Boletim diário · 12 de setembro de 2026
WordPress domina boletim com múltiplas falhas críticas de RCE; ransomware pressiona Brasil
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — calmo
O dia 12 de setembro de 2026 foi tecnicamente calmo em termos de exploração ativa — nenhuma vulnerabilidade foi confirmada em uso real ou ganhou arma pronta — mas a lista de destaques revela uma concentração preocupante de falhas críticas em plugins WordPress, várias com prova de conceito disponível e ao menos uma armada no mesmo dia da divulgação. No front de ransomware, o Brasil registrou novas vítimas em setores sensíveis, consolidando o país como alvo prioritário de múltiplos grupos.
Resumo do dia
- 10 CVEs críticos em destaque, todos em plugins WordPress — RCE, upload arbitrário e takeover de site são os riscos dominantes.
- CVE-2026-78006 (The Events Calendar) foi armada no mesmo dia da divulgação, sinal de que atacantes priorizaram a falha imediatamente.
- Nenhuma CVE do dia entrou no KEV ou foi confirmada em exploração ativa — monitoramento é suficiente, mas patches são urgentes.
- Três novas vítimas brasileiras de ransomware nos últimos dias: manufatura, saúde e tecnologia no radar.
Destaques críticos
1
Deserialização de metadados controlados pelo usuário no Masteriyo LMS (WordPress) permite que qualquer conta com privilégio mínimo injete objetos PHP arbitrários e, via biblioteca incluída no plugin, execute código no servidor — CVSS 9.9 e prova de conceito disponível tornam a atualização para 3.4.1 imediata.
2
RCE no The Events Calendar (até 6.17.4) via bypass da função is_safe_widget_instance, com exploit armado no mesmo dia da divulgação — essa velocidade de armamento indica interesse imediato de atacantes e deve elevar a prioridade de atualização para qualquer ambiente que use o plugin.
3
Segunda falha de RCE no The Events Calendar (até 6.17.3), desta vez via parse_array, que permite contornar a verificação de objetos e alcançar o ponto de invocação de callables — a combinação de duas CVEs críticas no mesmo plugin no mesmo dia amplia consideravelmente a superfície de ataque.
4
O plugin DS Ad Rotator (até 0.8) não realiza verificação de capacidade, nonce ou tipo de arquivo no handler de upload, permitindo que atacantes não autenticados façam upload de arquivos PHP para diretório acessível publicamente e executem código remoto — risco imediato e trivial de explorar.
5
O plugin Frontegg SAML SSO (até 1.0.1) não valida assinatura nem emissor das respostas SAML antes de criar sessão, permitindo que qualquer atacante não autenticado faça login como qualquer usuário, incluindo administradores, ou crie contas arbitrárias — falha de autenticação com impacto total.
6
O plugin WP images upload on piclect (até 1.0) não valida nome nem tipo de arquivos enviados antes de gravá-los em diretório público, expondo o servidor a upload de arquivos maliciosos e execução arbitrária de código por atacantes não autenticados.
7
O plugin WP Component (até 2.2.4) expõe uma ação sem verificação de capacidade ou nonce a usuários não autenticados, aceitando nome e valor de opções diretamente da requisição — em instalações simples isso resulta em takeover completo do site ao habilitar registros livres e escalar privilégios.
8
O plugin CODE MONKEYS PROPOSALS (até 1.0.1) permite que qualquer usuário autenticado, mesmo assinante, delete arquivos arbitrários no servidor por falta de validação de caminho e verificação de capacidade — a remoção de arquivos críticos pode levar ao comprometimento total da instalação.
9
O plugin WebTotem Backups (até 1.0.1) combina ausência de validação de caminho, falta de verificação de capacidade e descarte do resultado da própria checagem CSRF, permitindo deleção arbitrária de arquivos por qualquer usuário autenticado — cenário análogo ao CVE-2026-77005, com risco de takeover.
10
Stack buffer overflow em rotinas de formatação de atributos SIP no sngrep (até 1.8.4) pode ser acionado por pacotes SIP maliciosos com campos de cabeçalho acima de 255 bytes, causando travamento ou execução de código arbitrário — ambientes de monitoramento VoIP que usam a ferramenta devem aplicar correção imediatamente.
Ransomware do dia
Nos últimos dias, três organizações brasileiras foram adicionadas às listas de vítimas de grupos de ransomware: a Tuboaços da Amazônia Ltda. (manufatura) foi reivindicada pelo grupo nightspire; amorsaude.com.br (saúde) foi listada pelo lockbit5; e a Logar Network Solutions (tecnologia) foi atingida pelo Vexy Ransomware. Entre os grupos mais ativos nos últimos 30 dias, o thegentlemen lidera com nove vítimas, todas no Brasil, seguido pelo krybit (3) e dragonforce (2), sinalizando foco deliberado no mercado brasileiro.
Tuboaços da Amazônia Ltda. BRnightspire · Manufacturing
amorsaude.com.br BRlockbit5 · Healthcare
Logar Network Solutions BRVexy Ransomware · Technology
thegentlemen 9krybit 3direwolf 2dragonforce 2emperador 2Vexy Ransomware 2
Grupos e APTs ativos
Entre os atores monitorados no período, destacam-se dragonforce, fulcrumsec, funksec, linkc, spacebears e o grupo iraniano blackshadow, todos com atividade registrada mas sem vítimas confirmadas publicamente no ciclo mais recente. A presença de atores de origem estatal como o blackshadow no radar de monitoramento reforça a necessidade de atenção a campanhas de espionagem e sabotagem além das ameaças puramente financeiras.
Foco Brasil
O Brasil concentra uma fatia desproporcional das vítimas de ransomware nos últimos 30 dias, com alvos que vão de manufatura (Tuboaços da Amazônia, Zanini, Alurwalls) a aviação (Lider Aviação), varejo (Biotipo Jeans), saúde (amorsaude.com.br) e tecnologia (Logar Network Solutions). O grupo thegentlemen é o mais ativo no país no período, com pelo menos quatro vítimas brasileiras conhecidas, enquanto grupos como Vexy Ransomware e Dark Project também expandem sua presença no território nacional.
Tuboaços da Amazônia Ltda.nightspire · Manufacturing
amorsaude.com.brlockbit5 · Healthcare
Logar Network SolutionsVexy Ransomware · Technology
Zaninithegentlemen · Manufacturing
Biotipo Jeansthegentlemen · Retail & E-Commerce
Mutantthegentlemen · Other
AlurwallsDark Project · Manufacturing
Lider Aviacaothegentlemen · Transportation
Recomendação do dia: Priorize a atualização imediata de todos os plugins WordPress listados — especialmente The Events Calendar, Masteriyo LMS e DS Ad Rotator — e revise configurações de upload e permissões de usuários em instalações WordPress expostas à internet. Ambientes de monitoramento VoIP com sngrep devem aplicar o patch disponível e filtrar entradas de cabeçalhos SIP na borda da rede.
Diante de tantas falhas críticas em componentes amplamente utilizados, vale verificar ativamente quais dessas tecnologias estão presentes na própria superfície de ataque antes que um adversário o faça primeiro.Saber que a falha existe é metade do trabalho; a outra metade é saber se ela te afeta. Comece com um teste de exposição sem custo inicial.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →