Boletim diário · 2 de novembro de 2026
Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — atenção1 vista(s) antes do CISA
O veredito do dia é de ATENÇÃO: nenhuma falha virou arma pronta e nenhuma consta como exploração ativa no KEV nesse dia, mas o CVE-2026-86596, no plugin s2Member para WordPress, foi observado em exploração pelo VulnCheck antes do CISA e foi armado no mesmo dia da divulgação. Entre 392 novas vulnerabilidades, 21 são críticas, com destaque para injeção de comandos com CVSS 10.0 em roteadores WAVLINK e uploads arbitrários de arquivos em extensões Joomla e plugins WordPress. Também chamam atenção as falhas em servidores Secure Access e na plataforma Amazon Virtual Engineering Workbench.
Resumo do dia
- CVE-2026-86596 (s2Member, WordPress) tem exploração observada pelo VulnCheck antes do CISA e foi armada no mesmo dia da divulgação.
- Duas injeções de comandos CVSS 10.0 em roteadores WAVLINK WN551X3-A têm exploit público.
- Falhas de upload arbitrário em Joomla (Custom Tables e DJ-Classifieds) e de exclusão de arquivos em plugin WordPress podem levar a execução remota de código.
- Ransomware segue ativo no Brasil, com Punta Shopping como vítima recente do grupo emperador.
Destaques críticos
1
CVE-2026-86596◆ VulnCheckCVSS 9.8PoCno mesmo diaafeta s2Member – Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions Execução remota de código no s2Member via parâmetro 'item_name', por sanitização insuficiente que permite remontar um bloco PHP válido. Exploração observada pelo VulnCheck antes da confirmação do CISA e armada no mesmo dia: trate como prioridade máxima em sites WordPress com o plugin.
2
Injeção de comandos de SO, explorável remotamente, no tratador de resolução DNS do WAVLINK WN551X3-A (CVSS 10.0). Há exploit público, o que eleva o risco para dispositivos expostos.
3
Outra injeção de comandos de SO, no componente WireGuard CLI do mesmo roteador WAVLINK (CVSS 10.0), via argumento group_name. Exploit divulgado publicamente; dispositivos acessíveis pela rede merecem atenção imediata.
4
No Ultra Addons for Contact Form 7, atacantes não autenticados podem apagar arquivos arbitrários do servidor, o que pode levar a execução remota de código se um arquivo crítico como o wp-config for removido.
5
Upload arbitrário de arquivos sem autenticação no Custom Tables para Joomla (anterior à 3.7.8), em sites com formulário público de envio. O arquivo vai para um diretório acessível pela web e o caminho é revelado na resposta.
6
Falha de CSRF na versão 14.60 do servidor Secure Access permite induzir um administrador a criar uma conta controlada pelo atacante, abrindo caminho para acesso privilegiado.
7
Upload arbitrário de arquivos no DJ-Classifieds para Joomla (anterior à 3.11.3), por usuário sem privilégios, com potencial de execução remota completa de código.
8
Injeção em template engine no componente de publicação do Amazon Virtual Engineering Workbench permite que um usuário autenticado execute código com as permissões da role IAM da Lambda, com possível acesso a dados de todos os projetos de tenants.
9
Falha de controle de acesso nas System REST APIs do WSO2 API Control Plane permite que usuários de baixo privilégio executem ações administrativas, comprometendo a segregação de funções.
10
Bypass de autenticação em servidores Secure Access (da versão 13.0 até antes da 14.61) permite alterar configurações de segurança de um cliente via servidor, enfraquecendo as proteções do ambiente.
Ransomware do dia
O grupo emperador reivindicou recentemente a Punta Shopping, do setor de varejo e e-commerce no Brasil. Nos últimos 30 dias, os grupos mais ativos são N0n (6 vítimas), thegentlemen, emperador e qilin (4 cada), todos com vítimas concentradas no Brasil.
Punta Shopping BRemperador · Retail & E-Commerce
N0n 6thegentlemen 4emperador 4qilin 4Eclipse 2incransom 2
Grupos e APTs ativos
Entre os atores que miram o Brasil, lockbit5 lidera com 54 vítimas brasileiras listadas em leak sites, seguido por lockbit3 e thegentlemen (39 cada). Também aparecem ransomhub (origem Rússia, 35 vítimas), Akira (24) e arcusmedia (23).
Foco Brasil
Vítimas brasileiras recentes incluem Punta Shopping e GTL Concreto e Logística (emperador), bio3g.com, P&B Textiles e Animart Pet Stores (qilin), além de Universidade de Passo Fundo e Pantanal Agricola (thegentlemen). O Hospital Sírio-Libanês aparece associado ao grupo THE SEVEN DEADLY SINS, e os setores de saúde, varejo, manufatura e educação seguem entre os alvos.
Punta Shoppingemperador · Retail & E-Commerce
bio3g.comqilin · Healthcare
P&B Textilesqilin · Manufacturing
Animart Pet Storesqilin · Retail & E-Commerce
GTL Concreto e Logística LTDAemperador · Manufacturing
Universidade de Passo Fundothegentlemen · Education
Pantanal Agricolathegentlemen · Agriculture and Food Production
Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare
Recomendação do dia: Atualize ou remova imediatamente o s2Member e demais plugins e extensões afetados, e retire de exposição à internet os roteadores WAVLINK vulneráveis. Revise também os servidores Secure Access, aplicando a versão 14.61 ou superior, e restrinja o acesso às APIs administrativas.
Com tantas falhas críticas surgindo em componentes comuns de sites e dispositivos de borda, vale validar de forma contínua a própria superfície de ataque para saber se algo exposto no seu ambiente já está na mira.Descubra em minutos, com uma avaliação gratuita de exposição, onde sua organização está realmente vulnerável.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →