Boletim diário · 19 de agosto de 2026
Cisco, WordPress e Joomla concentram múltiplas CVEs 10.0 em dia sem exploração ativa confirmada
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — calmo
O dia 19 de agosto de 2026 registrou um volume expressivo de vulnerabilidades críticas — 101 entre 664 novas publicações —, mas sem nenhum caso de exploração ativa confirmada ou arma pronta identificada. O destaque vai para um conjunto de falhas CVSS 10.0 em produtos Cisco, no plugin WordPress W3 Total Cache e em extensões populares do Joomla, todas divulgadas nesta data. Embora o veredito do dia seja calmo em termos de exploração, a concentração de falhas máximas em infraestruturas amplamente utilizadas exige atenção imediata das equipes de patch management.
Resumo do dia
- Cinco CVEs CVSS 10.0 afetam produtos Cisco (Secure Workload e Crosswork Planning), com falhas de controle de acesso, autenticação e injeção de comandos
- W3 Total Cache no WordPress tem falha crítica que permite escrita arbitrária de arquivos por atacantes não autenticados, com prova de conceito disponível
- Três extensões Joomla (J-BusinessDirectory, Zoo e Balbooa Forms) recebem CVEs 10.0 envolvendo upload arbitrário e injeção de código PHP pré-autenticada
- Nenhuma exploração ativa ou módulo Metasploit confirmado no dia — monitoramento preventivo é a postura recomendada
Destaques críticos
1
O plugin W3 Total Cache (antes da versão 2.10.5) permite que atacantes não autenticados escrevam arquivos em qualquer diretório do servidor, inclusive fora do web root; em servidores Apache, a falha pode sobrescrever o .htaccess e derrubar o site. Uma prova de conceito já está disponível, o que eleva o risco de armamento a curto prazo.
2
A solução OZOLS para Windows possui um canal de atualização automática comprometido — domínio abandonado — combinado com download sem verificação de integridade e transmissão de dados sensíveis em texto claro, permitindo que um atacante substitua atualizações legítimas por código malicioso em toda a cadeia de atualização.
3
O Cisco Secure Workload apresenta falhas de controle de acesso impróprio que podem permitir acesso não autorizado a funcionalidades críticas da plataforma de segmentação de workloads; o patch foi gerado a partir de revisão interna da própria Cisco, indicando ausência de exploração relatada até o momento.
4
Também no Cisco Secure Workload, esta CVE cobre problemas de autenticação imprópria que, explorados, podem permitir que um agente mal-intencionado contorne mecanismos de autenticação e assuma controle de componentes críticos da plataforma.
5
O Cisco Crosswork Planning sofre de ausência de autenticação para funções críticas, expondo a plataforma de planejamento de rede a operações não autorizadas por qualquer atacante com acesso de rede ao serviço afetado.
6
Outra falha no Cisco Crosswork Planning envolve controle externo do sistema de arquivos, o que pode permitir leitura ou manipulação de arquivos sensíveis da aplicação por um atacante sem credenciais válidas.
7
A terceira CVE 10.0 no Cisco Crosswork Planning trata de neutralização imprópria de elementos especiais — essencialmente injeção de comandos —, o que em ambientes de rede crítica pode resultar em execução remota de código e comprometimento total da plataforma.
8
A extensão J-BusinessDirectory para Joomla (antes da 6.2.3) permite upload e exclusão arbitrária de arquivos via path traversal, com validação de extensão fraca e ausência de token CSRF, possibilitando que qualquer usuário não autenticado manipule o sistema de arquivos da aplicação.
9
A extensão Zoo para Joomla (antes da 4.1.64) aceita upload de arquivos arbitrários sem autenticação quando o Content-Type fornecido pelo cliente se enquadra no grupo de imagens MIME, abrindo caminho direto para upload de webshells e execução remota de código.
10
A extensão Balbooa Forms para Joomla (antes da 2.4.3.2) executa PHP arbitrário via eval() em um handler de pós-submissão, substituindo parâmetros de URL sem sanitização — um atacante não autenticado pode injetar código PHP diretamente e obter execução remota completa no servidor.
Ransomware do dia
Recentemente, dois alvos brasileiros foram identificados como vítimas de ransomware: a Prefeitura Municipal de Arcos, no setor de Governo e Defesa, reivindicada pelo grupo emperador, e a Vermont XCenter, atribuída ao grupo DragonForce. Entre os grupos mais ativos nos últimos 30 dias com foco no Brasil, destacam-se Section9 (6 vítimas brasileiras), thegentlemen (5) e Global Secret Group (4), evidenciando uma pressão persistente sobre organizações nacionais.
Prefeitura Municipal de Arcos BRemperador · Government & Defense
Vermont XCenter BRdragonforce
Section9 6thegentlemen 5Global Secret Group 4L Group 2direwolf 2emperador 1
Grupos e APTs ativos
Grupos como kazu, kelvinsecurity, krybit, lamashtu, linkc e o iraniano blackshadow aparecem no radar de inteligência de ameaças recentemente, embora sem vítimas confirmadas publicamente até o momento. A presença do blackshadow, de origem iraniana, merece monitoramento contínuo dado o histórico do grupo em operações de espionagem e destruição de dados em alvos de interesse geopolítico.
Foco Brasil
O Brasil segue como alvo prioritário de múltiplos grupos de ransomware e agentes de ameaça nos últimos 30 dias. Entre as vítimas recentes estão a TOTVS (Tecnologia, grupo direwolf), VR Advogados (Serviços Profissionais, grupo Barracuda), Vector Two Technology e Megalaser Indústria Metalúrgica (ambas pelo thegentlemen), além de Chat Jurídico (direwolf) e tecnoabi.com (m3rx) — um espectro amplo que abrange governo, tecnologia, indústria e serviços jurídicos.
Prefeitura Municipal de Arcosemperador · Government & Defense
Vermont XCenterdragonforce
TOTVSdirewolf · Technology
VR AdvogadosBarracuda · Professional Services
tecnoabi.comm3rx · Technology
Vector Two Technologythegentlemen · Technology
Megalaser Industria Metalurgica LTDAthegentlemen · Manufacturing
Chat Jurídicodirewolf · Professional Services
Recomendação do dia: Equipes de segurança devem priorizar a aplicação imediata dos patches do Cisco Secure Workload, Crosswork Planning, W3 Total Cache e das extensões Joomla afetadas, com atenção especial às instâncias expostas à internet. A existência de prova de conceito para CVE-2026-18051 torna o patch do W3 Total Cache o item mais urgente para ambientes WordPress em produção.
Dado o volume de falhas máximas publicadas hoje em plataformas de uso amplo, é o momento ideal para validar ativamente quais dessas superfícies existem no seu ambiente antes que alguma delas seja armada.Saber que a falha existe é metade do trabalho; a outra metade é saber se ela te afeta. Comece com um teste de exposição sem custo inicial.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →