Boletim diário · 1 de novembro de 2026

Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção

Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS

Veredito do dia — calmo

O dia foi CALMO em termos de exploração confirmada: nenhuma das 163 novas vulnerabilidades está no KEV, nenhuma virou arma pronta e nenhuma foi vista pelo VulnCheck antes do CISA. Ainda assim, 28 falhas críticas chamam a atenção, com destaque para uma sequência de CVEs de CVSS 10.0 em roteadores WAVLINK e Linksys, vários com prova de conceito pública. É um dia de monitoramento e de revisão de equipamentos de borda expostos.

Resumo do dia

Veredito CALMO: 0 em exploração ativa, 0 arma pronta e 0 vista pelo VulnCheck antes do CISA.
163 novas CVEs, 28 críticas; a lista é dominada por falhas de CVSS 10.0 em roteadores WAVLINK e um Linksys E8450.
Maioria das falhas WAVLINK tem prova de conceito pública e permite injeção de comandos remota.
No Brasil, ransomware segue ativo: Punta Shopping (emperador) é a vítima mais recente, e qilin e thegentlemen aparecem em outras vítimas.

críticas

Em exploração ativa

Antes do CISA

Arma pronta

Destaques críticos

CVE-2026-120198CVSS 10PoCafeta WL-WN530BE1-A

Injeção de comandos remota no WAVLINK WL-WN530BE1-A (/protocol.csp), com prova de conceito pública. Em roteadores, esse tipo de falha tende a ser alvo de varreduras oportunistas e pode dar controle total do dispositivo.

CVE-2026-120195CVSS 10PoCafeta WL-WN579A3-A

Injeção de comandos no assistente de configuração inicial do WAVLINK WL-WN579A3-A, explorável remotamente e com exploit público. Dispositivos expostos à internet merecem atenção imediata.

CVE-2026-120283CVSS 10afeta E8450

Estouro de buffer em pilha no Linksys E8450, explorável remotamente. O fabricante não respondeu ao contato, então não há correção conhecida e a mitigação depende de reduzir a exposição.

CVE-2026-120281CVSS 10PoCafeta WN536AX6-A

Estouro de buffer em pilha no manipulador OpenVPN do WAVLINK WN536AX6-A, com prova de conceito pública. Pode levar a execução de código ou queda do serviço em equipamentos acessíveis pela rede.

CVE-2026-120280CVSS 10PoCafeta WN536AX6-A

Injeção de comandos no componente WireGuard do WAVLINK WN536AX6-A, remota e com exploit divulgado. Faz parte de um conjunto de falhas no mesmo modelo, o que aumenta a superfície de ataque.

CVE-2026-120279CVSS 10PoCafeta WN536AX6-A

Injeção de comandos no manipulador openvpn_cli do WN536AX6-A via /protocol.csp, com exploit público. Tem risco prático alto, pois permite comandos arbitrários no roteador.

CVE-2026-120277CVSS 10PoCafeta WN536AX6-A

Injeção de comandos no manipulador de grupos WireGuard CLI do WN536AX6-A, remota e com exploit público. Reforça o padrão de validação insuficiente de entrada nesse firmware.

CVE-2026-120276CVSS 10PoCafeta WN536AX6-A

Injeção de comandos na interface web de gerenciamento do WN536AX6-A, remota e com exploit disponível. Interfaces administrativas nunca devem ficar expostas à internet.

CVE-2026-120338CVSS 10afeta prefab-ui

No prefab-ui (0.14.0 a 0.20.2), o sandbox de UI generativa roda Deno com leitura, escrita e rede irrestritas, anulando o isolamento prometido para código não confiável, inclusive gerado por LLM. Risco relevante para quem executa código de terceiros nesse ambiente.

CVE-2026-120308CVSS 9.9afeta Beta9 gateway

No gateway do Beta9, um tenant pode usar segmentos de diretório pai no identificador de volume para escapar do caminho do workspace e alcançar o sistema de arquivos do worker. Em ambientes multi-inquilino, isso pode quebrar o isolamento entre clientes.

Ransomware do dia

Punta Shopping, do setor de varejo e e-commerce no Brasil, foi a vítima recém-descoberta, reivindicada pelo grupo emperador. Nos últimos 30 dias, os grupos mais ativos são N0n (6 vítimas, todas no Brasil), thegentlemen, emperador e qilin (4 cada, todas no Brasil), seguidos por akira e Eclipse (2 cada).

Punta Shopping BRemperador · Retail & E-Commerce

N0n 6thegentlemen 4emperador 4qilin 4akira 2Eclipse 2

Grupos e APTs ativos

Entre os grupos que miram o Brasil, lockbit5 lidera com 54 vítimas brasileiras listadas em leak sites, seguido por lockbit3 e thegentlemen (39 cada). Também aparecem ransomhub, de origem russa (35), Akira (24) e arcusmedia (23).

lockbit5 mira BR—lockbit3 mira BR—thegentlemen mira BR—ransomhub mira BRRússia Akira mira BR—arcusmedia mira BR—

Foco Brasil

Recentemente, o Brasil concentrou vítimas de vários setores: varejo (Punta Shopping e Animart Pet Stores), indústria (P&B Textiles, GTL Concreto e Logística e Prafesta), saúde (bio3g.com), educação (Universidade de Passo Fundo) e serviços profissionais (Suhai Segurança Pessoal). Qilin, emperador, thegentlemen e N0n respondem por esses casos.

Punta Shoppingemperador · Retail & E-Commerce

bio3g.comqilin · Healthcare

Animart Pet Storesqilin · Retail & E-Commerce

P&B Textilesqilin · Manufacturing

GTL Concreto e Logística LTDAemperador · Manufacturing

Universidade de Passo Fundothegentlemen · Education

Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing

Suhai Segurana Pessoalthegentlemen · Professional Services

Recomendação do dia: Remova interfaces administrativas de roteadores WAVLINK e Linksys da exposição à internet, segmente esses equipamentos e acompanhe os avisos dos fabricantes. Em ambientes que executam código não confiável (prefab-ui, Beta9), revise permissões e isolamento até haver correção.

Saber se equipamentos de borda e ambientes multi-inquilino da sua organização estão expostos só é possível testando e validando a própria superfície de ataque.Não espere virar estatística: valide hoje, sem custo, se algum desses vetores atinge os seus sistemas.Conheça o Agente de Pentest Autônomo com IA →

Boletins anteriores