Traduzido do inglês pela TechUpscale com ajuda de IA e verificado com o original. Ler o original em inglês
A National Vulnerability Database (NVD) publicou 8 CVEs classificadas como Críticas sob o CVSS v3 nas 26 horas anteriores a este relatório. As descrições abaixo são citadas diretamente da NVD. As pontuações são pontuações base da NVD ou CNA; sempre confirme com o alerta do fornecedor antes de priorizar.
Critical CVEs (NVD)
| CVE | CVSS | Descrição (NVD) |
|---|---|---|
| CVE-2026-97785 | 10 | Autenticação inadequada no AAD App Proxy permite que um atacante não autorizado eleve privilégios através de uma rede. |
| CVE-2026-83938 | 10 | Ausência de autenticação para função crítica no Azure Kubernetes Configuration Service permite que um atacante não autorizado eleve privilégios através de uma rede. |
| CVE-2026-110063 | 10 | Resolução inadequada de link antes do acesso a arquivo ('link following') no VM Inspector para Azure Virtual Machines permite que um atacante não autorizado eleve privilégios através de uma rede. |
| CVE-2026-115384 | 9.9 | O Wasmtime 39.0.0 anterior a 48.0.4 e 49.0.0 anterior a 49.0.2 contém uma vulnerabilidade de estouro de buffer de pilha que permite a guests maliciosos escreverem ~16KB na pilha nativa por meio de tipos de resultado de callback assíncrono não validados. Atacantes podem fornecer componentes com funções de callback component-model-async incorretamente tipadas para sobrescrever endereços de retorno, causando a parada do host ou a evasão da sandbox. |
| CVE-2026-115375 | 9.9 | O Incus 7.0.0 anterior a 7.0.2 e 7.1.0 anterior a 7.5.0 contém uma vulnerabilidade de travessia de diretório que permite a clientes capazes de criar instâncias escrever arquivos no host. A falha decorre de nomes de volumes personalizados dependentes não validados em arquivos index.yaml de backup de instâncias. Atacantes podem importar um backup de instância adulterado com sequências ../ em nomes de volumes dependentes para criar diretórios pertencentes ao root com conteúdo controlado, levando a… |
| CVE-2026-115377 | 9.9 | O Incus anterior a 6.0.7, 6.1.0 anterior a 7.0.2 e 7.1.0 anterior a 7.5.0 contém uma vulnerabilidade de escrita arbitrária de arquivos que permite que fontes de migração maliciosas escrevam arquivos no host implantando links simbólicos em volumes transferidos. Atacantes podem criar fluxos de recepção de rsync ou btrfs com um link simbólico como rootfs apontando para a raiz do host, escrevendo arquivos como root para o comprometimento total do host. |
| CVE-2022-51026 | 9.8 | O Bytebase 0.12.0 anterior a 1.0.1 contém uma vulnerabilidade de contorno de autenticação que permite a atacantes não autenticados fazerem login como qualquer usuário. A falha decorre da confiança na configuração do provedor GitLab fornecida pelo cliente no endpoint POST /api/auth/login/GITLAB_SELF_HOST. Atacantes podem definir instanceUrl para um servidor controlado por eles que retorna um usuário ativo com um e-mail escolhido. O Bytebase então emite tokens de sessão para esse pr… |
| CVE-2026-105014 | 9.1 | Neutralização inadequada de elementos especiais usados em um comando ('injeção de comando') no Azure Pipelines permite que um atacante não autorizado execute código através de uma rede. |
Novos alertas de CERTs e fornecedores
Debian
- DSA-6579-1 roundcube – atualização de segurança
- DSA-6580-1 erlang – atualização de segurança
- DSA-6578-1 aide – atualização de segurança
- DSA-6577-1 chromium – atualização de segurança
- DSA-6534-3 webkit2gtk – atualização de regressão
Canonical (Ubuntu)
- USN-8954-1: vulnerabilidade no zlib
- USN-8953-1: vulnerabilidade no OpenVPN
- USN-8952-1: vulnerabilidades no Tornado
Canadian Centre for Cyber Security
- Alerta de segurança do Splunk (AV26-1077)
- Alerta de segurança da Atlassian (AV26-1076)
- Alerta de segurança do Roundcube (AV26-1075)
- Alerta de segurança do GitLab (AV26-1074)
CISA
Microsoft MSRC
- CVE-2026-83938 Vulnerabilidade de elevação de privilégio no Azure Kubernetes Configuration Service
- CVE-2026-96185 Vulnerabilidade de execução remota de código no Microsoft Exchange Online
- CVE-2026-110063 Vulnerabilidade de elevação de privilégio no VM Inspector para Azure Virtual Machines
- CVE-2026-97785 Vulnerabilidade de elevação de privilégio no AAD App Proxy
- CVE-2026-105014 Vulnerabilidade de execução remota de código no Azure Pipelines
- CVE-2026-108456 Vulnerabilidade de elevação de privilégio no Azure AI Foundry
- CVE-2026-96251 Vulnerabilidade de execução remota de código no Microsoft PowerShell
- CVE-2026-96303 Vulnerabilidade de contorno de recurso de segurança no Microsoft PowerShell
CERT-FR
- Múltiplas vulnerabilidades no GitLab (22 de outubro de 2026)
- Múltiplas vulnerabilidades no Node (22 de outubro de 2026)
- Múltiplas vulnerabilidades nos produtos Splunk (22 de outubro de 2026)
- Múltiplas vulnerabilidades nos produtos Cisco (22 de outubro de 2026)
- Vulnerabilidade nos produtos Mozilla (22 de outubro de 2026)
- Múltiplas vulnerabilidades no ISC BIND (22 de outubro de 2026)
- Múltiplas vulnerabilidades nos produtos SolarWinds (22 de outubro de 2026)
- Múltiplas vulnerabilidades no Oracle Database Server (21 de outubro de 2026)
- Múltiplas vulnerabilidades no Oracle MySQL (21 de outubro de 2026)
- Múltiplas vulnerabilidades no Oracle PeopleSoft (21 de outubro de 2026)
- Múltiplas vulnerabilidades no Oracle Java SE (21 de outubro de 2026)
- Múltiplas vulnerabilidades no Oracle Systems (21 de outubro de 2026)
- Múltiplas vulnerabilidades no Oracle Virtualization (21 de outubro de 2026)