Boletim diário · 30 de julho de 2026
Dia calmo com 32 CVEs críticos: Azure Cosmos DB, Plesk e Langflow no topo das prioridades
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — calmo
O boletim de 30 de julho de 2026 registra um dia tecnicamente calmo — sem explorações ativas confirmadas e sem exploits armados — mas com um volume expressivo de 32 vulnerabilidades críticas publicadas, várias delas de gravidade máxima. Destaque para falhas em Azure Cosmos DB (CVSS 10.0), Plesk, Langflow OSS e IBM HMC, que demandam atenção imediata de equipes de infraestrutura e desenvolvimento. O cenário exige monitoramento rigoroso mesmo sem exploração ativa declarada, pois CVEs críticos recém-publicados costumam ser armados rapidamente.
Resumo do dia
- CVE-2026-66803 no Azure Cosmos DB tem CVSS 10.0 — execução de código remota sem autenticação, prioridade máxima para ambientes em nuvem.
- Plesk e Langflow OSS concentram três CVEs com CVSS 9.9, incluindo injeção de SQL e execução arbitrária de código.
- IBM HMC e webMethods Integration permitem execução de comandos sem autenticação — risco direto para ambientes de mainframe e integração empresarial.
- No Brasil, Global Secret Group e Section9 estão ativos: SPDM (saúde) e Sinop Energia (energia) figuram entre vítimas recentes de ransomware.
Destaques críticos
1
Controle de acesso impróprio no Azure Cosmos DB permite execução de código sobre a rede sem autenticação, com CVSS 10.0 — a falha de maior gravidade do dia; equipes que utilizam o serviço devem verificar imediatamente configurações de rede e aplicar mitigações disponíveis.
2
Injeção de SQL na API XML-RPC do Plesk possibilita que um usuário autenticado com baixo privilégio leia dados arbitrários do banco e comprometa completamente o painel de controle — ambientes de hospedagem com Plesk exposto devem ser priorizados.
3
Injeção de código arbitrário no Langflow OSS (versões 1.0.0 a 1.10.0) via controle inadequado de entrada do usuário representa risco crítico em plataformas de IA e automação baseadas nesse framework; atualização imediata é necessária.
4
Validação de entrada inadequada no sandbox PythonREPL do Langflow OSS (até 1.10.1) pode ser explorada para escapar do ambiente isolado e executar código no sistema subjacente — afeta diretamente pipelines de IA em produção.
5
O plugin WordPress Admin and Site Enhancements (ASE) Pro até a versão 8.9.0 permite execução remota de código sem autenticação real, pois o handler de salvamento usa apenas um nonce público e o CAPTCHA pode ser contornado — sites WordPress com este plugin devem atualizar com urgência.
6
Implementação falha de SSO SAML no Rocket.Chat (antes das versões corrigidas) permite que um atacante forje identidade e autentique como qualquer usuário ao enviar um documento XML manipulado com assinatura válida do IdP — ambientes corporativos com SSO ativo são os mais expostos.
7
O framework LazyOwn usa credenciais C2 padrão não alteradas ('LazyOwn/LazyOwn'), permitindo que qualquer atacante com acesso à rede autentique no painel de comando e controle com nível de operador — versões anteriores a 0.2.154 devem ser atualizadas imediatamente.
8
Handler Socket.IO sem autenticação no LazyOwn permite execução remota de comandos diretamente no processo C2 via shell=True — a combinação desta falha com a CVE-2026-68503 torna o framework completamente comprometível por qualquer atacante na rede antes da versão 0.2.154.
9
O IBM HMC (versões V10 e V11 afetadas) permite que um usuário não autenticado execute comandos arbitrários com privilégios elevados em ambientes IBM Power — o impacto potencial sobre infraestrutura crítica de mainframe é severo.
10
Desserialização de dados não confiáveis no IBM webMethods Integration (versões 10.15 e 10.11) permite execução remota de código sem autenticação — plataformas de integração empresarial expostas à rede devem ser corrigidas ou isoladas com urgência.
Ransomware do dia
O grupo Global Secret Group está entre os mais ativos no Brasil recentemente, tendo comprometido a SPDM, organização do setor de saúde, e a Sinop Energia, do setor de energia e utilities. Nos últimos 30 dias, o LockBit5 lidera em volume geral (23 vítimas, todas no Brasil), seguido por Section9 (6), incransom (4), Global Secret Group (4), Qilin (3) e Deadlock (3), evidenciando pressão ransomware intensa sobre o ecossistema brasileiro.
SPDM BRGlobal Secret Group · Healthcare
Sinop Energia BRGlobal Secret Group · Energy & Utilities
lockbit5 23Section9 6incransom 4Global Secret Group 4qilin 3Deadlock 3
Grupos e APTs ativos
Grupos como againstthewest, apt73, kazu, kelvinsecurity, krybit e coinbasecartel aparecem monitorados no período, embora sem vítimas formalmente confirmadas no momento. A presença de múltiplos atores rastreados simultaneamente indica atividade de reconhecimento ou operações ainda não atribuídas publicamente, reforçando a necessidade de monitoramento contínuo de ameaças emergentes.
Foco Brasil
O Brasil segue como alvo prioritário de grupos de ransomware: além de SPDM e Sinop Energia (Global Secret Group), o grupo Section9 comprometeu recentemente organizações nos setores financeiro, agrícola, tecnológico e outros, incluindo domínios .com.br e .ind.br. A concentração de ataques em setores críticos como saúde e energia eleva o nível de risco para infraestruturas nacionais e reforça a urgência de resposta a incidentes e segmentação de redes.
SPDMGlobal Secret Group · Healthcare
Sinop EnergiaGlobal Secret Group · Energy & Utilities
******.com.brSection9 · Other
Sinop EnergiaGlobal Secret Group · Energy & Utilities
*****.ind.brSection9 · Agriculture and Food Production
*****.com.brSection9 · Financial Services
****.com.brSection9 · Technology
********.com.brSection9
Recomendação do dia: Priorize imediatamente a aplicação de patches para CVE-2026-66803 (Azure Cosmos DB), CVE-2026-12943 (IBM HMC) e CVE-2026-12118 (IBM webMethods), e garanta que plugins WordPress com ASE Pro e instâncias Plesk expostas sejam atualizados antes do próximo ciclo de varredura de atacantes. Revise credenciais padrão em frameworks de red team e plataformas de IA como Langflow e LazyOwn em ambientes compartilhados ou com exposição à rede.
Mesmo em dias classificados como calmos, a quantidade de CVEs críticos recém-publicados reforça a importância de validar continuamente quais ativos da sua superfície de ataque estão realmente expostos antes que um exploit seja desenvolvido.Antes que um atacante encontre, encontre primeiro: faça uma avaliação inicial de exposição sem custo e veja se sua infraestrutura está vulnerável a falhas como estas.Conheça o Agente de Pentest Autônomo com IA →