Boletim diário · 5 de novembro de 2026
BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas
Veredito do dia — atenção1 vista(s) antes do CISA
O veredito do dia é de ATENÇÃO: nenhuma vulnerabilidade virou arma pronta, mas o VulnCheck já observou exploração da CVE-2026-119757, no BTCPay Server, antes de qualquer confirmação do CISA. O dia teve 383 novas CVEs, 33 críticas, e a lista em destaque é dominada por um conjunto de falhas no Apache Juneau, além de um IDOR grave no MatchPoint. Em paralelo, o ransomware segue atingindo vítimas brasileiras de diversos setores.
Resumo do dia
- CVE-2026-119757 (BTCPay Server, CVSS 9.3): exploração vista pelo VulnCheck antes do CISA e risco direto de roubo de fundos via nós LND.
- Apache Juneau concentra oito CVEs críticas (CVSS 10.0) no dia, de path traversal a vazamento de credenciais.
- CVE-2026-111490 (MatchPoint, CVSS 9.9): IDOR expõe dados pessoais, bancários e financeiros.
- Ransomware segue ativo no Brasil, com vítimas como MAPFRE Brasil, Solutis e a Secretaria de Estado de Saúde.
33
críticas
1
Em exploração ativa
1
Antes do CISA
0
Arma pronta
Destaques críticos
1
Permite que atacantes remotos sem autenticação obtenham arquivos .macaroon de um nó LND e assumam controle total, incluindo movimentação de fundos. Há exploração observada pelo VulnCheck antes do CISA, o que indica uso real e exige atualização urgente para a versão 2.4.2 ou superior.
2
Path traversal no DirectoryResource do Apache Juneau permite ler, gravar ou apagar arquivos fora do diretório raiz quando as opções de visualização, upload ou exclusão estão ativas (desligadas por padrão). Quem habilitou essas opções deve tratá-las como prioridade.
3
A serialização HTML do Juneau não codifica variáveis no cabeçalho, navegação e rodapé da página, abrindo espaço para XSS refletido quando esses campos usam dados da requisição. O risco é maior em aplicações que incluem headers ou parâmetros nesses elementos.
4
Valores de cabeçalhos e destinos de redirecionamento chegam sem validação ao servlet container, permitindo injeção de linhas de cabeçalho (HTTP response splitting) se a aplicação os definir a partir de dados da requisição. O impacto depende de o container bloquear ou não essas sequências.
5
O RestClient do Juneau segue redirecionamentos mantendo cabeçalhos de credencial como Authorization, Cookie e X-API-Key. Um servidor malicioso pode receber esses dados ao redirecionar para outro host, porta ou de HTTPS para HTTP.
6
O servidor REST envia a classe e a mensagem da exceção interna ao cliente no cabeçalho "Thrown" em respostas de erro, mesmo com stack trace desativado. Isso entrega detalhes de implementação úteis para reconhecimento.
7
O logger padrão registra em texto claro cabeçalhos como Authorization e Cookie em requisições que terminam em erro de servidor. Qualquer cliente que provoque um erro pode fazer credenciais irem parar nos logs, expostas a quem os acessar.
8
O parâmetro de query "content" substitui o corpo da requisição e vem habilitado por padrão em todos os métodos, inclusive GET. Isso permite CSRF por um simples link, contornando proteções baseadas em método ou tipo de conteúdo.
9
Ao converter valores para propriedades do tipo Class, o Juneau carrega a classe com inicialização, executando seu inicializador estático. O impacto depende das classes presentes no classpath da aplicação.
10
A API do MatchPoint confia no cabeçalho actingasuser sem verificar autorização, e a manipulação de identificadores sequenciais dá acesso a dados pessoais, bancários e financeiros, mensagens privadas e QR codes de acesso físico, além de permitir alterar contas de terceiros.
Ransomware do dia
Entre as vítimas recém-descobertas estão MAPFRE Brasil (grupo Destello), Coemi Imóveis, Solutis Tecnologias e a Secretaria de Estado de Saúde (todas do thegentlemen), Sistel (Aoqin), Interplast (medusalocker) e centratamagroup.com (lockbit5). Nos últimos 30 dias, o thegentlemen lidera entre os grupos mais ativos, com 7 vítimas, todas no Brasil, seguido por N0n (6), qilin (4) e emperador (4).
MAPFRE Brasil 2026 BR
Coemi Imóveis BR
Solutis Tecnologias BR
Sistel BR
Secretaria de Estado de Saúde BR
Interativa Plasticos (Interplast) BR
centratamagroup.com BR
thegentlemen 7N0n 6qilin 4emperador 4Eclipse 2incransom 2
Grupos e APTs ativos
Os grupos com mais vítimas brasileiras listadas em leak sites são lockbit5 (55), thegentlemen (42), lockbit3 (39), ransomhub (35, origem Rússia), Akira (24) e arcusmedia (23). Todos aparecem como grupos que miram o Brasil.
lockbit5 mira BRthegentlemen mira BRlockbit3 mira BRransomhub mira BRAkira mira BRarcusmedia mira BR
Foco Brasil
O Brasil segue como alvo frequente, com vítimas recentes em serviços financeiros (MAPFRE Brasil), tecnologia (Solutis, Sistel), governo (Secretaria de Estado de Saúde), varejo (Coemi Imóveis, Punta Shopping) e manufatura (Interplast). O thegentlemen aparece em três delas e o setor público e o de tecnologia merecem atenção redobrada.
MAPFRE Brasil 2026
Solutis Tecnologias
Sistel
Secretaria de Estado de Saúde
Coemi Imóveis
centratamagroup.com
Interativa Plasticos (Interplast)
Punta Shopping
Recomendação do dia: Atualize imediatamente o BTCPay Server para a versão 2.4.2 ou superior e rotacione os macaroons do LND caso haja suspeita de exposição. Revise as instalações do Apache Juneau e desative recursos desnecessários, como upload e exclusão no DirectoryResource, além de proteger logs que possam conter credenciais.
Com falhas críticas sendo exploradas antes mesmo da confirmação oficial, vale validar de forma contínua se a sua superfície de ataque realmente expõe esses riscos.Saber que a falha existe é metade do trabalho; a outra metade é saber se ela te afeta. Comece com um teste de exposição sem custo inicial.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →