Boletim diário · 31 de outubro de 2026
WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia
Veredito do dia — atenção4 vista(s) antes do CISA
O veredito do dia é de ATENÇÃO: nenhuma falha virou arma pronta, mas quatro já têm exploração observada pelo VulnCheck antes de qualquer confirmação do CISA, todas no ecossistema WordPress, incluindo o próprio Core (CVE-2026-119977). Entre as 123 novas CVEs, 11 são críticas, e a lista em destaque mistura plugins vulneráveis, um roteador D-Link com CVSS 10.0 e ferramentas corporativas com execução remota de código.
Resumo do dia
- Quatro CVEs de WordPress (Core e três plugins) com exploração observada pelo VulnCheck antes do CISA.
- CVE-2026-119977 afeta o WordPress Core 4.7 a 7.1.3 e permite execução de código durante a janela de atualização.
- CVE-2026-120189, no D-Link DIR-505, tem CVSS 10.0 e PoC público.
- Apache MINA, AJ-Report e Jpom trazem falhas críticas de RCE ou bypass de autenticação.
11
críticas
4
Em exploração ativa
4
Antes do CISA
0
Arma pronta
Destaques críticos
1
CVE-2026-116512◆ VulnCheckCVSS 9.8afeta Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker
RCE no plugin Project Manager (até 4.1.1) via parâmetro 'id', com exploração já observada pelo VulnCheck antes do CISA. CVSS 9.8: o sinal de uso real exige priorizar a atualização ou a remoção do plugin.
2
Bypass de autenticação no Uncanny Toolkit for LearnDash (até 3.8.2) pelo parâmetro 'email'. Exploração vista antes do CISA; permite assumir contas, inclusive privilegiadas, em sites de ensino.
3
RCE sem autenticação no WordPress Core (4.7 a 7.1.3), explorando caminhos previsíveis durante atualizações completas do pacote. Já observada pelo VulnCheck; o alcance do Core torna o risco muito amplo, apesar do CVSS 8.1.
4
Bypass de autenticação no Wp Social Login and Register Social Counter (até 3.2.2): o callback REST localiza contas só pelo e-mail devolvido pelo provedor OAuth. Exploração observada antes do CISA, com risco de tomada de contas administrativas.
5
Estouro de buffer de pilha no tftpd do D-Link DIR-505, explorável remotamente, com CVSS 10.0 e PoC público. Dispositivos desse tipo costumam ficar sem correção, então a mitigação passa por isolar ou substituir o equipamento.
6
CVE-2026-118235CVSS 9.8afeta SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications
Upload arbitrário de arquivos no plugin SimpleForm (até 3.10.2): um nome de arquivo com ponto final contorna as validações de extensão e MIME. É a porta clássica para webshells em servidores WordPress.
7
Injeção de objetos PHP no PDF Invoice for WooCommerce (até 7.1.1) via o campo 'customer_note' do checkout. Como o campo é público em lojas, a superfície de ataque é ampla.
8
Apache MINA 3.0 desserializa dados sem filtro de classes, permitindo RCE por cadeia de gadgets se exposto a pares não confiáveis. A branch está inativa e não terá correção; a recomendação é migrar para o MINA 2.2.
9
O AJ-Report (até 1.7.1) usa segredo JWT fixo no código, o que permite forjar tokens e chegar a RCE não autenticada via GroovyClassLoader. Falha trivial de explorar após o conhecimento do segredo.
10
O Jpom (2.10.0 a 2.11.12) permite bypass de autenticação por injeção de condições no cabeçalho JPOM-USER-TOKEN, concedendo acesso de super-administrador e execução de comandos. Ferramenta de gestão exposta é alvo de alto valor.
Ransomware do dia
A vítima mais recente identificada é a Punta Shopping (varejo e e-commerce, Brasil), atribuída ao grupo emperador. Nos últimos 30 dias, os grupos mais ativos são N0n (6 vítimas, todas no Brasil), emperador, qilin e thegentlemen (4 cada, também no Brasil), seguidos por Eclipse e akira (2 cada).
Punta Shopping BR
N0n 6emperador 4qilin 4thegentlemen 4Eclipse 2akira 2
Grupos e APTs ativos
Entre os atores ativos que miram o Brasil, lockbit5 lidera com 54 vítimas brasileiras listadas em leak sites, seguido por thegentlemen e lockbit3 (39 cada), ransomhub, de origem russa (35), Akira (24) e arcusmedia (23). Todos aparecem com foco declarado no país.
lockbit5 mira BRthegentlemen mira BRlockbit3 mira BRransomhub mira BRAkira mira BRarcusmedia mira BR
Foco Brasil
Recentemente, o cenário brasileiro mostra vítimas em varejo, saúde, indústria e agronegócio: Punta Shopping e GTL Concreto e Logística (emperador); bio3g.com, P&B Textiles e Animart Pet Stores (qilin); CLIMEDI e Pantanal Agricola (thegentlemen); e o Hospital Sírio-Libanês (THE SEVEN DEADLY SINS). O setor de saúde é recorrente na lista.
Punta Shopping
bio3g.com
P&B Textiles
Animart Pet Stores
GTL Concreto e Logística LTDA
CLIMEDI
Pantanal Agricola
Hospital Sírio-Libanês
Recomendação do dia: Atualize imediatamente o WordPress Core e os plugins citados, ou desative-os se não houver correção, e revise logs por criações de contas e uploads suspeitos. Retire da internet o D-Link DIR-505 e as instalações de MINA 3.0, AJ-Report e Jpom expostas, ou restrinja o acesso a redes confiáveis.
Com tantas falhas explorando componentes comuns de sites e sistemas expostos, vale validar de forma contínua qual parte da sua superfície de ataque está de fato acessível e vulnerável.Vulnerabilidades surgem todos os dias — sua defesa acompanha? Faça uma análise inicial gratuita da sua superfície de ataque.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →