Boletim diário · 31 de agosto de 2026
CVSS 10.0 em plugins WordPress e roteadores Tenda dominam o dia com exploração antecipada detectada pelo VulnCheck
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — atenção1 vista(s) antes do CISA
O boletim de 31 de agosto de 2026 registra 265 novas vulnerabilidades, 41 delas críticas, com destaque para um conjunto expressivo de falhas CVSS 10.0 que afetam plugins WordPress e firmwares de roteadores Tenda. O tom do dia é de ATENÇÃO: o VulnCheck identificou exploração ativa de CVE-2026-82970 antes de qualquer confirmação oficial do CISA, sinalizando que atacantes já se movimentam antes das alertas institucionais. Provas de conceito públicas para múltiplas falhas de injeção de comando e bypass de autenticação elevam ainda mais a urgência para equipes defensivas.
Resumo do dia
- CVE-2026-82970 (WordPress, CVSS 10.0): exploração detectada pelo VulnCheck ANTES do CISA — upload malicioso sem autenticação em plugin de consentimento GDPR
- Três falhas CVSS 10.0 em roteadores Tenda AC18 e AC1206 com PoC público permitem acesso remoto sem autenticação via Telnet e interface web
- Dois plugins WordPress adicionais (Newspapers X e Hash Form) permitem upload arbitrário de arquivos sem autenticação — risco de implantação de malware
- Brasil concentra múltiplas vítimas recentes de ransomware, com grupos thegentlemen, krybit e emperador ativos no país
Destaques críticos
1
CVE-2026-82970◆ VulnCheckCVSS 10afeta WP Cookie Notice for GDPR, CCPA & ePrivacy Consent Upload irrestrito de arquivos maliciosos no plugin WP Cookie Notice for GDPR, CCPA & ePrivacy Consent (até v4.4.1) sem necessidade de autenticação; o VulnCheck já detectou exploração ativa antes de qualquer alerta oficial do CISA, tornando esta a entrada mais urgente do dia — patches devem ser aplicados imediatamente.
2
Injeção de comando remoto no CGI Script do QVidium Opera11 3.3.2a26 via parâmetro ipaddr, com exploit público disponível; agrava a situação o fato de o fabricante ter encerrado as operações, eliminando qualquer perspectiva de correção oficial — dispositivos devem ser isolados ou substituídos.
3
Falha de validação de entrada no plugin WordPress Newspapers X (v1.0.46 a 1.0.48) permite implantação de software malicioso em sites, com CVSS 10.0; ambientes WordPress devem verificar a versão instalada e atualizar sem demora.
4
Upload arbitrário de arquivos sem autenticação no plugin Hash Form (até v1.4.2) expõe qualquer instalação WordPress a comprometimento completo do servidor web; a criticidade máxima exige atualização imediata ou desativação do plugin.
5
Ausência de autenticação no handler Telnet do Tenda AC18 (firmware 15.03.05.19) com exploit público permite que atacantes remotos obtenham controle total do roteador; redes que utilizam este modelo devem restringir acesso à interface de gerenciamento urgentemente.
6
Bypass de autenticação na função R7WebsSecurityHandler do Tenda AC1206 via endpoint /goform/ate, com PoC público; combinado com CVE-2026-82693 no mesmo dispositivo, o roteador torna-se um vetor de entrada trivial para atacantes remotos.
7
Segunda falha crítica de autenticação ausente no Tenda AC1206, desta vez na função TendaTelnet via /goform/telnet, também com exploit divulgado publicamente; a coexistência de duas CVEs CVSS 10.0 no mesmo firmware torna a exposição desses roteadores inaceitável em redes corporativas.
8
O MCPHub (anterior à v0.12.15) permite que usuários autenticados injetem processos arbitrários via spawn de stdio ao criar ou atualizar configurações de servidores MCP, resultando em execução remota de código no servidor — ambientes de orquestração de IA/MCP devem atualizar para 0.12.15 imediatamente.
9
O Dell PowerStore 1000T expõe sua interface de gerenciamento restrita a leituras não autenticadas do sistema de arquivos interno, podendo revelar credenciais e informações sensíveis que permitiriam comprometimento administrativo completo do appliance de armazenamento.
10
CVE-2026-75865CVSS 9.8afeta WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode Plugin WPLP Cookie Consent para WordPress permite upload arbitrário de arquivos por atacantes não autenticados, combinando falta de validação de tipo de arquivo com bypass de autorização nos endpoints REST; todas as versões até 4.4.1 são vulneráveis e representam risco direto de webshell em sites WordPress.
Ransomware do dia
Nos últimos dias, quatro organizações brasileiras foram identificadas como vítimas recentes de ransomware: Uniguacu (grupo emperador), Exacta Optech Labcenter no setor de saúde (thegentlemen), frm.ind.br (ZaWoo) e amzur.com (unsafe). Entre os grupos mais ativos nos últimos 30 dias com foco explícito no Brasil destacam-se thegentlemen (6 vítimas), krybit (4 vítimas) e emperador (2 vítimas), evidenciando uma concentração de ataques sistemáticos contra empresas brasileiras de múltiplos setores.
Uniguacu BRemperador · Other
Exacta Optech Labcenter BRthegentlemen · Healthcare
frm.ind.br BRZaWoo · Other
amzur.com BRunsafe
thegentlemen 6krybit 4emperador 2dragonforce 2L Group 2direwolf 2
Grupos e APTs ativos
Os grupos dragonforce, fulcrumsec, handala, kazu, kelvinsecurity e blackshadow (de origem iraniana) estão monitorados como atores ativos ou recentemente atualizados, embora sem vítimas confirmadas publicamente no período. A presença de um ator de origem iraniana como o blackshadow no radar de monitoramento merece atenção, especialmente em setores de infraestrutura crítica e tecnologia.
Foco Brasil
O Brasil concentra um número expressivo de vítimas recentes de ransomware, abrangendo setores como saúde (Exacta Optech Labcenter, neooftalmo.com.br), tecnologia (sysconth.com), manufatura (TEC Container), varejo (vascara.com) e outros. A recorrência dos grupos thegentlemen e krybit com múltiplas vítimas brasileiras nos últimos 30 dias indica campanhas direcionadas ao país, e não ataques oportunistas isolados — organizações brasileiras devem elevar o nível de vigilância e verificar seus controles de backup e segmentação de rede.
Exacta Optech Labcenterthegentlemen · Healthcare
Uniguacuemperador · Other
frm.ind.brZaWoo · Other
amzur.comunsafe
sysconth.comkrybit · Technology
vascara.comkrybit · Retail & E-Commerce
TEC Containerthegentlemen · Manufacturing
www.neooftalmo.com.brkrybit · Healthcare
Recomendação do dia: Priorize a atualização imediata de todos os plugins WordPress listados neste boletim (WP Cookie Notice, Hash Form, Newspapers X e WPLP Cookie Consent) e isolamento de roteadores Tenda AC18 e AC1206 da borda da rede; em paralelo, revise configurações de acesso à interface de gerenciamento do Dell PowerStore e atualize o MCPHub para v0.12.15 ou superior.
Diante da quantidade de falhas críticas com PoC público e exploração já detectada antes dos alertas oficiais, é essencial que cada organização valide ativamente sua própria superfície de ataque para saber com precisão quais desses ativos estão expostos em seu ambiente.Saber que a falha existe é metade do trabalho; a outra metade é saber se ela te afeta. Comece com um teste de exposição sem custo inicial.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →