Boletim diário · 23 de outubro de 2026
Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atenção
Veredito do dia — calmo
O dia foi CALMO: nenhuma vulnerabilidade virou arma pronta, nenhuma está em exploração ativa (KEV) e nenhuma foi vista pelo VulnCheck antes do CISA, apesar de 479 novas CVEs e 35 críticas. O destaque fica para falhas de CVSS 9.9 em Postiz e no compilador Cranelift do Wasmtime, além de um bypass de autenticação em um LMS, que merecem monitoramento e correção planejada.
Resumo do dia
- Veredito CALMO: 0 exploração ativa, 0 armas prontas, 0 alertas antecipados do VulnCheck.
- Wasmtime tem duas falhas CVSS 9.9 no Cranelift, com risco de escape de sandbox e miscompilação.
- Bypass de autenticação no LMS da WizLearn permitiria controle administrativo sem credenciais.
- Ransomware segue ativo no Brasil, com alvos na saúde, educação e indústria.
35
críticas
0
Em exploração ativa
0
Antes do CISA
0
Arma pronta
Destaques críticos
1
No Postiz, um usuário autenticado pode invocar funções internas não previstas e ler arquivos do disco do servidor via um canal com token apontando para um caminho. Risco de exposição de dados sensíveis do servidor em instâncias com múltiplos usuários.
2
Em aarch64, o Cranelift do Wasmtime pode compilar um br_table com muitos alvos com desvio incorreto, permitindo que um módulo Wasm malicioso escape do sandbox. Afeta quem executa Wasm não confiável; atualize para as versões corrigidas.
3
Overflow silencioso em índices SSA no Cranelift pode causar miscompilação e confusão de tipos em funções Wasm grandes ou forjadas. Compromete as garantias de isolamento do runtime em builds de release.
4
Workflow do GitHub Actions da infraestrutura da Conda, acionado por comentários em issues, mantém um padrão de 'Pwn Request'. Risco à cadeia de suprimentos, com possível execução de código e acesso a segredos de CI.
5
Requisição POST especialmente construída contorna a autenticação por senha e o fluxo OAuth no LMS da WizLearn, sem credenciais. Pode levar ao controle administrativo total da plataforma; EPSS baixo (1%), mas impacto alto.
6
Desserialização de dados não confiáveis no plugin Participants Database (até a 2.7.8.5) permite injeção de objetos. O risco real depende de cadeias de gadgets presentes no site WordPress; EPSS 0%.
7
No Goobi viewer, o nome de arquivo vindo do cabeçalho Content-Disposition não é sanitizado, permitindo que um servidor malicioso escreva fora do diretório previsto. Pode resultar em sobrescrita de arquivos e comprometimento do servidor.
8
O endpoint WebSocket de downloads do Goobi viewer aceita requisições de usuários não autenticados. Corrigido na versão 26.05; abre espaço para abuso de recursos e acesso indevido a funcionalidades.
9
O odhcpd (OpenWrt) sofre estouro de buffer de pilha em respostas DHCPv6 acionável por um único pacote REQUEST não autenticado, com prova de conceito. Roteadores e gateways expostos na rede local merecem prioridade; corrigido na versão 25.12.
10
O tema Hostme v2 (AivahThemes) é vulnerável a desserialização de dados não confiáveis, com injeção de objetos até a versão 7.0. Sites WordPress com o tema devem ser revisados e atualizados ou desativados.
Ransomware do dia
Os grupos mais ativos nos últimos 30 dias são N0n (6 vítimas, todas no Brasil), emperador (5), thegentlemen (5), lockbit5 (3), incransom (3) e akira (2), todos com atividade concentrada no país segundo os dados.
N0n 6emperador 5thegentlemen 5lockbit5 3incransom 3akira 2
Grupos e APTs ativos
Entre os atores monitorados e atualizados estão Elderwood (China), Lazarus Group (Coreia do Norte), APT29 (Rússia), WIRTE, TA577 e vicesociety, sem vítimas associadas registradas neste momento.
Foco Brasil
Vítimas brasileiras recentes incluem Hospital Sírio-Libanês (THE SEVEN DEADLY SINS), CLIMEDI, Universidade de Passo Fundo, Pantanal Agricola e Suhai Segurança Pessoal (thegentlemen), além de GTL Concreto e Logística e MPI LTDA (emperador) e Prafesta Embalagens (N0n). Saúde, educação e indústria aparecem entre os setores atingidos.
GTL Concreto e Logística LTDA
Suhai Segurana Pessoal
CLIMEDI
Hospital Sírio-Libanês
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Pantanal Agricola
MPI LTDA
Recomendação do dia: Priorize a atualização do Wasmtime e do Postiz, restrinja o acesso a painéis de LMS e plugins WordPress vulneráveis e revise workflows de CI que reagem a comentários externos. Mantenha backups isolados e monitoramento reforçado, dada a atividade de ransomware no Brasil.
Mesmo em um dia calmo, falhas críticas surgem o tempo todo, e só testar a própria superfície de ataque mostra se elas realmente afetam o seu ambiente.Cada CVE acima é uma porta possível — descubra quais estão abertas no seu ambiente com um diagnóstico gratuito de superfície de ataque.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →