Boletim diário · 26 de outubro de 2026
Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção
Veredito do dia — calmo
O dia de 26/10/2026 foi de monitoramento: nenhuma vulnerabilidade virou arma pronta, nenhuma está em exploração ativa (KEV) e nenhuma foi vista pelo VulnCheck antes do CISA, apesar de 758 novas CVEs e 28 críticas. Entre os destaques estão duas falhas com CVSS 10.0, no roteador TOTOLINK A950RG (com exploit público) e na biblioteca Rust zip2, além de falhas em Consul-k8s, Fortinet FortiSandbox e Avocent ACS8000.
Resumo do dia
- Veredito CALMO: 0 em exploração ativa, 0 armas prontas e 0 vistas pelo VulnCheck antes do CISA.
- 758 novas CVEs e 28 críticas; duas com CVSS 10.0 (TOTOLINK A950RG e zip2).
- FortiSandbox (CVE-2026-107656) e Avocent ACS8000 (CVE-2026-65184) trazem risco de execução de comandos em infraestrutura sensível.
- Qilin segue afetando empresas brasileiras de manufatura, varejo e saúde.
28
críticas
0
Em exploração ativa
0
Antes do CISA
0
Arma pronta
Destaques críticos
1
Estouro de buffer de pilha no CGI de informações do TOTOLINK A950RG, explorável remotamente, com exploit público em nível de prova de conceito. Dispositivos de borda expostos à internet são alvos frequentes, então vale tratar com prioridade.
2
Na biblioteca Rust zip2, inconsistência entre os nomes de arquivo do diretório central e do cabeçalho local permite que um arquivo malicioso pareça benigno a um componente de inspeção e seja extraído de forma diferente por outro. Aplicações que validam e depois extraem ZIPs de fontes não confiáveis ficam vulneráveis a contornar essa checagem.
3
Contorno de autorização entre namespaces nas regras de ACL binding do consul-k8s pode levar a privilégios elevados no Consul. A correção está nas versões 2.1.0 e 1.8.18.
4
O endpoint de webhook do Burrito aceita eventos GitHub e GitLab sem assinatura quando o webhookSecret está ausente ou vazio, permitindo acionar fluxos de automação de Terraform sem autenticação. A correção está na versão 0.13.0.
5
Upload irrestrito de arquivos na importação de campanhas do Mautic 7 copia ativos para um diretório de mídia público sem restringir nomes ou tipos. Um usuário autenticado com permissão de importação pode abusar disso pela interface ou pela API, com risco de execução de código no servidor.
6
Injeção de SQL no Esri ArcGIS Server 12.1 e anteriores permite emitir funções específicas do banco de dados que não deveriam ser permitidas. O risco aumenta se o serviço estiver configurado como público, caso em que até um atacante anônimo poderia explorar.
7
O daemon wsserver do Avocent ACS8000, executado como root, monta comandos de shell com campos WebSocket do cliente sem validação, e o caminho de sessão por chave pública não verifica a sessão do appliance. Em um equipamento de acesso console, isso pode significar comprometimento total.
8
Contorno de autenticação por caminho alternativo no Fortinet FortiSandbox (5.0.0 a 5.0.6, 4.4.0 a 4.4.9 e 4.2, além das versões PaaS) pode permitir execução de código ou comandos por requisições HTTP manipuladas. Produtos Fortinet costumam atrair atenção de atacantes, portanto é recomendável priorizar a atualização.
9
Injeção de CRLF via argumento Username na autenticação L2TP do Oray Pugongying X5 Pro 7.6.1, explorável remotamente, com exploit público e EPSS de 1%. O fabricante não respondeu ao contato, então não há correção conhecida.
10
Injeção de CRLF no argumento secproto do manipulador de políticas IPsec (/etc/ipsec.conf) do Pugongying X5 Pro 7.6.1, com exploit público e EPSS de 0%. Como o fabricante não respondeu, convém restringir o acesso ao equipamento.
Ransomware do dia
O grupo qilin reivindicou recentemente três vítimas brasileiras: P&B Textiles (manufatura), Animart Pet Stores (varejo e e-commerce) e bio3g.com (saúde). Nos últimos 30 dias, os grupos mais ativos são N0n (6 vítimas, todas no Brasil), thegentlemen (5), emperador (4) e qilin (4), além de akira e Vexy Ransomware com 2 cada, todas no Brasil.
P&B Textiles BR
Animart Pet Stores BR
bio3g.com BR
N0n 6thegentlemen 5emperador 4qilin 4akira 2Vexy Ransomware 2
Grupos e APTs ativos
Entre os atores ativos ou atualizados estão mamona, mogilevich, mosesstaff (origem Irã), ransomhouse, Elderwood (origem China) e dragonforce. Nenhum deles tem vítimas conhecidas associadas nos dados atuais.
Foco Brasil
O Brasil concentra a atividade recente de ransomware, com vítimas em manufatura (P&B Textiles, GTL Concreto e Logística, Prafesta Ind. e Com. de Embalagens), varejo (Animart Pet Stores), saúde (bio3g.com e Hospital Sírio-Libanês), educação (Universidade de Passo Fundo) e serviços profissionais (Suhai Segurança Pessoal). Os grupos envolvidos incluem qilin, emperador, N0n, thegentlemen e THE SEVEN DEADLY SINS.
Animart Pet Stores
P&B Textiles
bio3g.com
GTL Concreto e Logística LTDA
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Suhai Segurana Pessoal
Hospital Sírio-Libanês
Recomendação do dia: Priorize a atualização de FortiSandbox, consul-k8s, Burrito e ArcGIS Server, e restrinja o acesso externo a roteadores TOTOLINK, equipamentos Pugongying e appliances Avocent. Revise o fluxo de extração de ZIPs com zip2 e o acesso à importação de campanhas do Mautic.
Com tantas falhas críticas surgindo todos os dias, validar a sua própria superfície de ataque é o caminho mais seguro para saber se alguma delas realmente o afeta.Não espere virar estatística: valide hoje, sem custo, se algum desses vetores atinge os seus sistemas.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →