Boletim diário · 22 de outubro de 2026
Dez falhas já exploradas na prática aparecem antes do CISA, com foco em CMS e sistemas web
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — atenção10 vista(s) antes do CISA
O veredito do dia é de ATENÇÃO: as 10 vulnerabilidades em destaque têm exploração observada pelo VulnCheck antes de qualquer confirmação do CISA, embora nenhuma tenha virado arma pronta e o KEV registre 0 entradas no dia. O topo da lista traz a CVE-2026-114625 no VeloCloud Orchestrator (CVSS 9.4) e duas falhas críticas de execução remota em DedeCMS e FineReport. O restante é um conjunto de injeções SQL e path traversal sem autenticação em produtos web, vários com exploração registrada pela Shadowserver Foundation.
Resumo do dia
- Todas as 10 falhas em destaque têm exploração observada pelo VulnCheck antes do CISA, um alerta antecipado.
- CVE-2026-114625 (VeloCloud Orchestrator, CVSS 9.4) permite que qualquer usuário autenticado obtenha privilégios de operador.
- DedeCMS (CVE-2021-48016) e FineReport (CVE-2021-48014) permitem execução remota sem autenticação, ambas críticas (CVSS 9.3).
- Nenhuma vulnerabilidade tem exploit de arma pronta; várias contam com prova de conceito.
Destaques críticos
1
Falha crítica (CVSS 9.4) no VeloCloud Orchestrator on-prem: um usuário autenticado qualquer pode ganhar privilégios de operador e comprometer o host e os dados gerenciados. Há exploração observada pelo VulnCheck antes do CISA, e um orquestrador comprometido tem impacto amplo sobre a infraestrutura de rede.
2
Injeção de código PHP no DedeCMS via cabeçalho Referer, permitindo execução de comandos sem autenticação (CVSS 9.3). Há prova de conceito e exploração registrada pela Shadowserver Foundation, o que torna sites expostos alvos fáceis.
3
Path traversal no FineReport permite gravar arquivos arbitrários e implantar um webshell JSP, levando à execução remota sem autenticação. Com prova de conceito e exploração observada, instâncias expostas devem ser tratadas como prioridade.
4
Injeção SQL sem autenticação no Weaver E-cology (versões anteriores à 10.76) que permite extrair dados do banco. Exploração observada antes do CISA e prova de conceito disponível; risco concreto de vazamento de informações corporativas.
5
CVE-2024-58393◆ VulnCheckHIGH 8.8PoCafeta Readymade Unilevel Ecommerce MLM Injeção SQL sem autenticação no parâmetro 'id' do Readymade Unilevel Ecommerce MLM, com técnicas booleanas, empilhadas e baseadas em tempo. Há prova de conceito e exploração observada; plataformas de e-commerce guardam dados sensíveis de clientes.
6
Injeção SQL no PHPOK via parâmetro de ordenação, explorável sem autenticação para extrair dados por mensagens de erro. A Shadowserver Foundation registrou exploração e a correção está disponível a partir da versão 5.4.081.
7
Path traversal sem autenticação no YiShaAdmin permite ler e também apagar arquivos arbitrários do servidor. A possibilidade de exclusão eleva o risco de indisponibilidade, além do vazamento; há prova de conceito e exploração observada.
8
Injeção SQL sem autenticação no plugin NotificationX para WordPress (2.0.0 até antes da 2.3.12), via endpoint da API REST. Há exploração observada antes do CISA; sites WordPress desatualizados precisam atualizar o plugin.
9
Injeção SQL sem autenticação no SeaCMS (até a 8.7) pelo parâmetro rlist[], com extração de dados por mensagens de erro. Prova de conceito pública e exploração já observada.
10
CVE-2024-58396◆ VulnCheckHIGH 8.7PoCafeta CPAS Audit Management System Path traversal sem autenticação no CPAS Audit Management System V4 permite ler arquivos do sistema, como credenciais e configurações. Há prova de conceito e exploração registrada pela Shadowserver Foundation.
Ransomware do dia
A vítima mais recente identificada é a GTL Concreto e Logística LTDA, do setor de manufatura, reivindicada pelo grupo emperador. Nos últimos 30 dias, os grupos mais ativos são N0n (6 vítimas), emperador (5) e thegentlemen (5), todos com atuação concentrada no Brasil, seguidos por lockbit5 e incransom (3 cada) e akira (2).
GTL Concreto e Logística LTDA BRemperador · Manufacturing
N0n 6emperador 5thegentlemen 5lockbit5 3incransom 3akira 2
Grupos e APTs ativos
Entre os atores ativos ou atualizados aparecem Elderwood (origem China), Lazarus Group (Coreia do Norte), APT29 (Rússia), além de WIRTE, TA577 e vicesociety. Nenhum deles tem vítimas conhecidas associadas nos dados do dia.
Foco Brasil
Recentemente, o Brasil concentra vítimas de ransomware em diversos setores: saúde (CLIMEDI e Hospital Sírio-Libanês), educação (Universidade de Passo Fundo), indústria (GTL Concreto e Logística, Prafesta e MPI) e agronegócio (Pantanal Agricola). O grupo thegentlemen aparece associado a Suhai Segurança Pessoal, CLIMEDI, Universidade de Passo Fundo e Pantanal Agricola, enquanto emperador responde por GTL e MPI.
GTL Concreto e Logística LTDAemperador · Manufacturing
Suhai Segurana Pessoalthegentlemen · Professional Services
CLIMEDIthegentlemen · Healthcare
Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare
Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing
Universidade de Passo Fundothegentlemen · Education
Pantanal Agricolathegentlemen · Agriculture and Food Production
MPI LTDAemperador · Other
Recomendação do dia: Priorize a correção ou o isolamento de sistemas expostos que usem os produtos listados, começando pelo VeloCloud Orchestrator e por DedeCMS e FineReport, e restrinja o acesso externo a painéis administrativos. Revise logs em busca de requisições anômalas, webshells e extração de dados.
Com tantas falhas já exploradas antes de qualquer alerta oficial, validar de forma contínua a sua própria superfície de ataque é a maneira mais segura de saber se esse cenário realmente chega até você.Antes que um atacante encontre, encontre primeiro: faça uma avaliação inicial de exposição sem custo e veja se sua infraestrutura está vulnerável a falhas como estas.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →