Boletim diário · 25 de outubro de 2026
Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção
Veredito do dia — calmo
O dia de 25 de outubro foi CALMO: nenhuma vulnerabilidade virou arma pronta, nenhuma está em exploração ativa no KEV e nenhuma foi vista pelo VulnCheck antes do CISA. Ainda assim, entre 142 novas CVEs, 2 críticas se destacam: contornos de autenticação no Snipe-IT e no Parse Server. O restante da lista traz falhas de alta severidade, várias exploráveis sem autenticação, que merecem monitoramento e correção planejada.
Resumo do dia
- Veredito CALMO: 0 em exploração ativa, 0 com arma pronta, 0 vistas pelo VulnCheck antes do CISA.
- Duas críticas: bypass de autenticação no Snipe-IT (CVSS 9.2) e no Parse Server (CVSS 9.1).
- YesWiki tem duas injeções SQL sem autenticação que podem expor hashes de senha.
- Rclone (CVE-2026-116191) tem PoC armada no mesmo dia da divulgação, um sinal de atenção.
2
críticas
0
Em exploração ativa
0
Antes do CISA
0
Arma pronta
Destaques críticos
1
No Snipe-IT, usuários desativados com nome de usuário em formato de e-mail e identidade Google ainda ativa podem voltar a entrar via SSO, inclusive com perfil de administrador. É um risco real de retorno de contas que deveriam estar bloqueadas.
2
No Parse Server, adaptadores de autenticação personalizados deixam de ser validados e passam a aceitar qualquer authData, permitindo cadastro, vinculação de identidades ou login como usuários existentes. Compromete diretamente o controle de acesso das aplicações afetadas.
3
Injeção SQL sem autenticação no YesWiki em instalações padrão, com possibilidade de extrair hashes de senha da tabela de usuários. Expõe credenciais e facilita ataques posteriores.
4
Outra injeção SQL sem autenticação no YesWiki, via API pública de busca do Bazar, permitindo subconsultas e leitura de dados do banco. Combinada com a anterior, amplia bastante a superfície de ataque do produto.
5
No vLLM, o cabeçalho X-Request-Id pode forçar conexões de saída (SSRF) de um worker de prefill para um host controlado pelo atacante, vazando o NCCL unique_id e tensores de KV-cache ou travando o worker. Relevante para infraestruturas de inferência de IA expostas.
6
No Parse Server com MongoDB, clientes sem a master key conseguem apagar o schema armazenado de qualquer classe, removendo definições de campos, permissões e campos protegidos. O resultado é exposição de dados e quebra de controles de acesso.
7
Path traversal sem autenticação no Paisa permite ler qualquer arquivo legível pelo servidor e apagar backups fora dos diretórios previstos. Há risco de vazamento de dados financeiros e perda de backups.
8
No Snipe-IT, uma assertion SAML capturada pode ser reutilizada em requisições simultâneas, gerando várias sessões autenticadas que escapam da revogação pelo IdP. Enfraquece o controle central de sessões em ambientes com SSO.
9
Path traversal no serve webdav do rclone permite escrever, sobrescrever ou apagar arquivos de outros inquilinos sem autenticação. Há PoC armada no mesmo dia da divulgação, o que indica interesse imediato; quem expõe o serviço deve priorizar a atualização.
10
No phpMyFAQ, a falta de autorização em nível de objeto permite que atacantes que resolvam o CAPTCHA modifiquem ou apaguem perguntas de visitantes e forjem entradas no histórico. O impacto é principalmente de integridade do conteúdo.
Ransomware do dia
Os grupos mais ativos nos últimos 30 dias são N0n (6 vítimas), thegentlemen (5) e emperador (4), todos com as vítimas registradas no Brasil. Akira, Vexy Ransomware e Eclipse aparecem com 2 vítimas cada, também no país.
N0n 6thegentlemen 5emperador 4akira 2Vexy Ransomware 2Eclipse 2
Grupos e APTs ativos
Entre os atores atualizados estão mamona, mogilevich, mosesstaff (origem Irã), ransomhouse, Elderwood (origem China) e dragonforce. Nenhum deles tem vítimas conhecidas associadas nos dados deste período.
Foco Brasil
Vítimas brasileiras recentes incluem o Hospital Sírio-Libanês (THE SEVEN DEADLY SINS), CLIMEDI, a Universidade de Passo Fundo, a Pantanal Agricola e a Suhai Segurança Pessoal (todas thegentlemen, exceto o hospital). A GTL Concreto e Logística e a MPI LTDA foram citadas pelo emperador, e a Prafesta pelo N0n, o que mostra pressão sobre saúde, educação, indústria e agronegócio.
GTL Concreto e Logística LTDA
Suhai Segurana Pessoal
CLIMEDI
Hospital Sírio-Libanês
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Pantanal Agricola
MPI LTDA
Recomendação do dia: Atualize Snipe-IT, Parse Server, YesWiki, rclone, vLLM, Paisa e phpMyFAQ para as versões corrigidas, começando pelas falhas de autenticação e pelas injeções SQL sem login. Revise contas desativadas, sessões SAML e a exposição pública dessas aplicações.
Mesmo em um dia calmo, falhas sem autenticação em aplicações comuns mostram por que vale testar e validar regularmente a própria superfície de ataque para saber se você está exposto.Vulnerabilidades surgem todos os dias — sua defesa acompanha? Faça uma análise inicial gratuita da sua superfície de ataque.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →