Traduzido do inglês pela TechUpscale com ajuda de IA e verificado com o original. Ler o original em inglês
As 3 vulnerabilidades da última semana com as evidências mais fortes de ataques no mundo real, classificadas primeiro por essas evidências e segundo pela probabilidade de exploração. 3 estão confirmadas ou relatadas como exploradas ativamente.
-
CVE-2026-46300 Vulnerabilidade de Falta de Inicialização de Variável no Kernel do Linux
O Kernel do Linux contém uma vulnerabilidade de falta de inicialização de variável que pode permitir a modificação não intencional de dados apoiados por cache de página devido à falha em preservar o marcador de fragmento compartilhado durante a coalescência de buffer de socket, fazendo com que o processamento de entrada ESP decodifique fragmentos compartilhados no local. Esta vulnerabilidade pode ser encadeada com o CVE-2026-109618 e CVE… (CISA)
- Explorado ativamente: listado pela CISA em 28 de out; agências federais dos EUA devem corrigi-lo até 31 de out.
- VulnCheck KEV: relatado como explorado (listado em 3 de ago), 5 relatórios. 86 dias antes da CISA. Primeiro relatório: go.crowdstrike.com.
- Código de exploração público: 4 exploits conhecidos (VulnCheck KEV).
- Probabilidade (EPSS): 10,2% de chance de atividade de exploração nos próximos 30 dias, superior a 96% de todos os CVEs.
- Avaliação da CISA (SSVC): exploração observada; não facilmente automatizada; controle total do sistema afetado.
O que fazer (CISA): Aplique as mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com as diretrizes da BOD 26-04 da CISA “Prioritizing Security Updates Based on Risk” e os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. As partes interessadas são responsáveis por avaliar a exposição à internet de cada ativo e garantir a adesão às diretrizes de correção da BOD 26-04.
-
CVE-2026-41709 Vulnerabilidade de Log Insuficiente no Broadcom VMWare ESX
O Broadcom VMWare ESX contém uma vulnerabilidade de log insuficiente que pode permitir que um ator malicioso com acesso de administrador execute determinadas operações sem ser registrado. (CISA)
- Explorado ativamente: listado pela CISA em 28 de out; agências federais dos EUA devem corrigi-lo até 11 de nov.
- VulnCheck KEV: relatado como explorado (listado em 27 de out), 2 relatórios. 1 dia antes da CISA. Primeiro relatório: www.crowdstrike.com.
- Probabilidade (EPSS): 0,30% de chance de atividade de exploração nos próximos 30 dias, superior a 22% de todos os CVEs.
- Avaliação da CISA (SSVC): exploração observada; não facilmente automatizada; impacto parcial.
O que fazer (CISA): Aplique as mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com as diretrizes da BOD 26-04 da CISA “Prioritizing Security Updates Based on Risk” e os “Requisitos de Triagem Forense” da CISA. Siga as orientações aplicáveis da BOD 26-04 para serviços em nuvem ou descontinue o uso do produto se as mitigações não estiverem disponíveis. As partes interessadas são responsáveis por avaliar a exposição à internet de cada ativo e garantir a adesão às diretrizes de correção da BOD 26-04.
-
CVE-2026-84999 Upload Irrestrito de Arquivo com Tipo Perigoso
O plugin Pie Register Premium para WordPress é vulnerável a Upload Irrestrito de Tipo de Arquivo em todas as versões até, e incluindo, 3.8.4.0 através da função piereg_file_upload. Isso ocorre porque o plugin realiza validação de tipo de arquivo através de wp_check_filetype e wp_check_filetype_and_ext, mas nunca verifica se essas chamadas de validação produziram erros antes de… (NVD, CVSS 9.8)
- VulnCheck KEV: relatado como explorado (listado em 27 de out), 1 relatório. Primeiro relatório: patchstack.com. Ainda não consta no catálogo da CISA.
- Probabilidade (EPSS): 0,48% de chance de atividade de exploração nos próximos 30 dias, superior a 42% de todos os CVEs.
- Avaliação da CISA (SSVC): nenhuma exploração conhecida; ataques podem ser automatizados; controle total do sistema afetado.
Nossa análise: o que é e como corrigir · Registro NVD e links do fornecedor
Como fazemos a classificação
As evidências de que os invasores estão usando uma falha vêm primeiro: o catálogo de Vulnerabilidades Conhecidas Exploradas da CISA (Known Exploited Vulnerabilities), o VulnCheck KEV e a avaliação SSVC da própria CISA. Em seguida, vem a probabilidade de ataque nos próximos 30 dias do Exploit Prediction Scoring System (EPSS) do FIRST, seguida pela gravidade. Uma pontuação de alta gravidade por si só não coloca o item na lista. As falhas em sistemas de IA e ferramentas de agentes recebem maior peso porque são alvos de crescimento rápido. Tudo aqui vem diretamente dessas fontes; nada é estimado por nós.
As pontuações do EPSS são da FIRST.org. Os relatórios de exploração marcados como VulnCheck KEV são do catálogo de Vulnerabilidades Conhecidas Exploradas da VulnCheck (dados © VulnCheck). Sempre confirme a versão corrigida no aviso do fornecedor.
