Boletim diário · 30 de outubro de 2026
Cinco falhas com exploração vista antes do CISA lideram dia de atenção
Veredito do dia — atenção5 vista(s) antes do CISA
O veredito do dia é de ATENÇÃO: nenhuma vulnerabilidade virou arma pronta, mas cinco já têm exploração observada pelo VulnCheck antes de qualquer confirmação do CISA. Entre 627 novas CVEs e 43 críticas, destacam-se a execução remota de código no Dahua Intelligent Connection Center e a injeção de objetos PHP no plugin Gravity Forms, ambas com CVSS 9.8. Há ainda um bloco de falhas com CVSS 10.0 e 9.9 em LXD, bazarr, CoPilot e thinglinks que merece triagem rápida.
Resumo do dia
- 5 CVEs com exploração observada pelo VulnCheck antes do CISA: sinal de ataque real sem confirmação oficial.
- Dahua Intelligent Connection Center (CVE-2025-31704) e Gravity Forms (CVE-2026-103039) lideram, ambas com CVSS 9.8.
- LXD (CVE-2026-112816) permite autenticação como qualquer cliente confiável via cadeia de certificados forjada, CVSS 10.0.
- Ransomware segue pressionando o Brasil, com qilin, thegentlemen, emperador e N0n entre as vítimas recentes.
43
críticas
5
Em exploração ativa
5
Antes do CISA
0
Arma pronta
Destaques críticos
1
Execução remota de comandos por requisição forjada no Dahua Intelligent Connection Center, CVSS 9.8. Exploração já observada pelo VulnCheck antes do CISA, o que eleva a urgência para quem expõe o produto.
2
Injeção de objetos PHP no Gravity Forms (até a 3.1.2) por um campo personalizado do tipo List, causada pelo uso de uma função de desserialização sem restrições. Exploração observada antes do CISA; sites WordPress com o plugin devem atualizar com prioridade.
3
Inclusão de arquivo no DedeCMS anterior à 5.7 permite manipular o caminho incluído e divulgar arquivos locais sem autenticação. Há prova de conceito e exploração vista antes do CISA, apesar de a falha ser antiga.
4
Falta de autorização no Drupal Commerce Core permite navegação forçada a recursos indevidos (CVSS 6.5). Exploração vista antes do CISA indica interesse real de atacantes em lojas Drupal desatualizadas.
5
XSS refletido no Netsweeper por parâmetro de log, exigindo que a vítima acesse uma URL maliciosa. Tem prova de conceito e exploração observada antes do CISA, mas o impacto é limitado frente às demais.
6
No bazarr, endpoints do namespace Plex não exigem autenticação, e um anônimo pode limpar credenciais e desativar a integração. CVSS 10.0; corrija na versão 1.5.7-beta.14 ou superior.
7
Validação indevida de certificados no listener HTTPS do Canonical LXD permite a um atacante não autenticado se passar por qualquer cliente confiável e controlar o cluster e as VMs. CVSS 10.0; atualize para as versões corrigidas.
8
No SOCFortress CoPilot, o nome de arquivo enviado em uma rota de relatório GCP é repassado sem tratamento ao salvamento, abrindo risco de escrita arbitrária de arquivos por usuários admin ou analyst. CVSS 10.0; corrigida na 0.1.77.
9
O thinglinks aceita script Groovy de usuário autenticado e o executa sem sandbox, resultando em execução arbitrária de código no servidor. CVSS 9.9; atualize para a 1.4.0.
10
No CoPilot, usuários de portal, inclusive customer_user, podem submeter marcação armazenada em comentários de alertas, caracterizando XSS armazenado em uma ferramenta de operações de segurança. CVSS 9.9; corrija nas versões 0.1.70 e 0.1.76 ou posteriores.
Ransomware do dia
Entre os grupos mais ativos nos últimos 30 dias estão N0n (6 vítimas, todas no Brasil), thegentlemen, qilin e emperador (4, 4 e 3 vítimas, todas brasileiras), além de Vexy Ransomware e akira com 2 cada. O padrão mostra forte concentração de vítimas no território brasileiro.
N0n 6thegentlemen 4qilin 4emperador 3Vexy Ransomware 2akira 2
Grupos e APTs ativos
Os grupos com mais vítimas brasileiras listadas em leak sites são lockbit5 (54), thegentlemen e lockbit3 (39 cada), ransomhub, de origem russa (35), Akira (24) e arcusmedia (23). Todos aparecem sinalizados como mirando o Brasil.
lockbit5 mira BRthegentlemen mira BRlockbit3 mira BRransomhub mira BRAkira mira BRarcusmedia mira BR
Foco Brasil
Recentemente foram listadas vítimas brasileiras como Animart Pet Stores, P&B Textiles e bio3g.com (qilin), GTL Concreto e Logística (emperador), Prafesta Embalagens (N0n), Universidade de Passo Fundo e Suhai Segurança Pessoal (thegentlemen) e o Hospital Sírio-Libanês (THE SEVEN DEADLY SINS). Os setores de manufatura, saúde e educação aparecem com destaque.
Animart Pet Stores
P&B Textiles
bio3g.com
GTL Concreto e Logística LTDA
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Suhai Segurana Pessoal
Hospital Sírio-Libanês
Recomendação do dia: Priorize a aplicação de patches em Dahua Intelligent Connection Center, Gravity Forms e LXD, e retire da internet painéis administrativos e APIs que não precisam estar expostos. Revise também ferramentas como bazarr, CoPilot e thinglinks, atualizando para as versões corrigidas.
Com exploração acontecendo antes mesmo da confirmação oficial, vale validar de forma contínua se a sua superfície de ataque expõe alguma dessas falhas.Saber que a falha existe é metade do trabalho; a outra metade é saber se ela te afeta. Comece com um teste de exposição sem custo inicial.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →