Boletim diário · 26 de agosto de 2026
Ubiquiti UniFi e Gitea concentram alertas críticos; VulnCheck detecta exploração antes do CISA em dois casos
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — atenção2 vista(s) antes do CISA
O boletim desta terça-feira, 26 de agosto de 2026, registra veredito de ATENÇÃO: duas vulnerabilidades já estão em exploração ativa e outras duas foram detectadas pelo VulnCheck antes de qualquer confirmação oficial do CISA — sinal de que atacantes saíram na frente. O ecossistema UniFi da Ubiquiti concentra seis falhas críticas publicadas no mesmo dia, enquanto Gitea e KubePi também entram no radar com severidade máxima. Equipes que operam esses produtos devem tratar as atualizações como urgência imediata.
Resumo do dia
- VulnCheck detectou exploração ativa em CVE-2026-19632 (WordPress/TranslatePress) e CVE-2026-60004 (Gitea) antes do CISA — sinal de risco real já em curso
- Ubiquiti UniFi acumula 6 CVEs críticas (CVSS 10.0 a 9.9) em Talk, Protect, Access e Cloud Gateways — superfície de ataque ampla em ambientes corporativos e de videovigilância
- KubePi expõe painel multi-cluster Kubernetes sem autenticação (CVSS 10.0), permitindo reconfiguração de SSO/OIDC/SAML por qualquer atacante na rede
- Brasil é alvo intenso: grupos krybit, kazu e thegentlemen atingiram saúde, tecnologia, varejo e manufatura nos últimos dias
Destaques críticos
1
CVE-2026-19632◆ VulnCheckCVSS 9.8PoCno mesmo diaafeta TranslatePress – Translate Multilingual sites with AI Translation Plugin TranslatePress para WordPress expõe a URL de redefinição de senha do administrador — incluindo a chave de reset em texto claro — via ação AJAX acessível sem autenticação. O VulnCheck registrou exploração antes do CISA e a prova de conceito foi armada no mesmo dia da divulgação, tornando a janela de correção praticamente nula.
2
Gitea anterior à versão 1.27.1 permite execução remota de código por meio da API diffpatch, que possibilita a instalação de hooks Git maliciosos por um atacante remoto. A presença de exploit funcional e a detecção pelo VulnCheck antes do CISA indicam exploração já em andamento — instâncias expostas à internet devem ser atualizadas com máxima prioridade.
3
KubePi até a versão 1.6.15 expõe endpoints de configuração SSO, OIDC e SAML na mesma rota pública de login, sem exigir autenticação de administrador. Um atacante não autenticado pode reconfigurar toda a camada de identidade do painel multi-cluster Kubernetes, potencialmente tomando controle total do ambiente.
4
O aplicativo UniFi Talk possui validação de entrada inadequada que permite injeção de comandos no host por qualquer ator com acesso à rede, sem necessidade de credenciais. Com CVSS 10.0, representa comprometimento total do dispositivo a partir da camada de rede local ou segmentada.
5
Dispositivos UniFi OS em certas versões são vulneráveis à neutralização inadequada de sequências CRLF, permitindo bypass de autenticação a partir da rede. A criticidade máxima (CVSS 10.0) reflete o impacto direto sobre o controle de acesso de toda a plataforma UniFi OS.
6
O aplicativo UniFi Protect sofre de validação de entrada deficiente que viabiliza injeção de comandos no host por atacante com acesso à rede, sem autenticação prévia. Ambientes de videovigilância que dependem do UniFi Protect estão diretamente expostos ao comprometimento do servidor subjacente.
7
Variante da falha de injeção de comando no UniFi Protect que exige apenas privilégios baixos — não acesso root ou administrativo — para ser explorada a partir da rede. CVSS 9.9 reflete que o requisito mínimo de privilégio reduz marginalmente, mas não elimina, o risco de comprometimento total.
8
O aplicativo UniFi Access apresenta controle de acesso inadequado que permite a um ator com privilégios baixos na rede escalar privilégios no host. Em ambientes de controle físico de acesso, a exploração pode comprometer tanto a segurança lógica quanto a integridade dos registros de entrada e saída.
9
Segunda falha de injeção de comando no UniFi Protect acessível com baixo privilégio a partir da rede, mantendo CVSS 9.9. A repetição de vetores semelhantes no mesmo produto sugere problemas sistêmicos de validação de entrada que exigem revisão mais abrangente do código.
10
O aplicativo UniFi Access também é afetado por injeção de comando via validação inadequada de entrada, explorável por ator com baixos privilégios na rede. Combinada com CVE-2026-77553, a superfície de ataque no UniFi Access cobre tanto escalonamento de privilégios quanto execução arbitrária de comandos.
Ransomware do dia
Nos últimos dias, o grupo krybit registrou múltiplas vítimas brasileiras em setores sensíveis: a clínica oftalmológica Neooftalmo, a empresa de tecnologia sysconth.com e a varejista vascara.com. O grupo kazu atacou duas plataformas de saúde digital — Brazil Mobilemed (Cloud PACS) e Meducar (telemedicina e gestão de pacientes) —, enquanto thegentlemen comprometeu a TEC Container e dragonforce atingiu a empresa Frato. Entre os grupos mais ativos nos últimos 30 dias, thegentlemen lidera com sete vítimas, todas no Brasil.
www.neooftalmo.com.br BRkrybit · Healthcare
sysconth.com BRkrybit · Technology
vascara.com BRkrybit · Retail & E-Commerce
TEC Container BRthegentlemen · Manufacturing
Frato BRdragonforce · Other
Brazil Mobilemed: Cloud PACS Platform BRkazu · Healthcare
Meducar: Telemedicine and Patient Management System BRkazu · Healthcare
thegentlemen 7krybit 4Global Secret Group 2dragonforce 2L Group 2direwolf 2
Grupos e APTs ativos
Os grupos dragonforce, funksec, kairos, karakurt, kazu e blackshadow (de origem iraniana) figuram entre os atores monitorados no período, embora sem vítimas confirmadas publicamente neste ciclo. A presença do blackshadow, ator iraniano historicamente associado a ataques disruptivos, merece monitoramento contínuo por organizações com exposição geopolítica relevante. A atividade do kazu no setor de saúde digital brasileiro reforça o padrão de grupos menos conhecidos mirando infraestruturas críticas de menor maturidade defensiva.
Foco Brasil
O Brasil concentra praticamente toda a atividade de ransomware registrada no período recente, com oito vítimas confirmadas abrangendo saúde, tecnologia, varejo, manufatura e serviços profissionais. O setor de saúde é o mais atingido — com Neooftalmo, Brazil Mobilemed e Meducar comprometidas por krybit e kazu —, expondo riscos diretos a dados de pacientes e continuidade de serviços médicos críticos. A diversidade de grupos atuando simultaneamente (krybit, kazu, thegentlemen, dragonforce) indica que o Brasil permanece como alvo prioritário de múltiplos agentes de ameaça.
vascara.comkrybit · Retail & E-Commerce
sysconth.comkrybit · Technology
www.neooftalmo.com.brkrybit · Healthcare
TEC Containerthegentlemen · Manufacturing
Fratodragonforce · Other
Brazil Mobilemed: Cloud PACS Platformkazu · Healthcare
Meducar: Telemedicine and Patient Management Systemkazu · Healthcare
UOLconsultthegentlemen · Professional Services
Recomendação do dia: Priorize imediatamente a atualização do Gitea para 1.27.1 ou superior, do TranslatePress para versão corrigida além da 3.3.1, e de todos os componentes UniFi afetados (Talk, Protect, Access e Cloud Gateways); em paralelo, restrinja o acesso de rede a painéis administrativos como KubePi e interfaces UniFi OS por meio de segmentação e controles de acesso baseados em identidade. Para ambientes com KubePi, revogue e reconfigure imediatamente as integrações SSO/OIDC/SAML caso a atualização não possa ser aplicada de imediato.
Diante de tantos vetores críticos publicados simultaneamente, é fundamental validar ativamente quais desses produtos existem na sua superfície de ataque — porque atacantes já estão fazendo esse mapeamento por você.Vulnerabilidades surgem todos os dias — sua defesa acompanha? Faça uma análise inicial gratuita da sua superfície de ataque.Conheça o Agente de Pentest Autônomo com IA →