Boletim diário · 24 de outubro de 2026
Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — calmo
O dia de 24 de outubro foi calmo em termos de exploração: nenhuma vulnerabilidade em exploração ativa (KEV), nenhuma com exploit pronto para uso e nenhuma observada pelo VulnCheck antes do CISA, apesar de 12 críticas entre 76 novas publicações. O destaque são falhas críticas em ecossistemas muito usados, sobretudo plugins WordPress com deserialização insegura e SQL Injection, além de duas falhas no Postiz. O momento pede monitoramento e correção planejada, não resposta emergencial.
Resumo do dia
- Veredito CALMO: 0 em exploração ativa, 0 com exploit pronto e 0 vistas pelo VulnCheck antes do CISA.
- Postiz tem duas falhas críticas (CVE-2026-115933 e CVE-2026-115932), com risco de forjar tokens e ler arquivos do servidor.
- Plugins WordPress concentram o risco: Prime Mover, Paytium e Newsletters (deserialização) e Product Filter by WBW (SQL Injection).
- No Brasil, ransomware segue ativo contra saúde, educação e indústria, com N0n, thegentlemen e emperador à frente.
Destaques críticos
1
O Postiz usa um segredo único e sem marcação de finalidade para assinar tokens de sessão, convite e redefinição de senha, e uma rota permite obter token validamente assinado com claims escolhidos pelo usuário. Na prática, isso abre caminho para elevação de privilégios e tomada de contas.
2
Deserialização de objeto PHP no plugin Prime Mover (até 2.2.1), explorável sem autenticação por meio de conteúdo armazenado em comentários. Com CVSS 9.8, pode levar a comprometimento do site se houver cadeia de gadgets disponível.
3
Deserialização de dados não confiáveis no Paytium (até 5.0.5), permitindo Object Injection. Plugin de pagamentos exige atenção por lidar com dados sensíveis de transações.
4
Object Injection por deserialização no plugin Newsletters da Tribulant (até 4.18.1), com CVSS 9.8. O impacto real depende de gadgets presentes no ambiente, mas o risco de execução de código é relevante.
5
O plugin asVereinbase (antes da 1.1.8) trata valor vazio como credencial válida e permite que um atacante sem autenticação entre como qualquer usuário, inclusive administrador. Há prova de conceito, mas EPSS ainda baixo (0%).
6
No Postiz, um caminho de mídia manipulado permite que o worker de publicação leia arquivos arbitrários do servidor e os envie como anexo a um Discord controlado pelo usuário. Risco claro de vazamento de segredos e configurações por usuário apenas registrado.
7
Injeção de comandos de SO na função set_volume do Unitree Go2 (até 1.1.11.4), explorável remotamente. A correção está na versão 1.1.11.5 e a atualização deve ser priorizada em robôs expostos em rede.
8
O CPython ganhou uma lista de bloqueio para certificados sabidamente comprometidos no módulo ssl, rejeitados independentemente da política do SSLContext. É um reforço de confiança em TLS; vale manter o Python atualizado, sobretudo em serviços que validam certificados.
9
SQL Injection cega no Product Filter by WBW (até 3.4.6), plugin de lojas WooCommerce. Pode permitir extração de dados do banco, incluindo informações de clientes e credenciais.
10
SQL Injection no plugin Newsletters da Tribulant (até 4.18.1), com CVSS 9.3. Combinada com a falha de deserialização no mesmo plugin, reforça a urgência de atualizar onde ele estiver instalado.
Ransomware do dia
Os grupos mais ativos nos últimos 30 dias são N0n (6 vítimas), thegentlemen (5), emperador (4), incransom (3), além de akira e Vexy Ransomware (2 cada). Todas as vítimas contabilizadas por esses grupos estão no Brasil, o que indica foco concentrado no país.
N0n 6thegentlemen 5emperador 4incransom 3akira 2Vexy Ransomware 2
Grupos e APTs ativos
Constam como ativos ou atualizados Elderwood (China), Lazarus Group (Coreia do Norte), APT29 (Rússia), WIRTE, TA577 e vicesociety, todos sem vítimas conhecidas associadas nos dados do dia. A presença na lista serve como lembrete de monitoramento, sem indicação de campanha específica ligada às CVEs em destaque.
Foco Brasil
Vítimas brasileiras recentes incluem Hospital Sírio-Libanês e CLIMEDI (saúde), Universidade de Passo Fundo (educação), GTL Concreto e Logística, Prafesta Embalagens e MPI LTDA (indústria e outros), Pantanal Agricola (agronegócio) e Suhai Segurança Pessoal (serviços profissionais). Os grupos thegentlemen, emperador e N0n aparecem associados a vários desses casos, com destaque para a saúde.
GTL Concreto e Logística LTDAemperador · Manufacturing
Suhai Segurana Pessoalthegentlemen · Professional Services
CLIMEDIthegentlemen · Healthcare
Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare
Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing
Universidade de Passo Fundothegentlemen · Education
Pantanal Agricolathegentlemen · Agriculture and Food Production
MPI LTDAemperador · Other
Recomendação do dia: Inventarie e atualize rapidamente os plugins WordPress citados (Prime Mover, Paytium, Newsletters, Product Filter by WBW e asVereinbase), além do Postiz e do Unitree Go2, priorizando instâncias expostas à internet. Reforce backups offline e segmentação, sobretudo em saúde, educação e indústria, diante da atividade de ransomware no Brasil.
Entender se essas falhas realmente alcançam o seu ambiente começa por validar, de forma contínua, a sua superfície de ataque exposta.Saber que a falha existe é metade do trabalho; a outra metade é saber se ela te afeta. Comece com um teste de exposição sem custo inicial.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →