update5 e a Ver7.00 Update6; para sistemas que não podem ser atualizados, há um patch disponível, inclusive para versões sem suporte. O fornecedor classifica a falha como de vetor de ataque local, com privilégios baixos necessários (CVSS v3.0 7,8; v4.0 8,5). O JPCERT/CC emitiu um alerta, dizendo ter confirmado que o produto é amplamente usado no Japão, e que desativar o recurso de estatísticas evita o problema. A CISA incluiu a falha em seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) em 20 de outubro, com prazo até 23 de outubro. Conclusão deste site: se você usa o Server Edition, verifique hoje a versão e o recurso de estatísticas, salve os dados de diagnóstico antes de atualizar e depois aplique a versão corrigida ou o patch.
[Urgente] Falhas do PHP CVE-2026-109618 e CVE-2026-109619 já estão sendo exploradas e entram no catálogo KEV da CISA: atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 agora
Em 21 de outubro de 2026, a equipe de segurança do PHP lançou o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, corrigindo duas vulnerabilidades críticas que podem permitir execução remota de código (RCE) sem autenticação, e pediu que todos os usuários atualizem imediatamente. O CVE-2026-109618 envolve o tratamento de falta de memória (out-of-memory), e o CVE-2026-109619 envolve estado interno obsoleto que sobrevive entre requisições; ambos têm nota 9,2 no CVSS v4.0. Todas as instalações do PHP que atendem requisições web estão em risco (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). A equipe considera o mod_php o de maior risco, citando um exploit demonstrado em que uma requisição sem autenticação dispara o ataque antes de qualquer código da aplicação ser executado. O PHP 8.1 e versões anteriores não recebem atualização oficial; a equipe disponibilizou backports mínimos de código-fonte para 7.4, 8.0 e 8.1. As distribuições Linux receberam os patches antecipadamente. Não há mitigação completa; atualizar é a única escolha segura. Em 22 de outubro, o IPA e o JPCERT/CC do Japão emitiram alertas, e a JVN publicou a JVNVU#99905564. A CISA, que não havia observado exploração quando publicou seu alerta pela primeira vez, incluiu as duas falhas no catálogo Known Exploited Vulnerabilities (KEV) em 26 de outubro, com prazo até 29 de outubro para as agências civis federais dos EUA. Segundo reportagens da mídia, honeypots de um pesquisador de segurança rodando o PHP 8.4.26 sem patch sob mod_php registraram execução remota de código bem-sucedida em 24 de outubro. Os honeypots de um grande provedor de nuvem já haviam registrado tentativas de exploração a partir de 17 de outubro, quatro dias antes da divulgação. Até onde este site conseguiu verificar, nenhuma invasão fora de honeypots havia se tornado pública até 27 de outubro. A maioria dos grandes provedores de hospedagem compartilhada do Japão anunciou que a correção foi aplicada, mas alguns, como a KAGOYA, ainda não. Em 23 de outubro, a equipe do PHP divulgou uma terceira questão (CVE-2026-115560) que os lançamentos de 21 de outubro não corrigem. Ela pode levar à execução de código somente com uma combinação específica de configuração e código da aplicação; a equipe considera isso improvável na prática, vai distribuir a correção e um aviso completo com a próxima versão regular, e recomenda definir session.upload_progress.enabled=0 até lá. As versões afetadas e uma pontuação CVSS não foram publicadas, e nenhuma exploração foi relatada. Até 29 de outubro (verificado no php.net), não havia versão com correção para essa questão. Em 28 de outubro, a CISA incluiu também no KEV a falha do kernel do Linux CVE-2026-46300 (prazo em 31 de outubro para as agências federais dos EUA) e disse que ela pode ser encadeada com estas duas falhas para implantar webshells de PHP e executar comandos como root. A visão deste site: a exploração já está confirmada, então confirme se você ou seu provedor atualiza o PHP de cada site e migre para a versão corrigida hoje. Verifique também os logs a partir de 17 de outubro em busca de sinais de invasão. Na hospedagem compartilhada, verifique o aviso de conclusão do seu provedor no site oficial.
Vazamento em massa do MOVEit (2023) — como um zero-day de SQL injection alcançou mais de 2.700 organizações, e como se defender
A entrada foi um zero-day de SQL injection (CVE-2023-34362) no MOVEit Transfer, exposto à internet. Um web shell (LEMURLOOT) foi plantado e dados foram roubados em massa do banco de dados de retaguarda, atingindo mais de 2.700 organizações e cerca de 93,3M de pessoas. A maioria das vítimas foi arrastada indiretamente porque um fornecedor usava o MOVEit. No seu ambiente: patch rápido de KEV, minimizar a exposição, menor privilégio e segmentação entre web↔DB, inventário de fornecedores e minimização de dados.
O que é CORS — como funciona e o que uma configuração incorreta expõe
O CORS é como o navegador controla se o JS de outra origem pode ler as respostas da sua API. Uma configuração incorreta — refletir qualquer Origin, ou Access-Control-Allow-Origin:* com credenciais — deixa um site de terceiros ler dados de um usuário logado. A defesa básica: uma lista de permissões, não refletir a Origin cegamente, negar por padrão.
O que é session fixation — fazer a vítima logar com um ID que o invasor já conhece
Session fixation faz a vítima usar um ID de sessão conhecido pelo invasor e então se passa por ela depois que ela loga com esse ID. A defesa principal: regenerar o ID de sessão no login (e na mudança de privilégio). Não aceite IDs da URL e defina HttpOnly/Secure/SameSite nos cookies.
O que é clickjacking? Um ataque que faz você clicar em botões de uma página transparente sobreposta a outra
O clickjacking sobrepõe seu site real de forma invisível sobre a página do atacante para que o usuário execute uma ação não intencional (transferência, mudança de configuração, consentimento). A defesa principal é recusar ser colocado em frame: CSP frame-ancestors mais X-Frame-Options.
O que é IDOR: uma falha que expõe os dados de outras pessoas quando um ID é trocado
O IDOR permite que um usuário troque ?id=124 por 125 e leia a fatura ou os dados pessoais de outra pessoa — controle de acesso quebrado. A defesa principal: no servidor, verificar a cada acesso se o usuário logado tem permissão sobre este objeto. IDs difíceis de adivinhar não são uma correção.
O que é open redirect: uma falha que encaminha usuários da sua URL confiável para outro site
Um open redirect permite que um parâmetro do tipo ?next= encaminhe usuários para qualquer site externo, tomando emprestada a confiança do seu domínio para phishing. A defesa principal: nunca aceitar URLs externas como destino de redirecionamento; use apenas caminhos relativos e uma allowlist.
O que é path traversal — ler arquivos que o servidor jamais deveria servir, via ../
Path traversal mistura ../ em um campo de nome de arquivo para escapar do diretório base e ler/escrever .env, configurações ou chaves. A defesa principal: nunca use entrada do usuário como caminho de arquivo cru, e normalize-então-confine dentro de um diretório base permitido.
O que é CSRF (Cross-Site Request Forgery): um ataque que faz um usuário logado enviar requisições que ele não pretendia
O CSRF faz o navegador de um usuário logado enviar uma ação não intencional, abusando do hábito do navegador de anexar cookies automaticamente. A defesa principal são tokens CSRF mais cookies SameSite. Nunca use GET para mudanças de estado.
O que é injeção de SQL (SQLi): uma falha que deixa a entrada reescrever os comandos do seu banco de dados
SQLi é quando a entrada é lida como 'parte do comando' em vez de dado, mudando o significado de uma consulta e levando diretamente a ler/alterar/apagar. A defesa principal é parar de concatenar SQL em strings e passar valores via placeholders (prepared statements).
O que é XSS (Cross-Site Scripting): uma falha que roda o script de um invasor no navegador de outro usuário
XSS faz uma string fornecida pelo invasor rodar 'como script' no navegador de outro usuário, levando diretamente a roubo de sessão e personificação. A defesa principal é escapar na saída. Não desabilite o auto-escape do seu framework.
O que é um CVE? Como funciona o sistema compartilhado de identificação de vulnerabilidades
Um CVE é um identificador globalmente compartilhado de uma vulnerabilidade (por exemplo, CVE-2025-12345). CVE = o nome, CVSS = a severidade, KEV = está sendo explorada. É a âncora do monitoramento. Acompanhe-o com máquinas, não na mão.
O que é CVSS? A pontuação de severidade de vulnerabilidades e como ela é calculada
O CVSS classifica a severidade de 0.0 a 10.0. A pontuação é calculada a partir de métricas definidas (vetor de ataque, complexidade, privilégios, interação do usuário, escopo, impacto CIA) por uma fórmula pública — não um palpite. Conheça o critério e você consegue ler o que um 10.0 significa. Ainda assim, priorize com o KEV (está sendo explorada) e se você o usa.
O que é RCE (execução remota de código) — por que é a pior classe de falha
RCE permite que um invasor rode código arbitrário no seu servidor — direto para a tomada de controle, a pior classe. Até onde o dano se espalha é definido pelos privilégios do processo em execução. As defesas centrais são patches rápidos, monitoramento de CVE e privilégio mínimo.
O que é SSRF (Server-Side Request Forgery)
SSRF abusa de URLs vindas de entrada externa para fazer um servidor acessar recursos internos (IPs internos, metadados de nuvem). Se você busca URLs, precisa de uma allowlist de destinos, bloqueio de alvos internos e proteção contra contornos por redirecionamento/DNS rebinding. Foi a causa do vazamento da Capital One.
Vazamento da Equifax (2017) — como uma falha não corrigida no Apache Struts expôs 147M de pessoas
A causa foi um CVE conhecido e já corrigido (CVSS 10.0) deixado sem aplicar em um sistema público. Um certificado de monitoramento expirado ocultou a exfiltração por 76 dias. No seu ambiente: inventário de ativos, um SLA de patch, monitoramento por máquina e detecção saudável.
Heartbleed (CVE-2014-0160) — um bug do OpenSSL que vazava a memória do servidor
A leitura excessiva de memória do OpenSSL podia vazar chaves privadas e sessões. A causa: o servidor confiava num comprimento alegado e lia a memória adjacente. A lição: aja como se tudo tivesse vazado (reemita certificados, rotacione todos os segredos), monitore bibliotecas de base amplamente usadas e valorize a segurança de memória.
Log4Shell (CVE-2021-44228) — uma falha numa biblioteca de logs, e por que as equipes não conseguiam saber rápido se a usavam
O bug CVSS 10.0 do Log4j. O problema central era a dependência transitiva: ser afetado por uma biblioteca que você nem sabia que usava. Um caminho passivo de logs virou vetor de ataque. SBOM, monitoramento por máquina, patch rápido e acompanhar os CVEs de continuação são as lições.
O backdoor do XZ Utils (CVE-2024-3094) — um ataque à cadeia de suprimentos feito por um co-mantenedor confiável
Um mantenedor confiável plantou um backdoor no xz, num ataque à cadeia de suprimentos. Um engenheiro notou que os logins estavam lentos e o encontrou pouco antes das versões estáveis. O alvo não era o código; eram as pessoas e a confiança. Minimize dependências, fixe versões, faça builds reprodutíveis, persiga anomalias e apoie os mantenedores.