Boletim diário · 29 de outubro de 2026
Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — calmo
O veredito do dia é CALMO: nenhuma das 502 novas vulnerabilidades virou arma pronta, entrou no KEV ou foi vista pelo VulnCheck antes do CISA. Ainda assim, 58 falhas críticas foram publicadas, e o destaque vai para duas falhas no WS_FTP Server (CVSS 10.0 e 9.9), três no Langflow OSS e uma série de plugins WordPress com bypass de autenticação e upload arbitrário. O cenário pede monitoramento e priorização de correções, não resposta de emergência.
Resumo do dia
- Veredito CALMO: 0 em exploração ativa, 0 armas prontas e 0 vistas pelo VulnCheck antes do CISA.
- WS_FTP Server tem duas falhas críticas (CVE-2026-84295 e CVE-2026-90868), uma delas com CVSS 10.0 e exposição de credenciais administrativas.
- Langflow OSS 1.0.0 a 1.12.4 soma três falhas de execução de código com prova de conceito.
- Plugins WordPress dominam a lista, com takeover de contas, leitura de arquivos e upload de PHP.
Destaques críticos
1
Autenticação inadequada no WS_FTP Server para Windows (versões anteriores a 2024.0.6 e 2025.0.3) permite que um atacante remoto sem credenciais acesse informações sensíveis, inclusive credenciais administrativas. Em um serviço de transferência de arquivos, o impacto prático é o controle do ambiente e o acesso a dados em trânsito.
2
Execução remota de código sem autenticação no AjaxLoadMore Cache até a versão 3.1.1, com CVSS 10.0. Sem exigir login, a falha é candidata natural a varreduras automatizadas assim que houver exploit público.
3
O plugin Automated Import Products to Cart não sanitiza o caminho de arquivo, permitindo que usuários de baixo privilégio, como assinantes, leiam e apaguem arquivos arbitrários, inclusive os que contêm credenciais do banco de dados. Há prova de conceito, mas o EPSS é de 0%.
4
Injeção de comandos de SO no WS_FTP Server para Windows (anteriores a 2024.0.7 e 2025.0.4), com execução arbitrária sob certas configurações. Combinada com a outra falha do produto, amplia o risco para quem mantém o servidor exposto.
5
Falta de autorização no Langflow OSS 1.0.0 a 1.12.4 permite que um atacante autenticado execute código arbitrário. Há prova de conceito, e o risco cresce em instâncias com cadastro aberto ou credenciais fracas.
6
Neutralização inadequada de código em eval/exec no Langflow OSS permite execução arbitrária por usuário autenticado. Faz parte de um conjunto de três falhas no mesmo produto, o que sugere superfície de ataque ampla.
7
Controle inadequado de geração de código no Langflow OSS permite execução remota por atacante autenticado, com prova de conceito disponível. Atualizar a plataforma é a mitigação mais direta para as três falhas do produto.
8
O endpoint REST do Bot for Telegram on WooCommerce (até a versão 1.3.0) não verifica a assinatura do webhook, permitindo que um atacante sem autenticação forje atualizações e tome contas. Com EPSS de 1%, é o item da lista com maior probabilidade de exploração estimada.
9
O plugin Chat AI with Dispatcher (anterior à versão 2.4) confia no tipo de conteúdo informado pelo cliente e aceita upload de arquivos arbitrários, incluindo PHP, o que leva à execução remota de código sem autenticação. Há prova de conceito.
10
O LogixFast Auth (anterior à versão 1.0.4) envia o código de redefinição de senha para o e-mail informado na requisição, e não para o da conta. Isso permite que um atacante sem autenticação redefina a senha de qualquer usuário, inclusive administradores. Há prova de conceito.
Ransomware do dia
Recentemente, o grupo qilin reivindicou três vítimas brasileiras: P&B Textiles (manufatura), Animart Pet Stores (varejo e e-commerce) e bio3g.com (saúde). Nos últimos 30 dias, os grupos mais ativos foram N0n (6 vítimas, todas no Brasil), qilin (4), thegentlemen (4), emperador (3), akira (2) e Vexy Ransomware (2), todos com vítimas no país.
P&B Textiles BRqilin · Manufacturing
Animart Pet Stores BRqilin · Retail & E-Commerce
bio3g.com BRqilin · Healthcare
N0n 6qilin 4thegentlemen 4emperador 3akira 2Vexy Ransomware 2
Grupos e APTs ativos
Entre os atores com atividade ou atualização recente estão mamona, mogilevich, ransomhouse, dragonforce, mosesstaff (origem Iraniana) e Elderwood (origem Chinesa). Nenhum deles tem vítimas conhecidas associadas nos dados do período, então o registro serve como monitoramento de contexto, sem indicar campanhas específicas.
Foco Brasil
O Brasil aparece de forma recorrente nas reivindicações recentes. Além das vítimas do qilin, constam GTL Concreto e Logística LTDA (emperador), Prafesta Ind. e Com. de Embalagens Ltda (N0n), Universidade de Passo Fundo e Suhai Segurança Pessoal (thegentlemen) e o Hospital Sírio-Libanês (THE SEVEN DEADLY SINS). Manufatura, saúde e educação estão entre os setores mais expostos.
Animart Pet Storesqilin · Retail & E-Commerce
P&B Textilesqilin · Manufacturing
bio3g.comqilin · Healthcare
GTL Concreto e Logística LTDAemperador · Manufacturing
Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing
Universidade de Passo Fundothegentlemen · Education
Suhai Segurana Pessoalthegentlemen · Professional Services
Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare
Recomendação do dia: Priorize a atualização do WS_FTP Server e do Langflow OSS e revise a necessidade de manter esses serviços expostos à internet. Em ambientes WordPress, atualize ou desative os plugins afetados e revise contas administrativas e arquivos enviados recentemente.
Mesmo em um dia calmo, falhas críticas surgem em volume e só uma validação contínua da sua superfície de ataque mostra se alguma delas já está ao alcance de um atacante.Cada CVE acima é uma porta possível — descubra quais estão abertas no seu ambiente com um diagnóstico gratuito de superfície de ataque.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →