Boletim diário · 3 de novembro de 2026

Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques

Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS

Veredito do dia — atenção1 vista(s) antes do CISA

O dia pede ATENÇÃO: uma falha no Ivanti Connect Secure (CVE-2026-118527) está no KEV da CISA e no KEV do VulnCheck, e uma injeção de código no plugin Advanced Custom Fields: Extended PRO (CVE-2026-120534) foi observada em exploração pelo VulnCheck antes de qualquer confirmação da CISA. Nenhuma vulnerabilidade virou arma pronta, mas a lista traz várias falhas críticas com CVSS 10.0 em roteadores Linksys e Qihoo 360, com prova de conceito pública, além de falhas de execução remota em produtos corporativos como Foglight for Databases e Dameware.

Resumo do dia

Ivanti Connect Secure (CVE-2026-118527) tem exploração ativa confirmada pela CISA, apesar do CVSS médio de 4,3.
Plugin ACF Extended PRO (CVE-2026-120534, CVSS 9,8) foi visto em exploração pelo VulnCheck antes do CISA: alerta antecipado.
Roteadores Linksys e Qihoo 360 somam quatro falhas com CVSS 10.0 e PoC público, sem resposta dos fabricantes.
Foglight for Databases tem duas falhas de execução remota sem autenticação (CVE-2026-92189 e CVE-2026-92188).

críticas

Em exploração ativa

Antes do CISA

Arma pronta

Destaques críticos

CVE-2026-118527KEVMEDIUM 4.3afeta Connect Secure

Exploração ativa confirmada pela CISA e observada pelo VulnCheck. O CVSS 4,3 engana: o upload de arquivos para local previsível no Ivanti Connect Secure, um equipamento de borda, é útil para encadear ataques, e quem tem versões anteriores à 25.1.1.3 ou 22.8R2.6 deve tratar como prioridade.

CVE-2026-120534◆ VulnCheckCVSS 9.8afeta Advanced Custom Fields: Extended PRO

Injeção de código no ACF Extended PRO para WordPress (até a 0.9.2.6), explorável sem autenticação, com CVSS 9,8. O VulnCheck já observou exploração antes da CISA, o que indica ataque real em curso, embora o EPSS seja 0%.

CVE-2026-121615CVSS 10PoCafeta E5600

Falha de autenticação imprópria no Linksys E5600 (mesh_login.cgi), com CVSS 10.0 e exploração remota. Há prova de conceito pública e o fabricante não respondeu, então não há correção à vista e convém restringir a exposição do dispositivo.

CVE-2026-121609CVSS 10PoCafeta Whole Home Router M5

Credenciais embutidas no script de boot do Qihoo 360 Whole Home Router M5, exploráveis remotamente, com CVSS 10.0. O exploit é público e o fabricante não respondeu ao contato.

CVE-2026-121607CVSS 10PoCafeta D600-2

Injeção de comando de SO via argumento host em roteadores Qihoo 360 (D603-2, D600-2, D606-6 e D706). O ataque é remoto, o CVSS é 10.0 e há exploit público sem resposta do fabricante.

CVE-2026-121606CVSS 10PoCafeta D600-2

Verificação inadequada de assinatura criptográfica no firmware de roteadores Qihoo 360, com ataque remoto e CVSS 10.0. Pode permitir a aceitação de firmware não confiável, o que compromete a integridade do dispositivo.

CVE-2026-28336CVSS 9.9afeta Dameware

Injeção de comando no SolarWinds Dameware, com CVSS 9,9, que pode levar ao comprometimento do host controlado remotamente. Exige autenticação, mas a ferramenta de acesso remoto é alvo valioso para movimentação lateral.

CVE-2026-4052CVSS 9.8afeta WSO2 API Control Plane

No WSO2 API Control Plane, um usuário autorregistrado pode obter token e acessar as APIs REST de sistema do API Manager. Afeta apenas implantações com Identity Server como Resident Key Manager com banco compartilhado (CVSS 9,8).

CVE-2026-92189CVSS 9.8afeta Foglight for Databases

Execução remota de código sem autenticação no Quest Foglight for Databases, via controle externo de caminho de arquivo em writeTopologySectionToFile. CVSS 9,8 em ferramenta de monitoramento que costuma ter acesso privilegiado a bancos de dados.

CVE-2026-92188CVSS 9.8afeta Foglight for Databases

Falta de autenticação no módulo ForgeMBeanServerSupport do Foglight for Databases permite execução remota de código (CVSS 9,8). Combinada com a CVE-2026-92189, amplia bastante o risco para instalações expostas.

Ransomware do dia

A Punta Shopping (varejo e e-commerce, Brasil) foi a vítima recém-descoberta, reivindicada pelo grupo emperador. Nos últimos 30 dias, os grupos mais ativos são N0n (6 vítimas, todas no Brasil), thegentlemen, emperador e qilin (4 cada, todas no Brasil), além de Eclipse e incransom (2 cada).

Punta Shopping BRemperador · Retail & E-Commerce

N0n 6thegentlemen 4emperador 4qilin 4Eclipse 2incransom 2

Grupos e APTs ativos

Lockbit5 (54 vítimas brasileiras listadas em leak sites), lockbit3 (39), thegentlemen (39), ransomhub, de origem russa (35), Akira (24) e arcusmedia (23) aparecem como grupos ativos que miram o Brasil. O volume mostra que o país é alvo recorrente de operações de extorsão.

lockbit5 mira BR—lockbit3 mira BR—thegentlemen mira BR—ransomhub mira BRRússia Akira mira BR—arcusmedia mira BR—

Foco Brasil

Vítimas brasileiras recentes incluem Punta Shopping e Animart Pet Stores (varejo), P&B Textiles e GTL Concreto e Logística (indústria), bio3g.com, CLIMEDI e Hospital Sírio-Libanês (saúde) e a Universidade de Passo Fundo (educação). Os grupos por trás são emperador, qilin, thegentlemen e THE SEVEN DEADLY SINS, com forte concentração em saúde e varejo.

Punta Shoppingemperador · Retail & E-Commerce

P&B Textilesqilin · Manufacturing

bio3g.comqilin · Healthcare

Animart Pet Storesqilin · Retail & E-Commerce

GTL Concreto e Logística LTDAemperador · Manufacturing

CLIMEDIthegentlemen · Healthcare

Universidade de Passo Fundothegentlemen · Education

Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare

Recomendação do dia: Aplique imediatamente as correções do Ivanti Connect Secure e atualize o plugin ACF Extended PRO, e retire da internet ou isole roteadores Linksys e Qihoo 360 afetados, já que não há resposta dos fabricantes. Restrinja o acesso de rede a Foglight, Dameware e WSO2 e revise logs em busca de atividade anômala.

Com falhas críticas surgindo em equipamentos de borda, plugins e ferramentas de gestão ao mesmo tempo, validar a própria superfície de ataque é o único jeito de saber se isso realmente afeta o seu ambiente.Antes que um atacante encontre, encontre primeiro: faça uma avaliação inicial de exposição sem custo e veja se sua infraestrutura está vulnerável a falhas como estas.Conheça o Agente de Pentest Autônomo com IA →

Boletins anteriores