Traduzido do inglês pela TechUpscale com ajuda de IA e verificado com o original. Ler o original em inglês
As 10 vulnerabilidades da última semana com as evidências mais fortes de ataques no mundo real, classificadas primeiro por essa evidência e segundo pela probabilidade de exploração. 10 são confirmadas ou relatadas como exploradas ativamente.
-
CVE-2026-109619 PHP Stale Internal Request-State Vulnerability
O PHP contém uma vulnerabilidade de estado de solicitação interna obsoleta (stale) que permite a execução remota de código sem autenticação. (CISA)
- Explorada ativamente: listada pela CISA em 26 de out.; agências federais dos EUA devem corrigi-la até 29 de out.
- VulnCheck KEV: relatada como explorada (listada em 21 de out.), 17 relatórios públicos.
- Código de exploit público: 49 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): >99,9% de chance de atividade de exploração nos próximos 30 dias, no top 1% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; controle total do sistema afetado.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
-
CVE-2026-109618 PHP Memory Corruption Vulnerability
O PHP contém uma vulnerabilidade de corrupção de memória por falta de memória (out-of-memory) que permite a execução remota de código sem autenticação. (CISA)
- Explorada ativamente: listada pela CISA em 26 de out.; agências federais dos EUA devem corrigi-la até 29 de out.
- VulnCheck KEV: relatada como explorada (listada em 21 de out.), 18 relatórios públicos.
- Código de exploit público: 68 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): >99,9% de chance de atividade de exploração nos próximos 30 dias, no top 1% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; controle total do sistema afetado.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
-
CVE-2026-111497 Google Brotli Unchecked Return Value Vulnerability
O Google Brotli contém uma vulnerabilidade de valor de retorno não verificado que permite a um atacante remoto não autenticado corromper a memória de estado do decodificador adjacente, divulgar conteúdos confidenciais de memória, causar uma negação de serviço ou potencialmente executar código arbitrário usando um fluxo compactado em Brotli manipulado. (CISA)
- Explorada ativamente: listada pela CISA em 27 de out.; agências federais dos EUA devem corrigi-la até 10 de nov.
- VulnCheck KEV: relatada como explorada (listada em 26 de out.), 3 relatórios públicos. Primeiro relatório: ellio.tech.
- Código de exploit público: 9 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): 55,5% de chance de atividade de exploração nos próximos 30 dias, no top 1% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; controle total do sistema afetado.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
-
CVE-2026-48356 Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability
O Adobe Commerce e o Magento contêm uma vulnerabilidade de carregamento não restrito de arquivos com tipos perigosos que pode resultar na execução arbitrária de código no contexto do usuário atual, obtendo potencialmente acesso elevado ou controle sobre a conta ou sessão da vítima. (CISA)
- Explorada ativamente: listada pela CISA em 27 de out.; agências federais dos EUA devem corrigi-la até 10 de nov.
- VulnCheck KEV: relatada como explorada (listada em 24 de out.), 2 relatórios públicos. Primeiro relatório: sansec.io.
- Código de exploit público: 1 exploit conhecido (VulnCheck KEV).
- Probabilidade (EPSS): 30,6% de chance de atividade de exploração nos próximos 30 dias, superior a 98% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; controle total do sistema afetado.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
-
CVE-2026-110447 Collabora Online – Built-in CODE Server OS Command Injection Vulnerability
O Collabora Collabora Online – Built-in CODE Server, quando utilizado na plataforma NextCloud, contém uma vulnerabilidade de injeção de comandos do SO que permite a execução remota de código quando o servidor CODE não está em execução. (CISA)
- Explorada ativamente: listada pela CISA em 23 de out.; agências federais dos EUA devem corrigi-la até 26 de out.
- VulnCheck KEV: relatada como explorada (listada em 14 de out.), 5 relatórios públicos. Primeiro relatório: github.com.
- Probabilidade (EPSS): 11,6% de chance de atividade de exploração nos próximos 30 dias, superior a 96% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; ataques podem ser automatizados; controle total do sistema afetado.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
-
CVE-2026-96654 Plex Media Server Improper Neutralization of Encoded URI Schemes in a Web Page Vulnerability
O Plex Media Server contém uma vulnerabilidade de neutralização inadequada de esquemas de URI codificados em uma página da web que pode permitir que um atacante chame funções de outros plugins e forneça seus próprios parâmetros. Esta vulnerabilidade pode ser encadeada com CVE-2026-96652, CVE-2026-96655 e CVE-2026-96656. (CISA)
- Explorada ativamente: listada pela CISA em 20 de out.; agências federais dos EUA devem corrigi-la até 23 de out.
- VulnCheck KEV: relatada como explorada (listada em 18 de out.), 2 relatórios públicos. Primeiro relatório: www.boredhackerblog.info.
- Código de exploit público: 3 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): 1,9% de chance de atividade de exploração nos próximos 30 dias, superior a 80% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; ataques podem ser automatizados; impacto parcial.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
-
CVE-2026-96656 Plex Media Server External Control of File Name or Path Vulnerability
O Plex Media Server contém uma vulnerabilidade de controle externo de nome de arquivo ou caminho que pode permitir que um usuário administrador escreva arquivos arbitrariamente que possam ser executados no carregamento. Esta vulnerabilidade pode ser encadeada com CVE-2026-96652, CVE-2026-96654 e CVE-2026-96655. (CISA)
- Explorada ativamente: listada pela CISA em 20 de out.; agências federais dos EUA devem corrigi-la até 23 de out.
- VulnCheck KEV: relatada como explorada (listada em 18 de out.), 2 relatórios públicos. Primeiro relatório: www.boredhackerblog.info.
- Código de exploit público: 3 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): 1,8% de chance de atividade de exploração nos próximos 30 dias, superior a 78% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; controle total do sistema afetado.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
-
CVE-2026-96652 Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability
O Plex Media Server contém uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) que pode permitir que um atacante usando qualquer valor X-Plex-Token inclua uma URL completa no parâmetro ‘protocol’ e force o servidor Plex a enviar um pedido POST para o destino escolhido pelo atacante. Esta vulnerabilidade pode ser encadeada com CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. (CISA)
- Explorada ativamente: listada pela CISA em 20 de out.; agências federais dos EUA devem corrigi-la até 3 de nov.
- VulnCheck KEV: relatada como explorada (listada em 18 de out.), 3 relatórios públicos. Primeiro relatório: www.boredhackerblog.info.
- Código de exploit público: 4 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): 1,8% de chance de atividade de exploração nos próximos 30 dias, superior a 79% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; impacto parcial.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
-
CVE-2026-96655 Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability
O Plex Media Server contém uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) que pode permitir que um usuário autenticado solicite endereços internos ou externos arbitrários através do parâmetro de caminho ‘/video/:/transcode/universal’. Esta vulnerabilidade pode ser encadeada com CVE-2026-96652, CVE-2026-96654 e CVE-2026-96656. (CISA)
- Explorada ativamente: listada pela CISA em 20 de out.; agências federais dos EUA devem corrigi-la até 3 de nov.
- VulnCheck KEV: relatada como explorada (listada em 18 de out.), 2 relatórios públicos. Primeiro relatório: www.boredhackerblog.info.
- Código de exploit público: 3 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): 1,6% de chance de atividade de exploração nos próximos 30 dias, superior a 76% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; impacto parcial.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
-
CVE-2026-106931 EG Secure Solutions SiteGuard Server Edition OS Command Injection Vulnerability
O EG Secure Solutions SiteGuard Server Edition contém uma vulnerabilidade de injeção de comandos do SO que pode permitir que um atacante execute comandos arbitrários do SO com privilégios root ou SYSTEM no sistema que executa o produto afetado. (CISA)
- Explorada ativamente: listada pela CISA em 20 de out.; agências federais dos EUA devem corrigi-la até 23 de out.
- VulnCheck KEV: relatada como explorada (listada em 14 de out.), 2 relatórios públicos. Primeiro relatório: www.eg-secure.co.jp.
- Probabilidade (EPSS): 2,5% de chance de atividade de exploração nos próximos 30 dias, superior a 85% de todas as CVEs.
- Avaliação da CISA (SSVC): exploração observada; não é facilmente automatizada; controle total do sistema afetado.
O que fazer (CISA): Aplique mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 Prioritizing Security Updates Based on Risk da CISA e com os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. Os interessados são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção da BOD 26-04.
Our analysis: what it is and how to fix it · NVD record and vendor links
Como classificamos
As evidências de que os atacantes estão a usar uma falha vêm em primeiro lugar: o catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA, o VulnCheck KEV e a própria avaliação SSVC da CISA. Em seguida, a probabilidade de ataque nos próximos 30 dias do Exploit Prediction Scoring System (EPSS) do FIRST, seguida da gravidade. Uma pontuação de alta gravidade por si só não coloca o item na lista. As falhas em sistemas de IA e ferramentas de agentes recebem maior peso porque são um alvo em rápido crescimento. Tudo aqui vem diretamente dessas fontes; nada é estimado por nós.
As pontuações do EPSS são provenientes do FIRST.org. Os relatórios de exploração marcados como VulnCheck KEV provêm do catálogo de Vulnerabilidades Conhecidas Exploradas do VulnCheck (dados © VulnCheck). Confirme sempre a versão corrigida no aviso do fornecedor.
