Boletim diário · 6 de novembro de 2026
SonicOS com bypass de SAML em exploração ativa lidera dia de falhas críticas em plugins WordPress
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — atenção2 vista(s) antes do CISA
O veredito do dia é de ATENÇÃO: a falha CVE-2026-19868, no SSLVPN do SonicOS, está no KEV da CISA e também no VulnCheck KEV, com exploração ativa confirmada e capacidade de contornar a autenticação SAML e o MFA. Duas outras CVEs, em WP Libre Form e Elementor, foram observadas em exploração pelo VulnCheck antes de aparecerem no CISA, o que funciona como alerta antecipado. Nenhuma das falhas virou arma pronta, mas o volume de CVEs críticas, sobretudo em plugins WordPress, e o ritmo de ransomware sobre alvos brasileiros mantêm o cenário em alerta.
Resumo do dia
- SonicOS (CVE-2026-19868): bypass de SAML/MFA no SSLVPN, com exploração ativa confirmada no CISA KEV e no VulnCheck KEV.
- WP Libre Form (CVE-2026-118423, CVSS 10.0): RCE sem autenticação, armada no mesmo dia da divulgação e observada pelo VulnCheck antes do CISA.
- Elementor (CVE-2026-109884) também foi vista em exploração pelo VulnCheck antes do CISA.
- Plugins WordPress concentram várias falhas críticas com PoC; Entra Device Registration tem CVSS 10.0 com escalada de privilégio.
Destaques críticos
1
Falha de aplicação de autenticação no SSLVPN do SonicOS permite que um usuário com credenciais válidas de outro método contorne o SAML e o MFA imposto por ele. Com exploração ativa confirmada, equipamentos de borda expostos são prioridade imediata.
2
O plugin WP Libre Form 1.5.0.1 aceita upload de arquivos PHP sem validação de tipo, permitindo execução remota de código por atacante não autenticado. Foi armada no mesmo dia da divulgação e vista em exploração pelo VulnCheck antes do CISA, sinal forte de urgência apesar do EPSS baixo.
3
XSS refletido no Elementor Website Builder (até a 4.3.5), com exploração observada pelo VulnCheck antes do CISA. Pode servir para sequestro de sessão de administradores, e a base instalada do plugin é muito grande.
4
Bypass de autorização por chave controlada pelo usuário no Entra Device Registration permite escalada de privilégios pela rede, com CVSS 10.0. Ainda sem sinais de exploração, mas o impacto potencial sobre a identidade corporativa justifica atenção.
5
No Wanderer, anterior à versão 0.20.0, o endpoint de download aceita uma URL controlada pelo atacante sem autenticação, o que viabiliza SSRF contra serviços internos e metadados de nuvem. Instâncias autohospedadas expostas devem ser atualizadas.
6
CVE-2026-119516CVSS 9.8afeta Radius Booking — Booking Calendar for Appointments & Services Desserialização de dados não confiáveis no Radius Booking (até a 1.0.20) permite injeção de objetos, com risco de execução de código dependendo da cadeia de gadgets disponível. CVSS 9.8 e EPSS baixo, mas é falha típica de ser testada em massa.
7
Atribuição incorreta de privilégios no plugin OAuth Single Sign On da miniOrange (até a 7.1.3) abre caminho para escalada de privilégios. Em um componente de login, isso pode levar à tomada de contas administrativas.
8
CVE-2026-113615CVSS 9.8PoCno mesmo diaafeta GS JWT Authentication for WP REST API O plugin GS JWT Authentication for WP REST API (até a 1.0.0) tem SQL injection sem autenticação em rotas REST e permite obter uma sessão de administrador. Armada no mesmo dia da divulgação, com PoC disponível, merece correção ou remoção imediata.
9
O Static Snapshot (até a 0.2.1) concatena entrada do usuário em comandos do sistema operacional sem tratamento, permitindo execução de comandos por atacante não autenticado. Há PoC, e o impacto é o comprometimento total do servidor.
10
No plugin placester (até a 1.4.3), uma ação AJAX sem verificação de permissão ou nonce permite sobrescrever o e-mail de qualquer usuário, inclusive administradores, e assumir a conta pelo fluxo de redefinição de senha. Há PoC pública, e o ataque dispensa autenticação.
Ransomware do dia
Entre as vítimas recém-descobertas, todas brasileiras, aparecem MAPFRE Brasil 2026 (Destello), Coemi Imóveis, Solutis Tecnologias e a Secretaria de Estado de Saúde (todas thegentlemen), Sistel (Aoqin), Interativa Plasticos/Interplast (medusalocker) e centratamagroup.com (lockbit5). Nos últimos 30 dias, os grupos mais ativos são thegentlemen (7 vítimas, todas no Brasil), N0n (6), qilin (4) e emperador (4), todos com foco brasileiro.
MAPFRE Brasil 2026 BRDestello · Financial Services
Coemi Imóveis BRthegentlemen · Retail & E-Commerce
Solutis Tecnologias BRthegentlemen · Technology
Sistel BRAoqin · Technology
Secretaria de Estado de Saúde BRthegentlemen · Government & Defense
Interativa Plasticos (Interplast) BRmedusalocker · Manufacturing
centratamagroup.com BRlockbit5 · Other
thegentlemen 7N0n 6qilin 4emperador 4Eclipse 2incransom 2
Grupos e APTs ativos
lockbit5 lidera em vítimas brasileiras listadas em leak sites (55), seguido por thegentlemen (42), lockbit3 (39), ransomhub, de origem russa (35), Akira (24) e arcusmedia (23). Todos aparecem marcados como grupos que miram o Brasil.
Foco Brasil
O Brasil concentra todas as vítimas recentes de ransomware listadas, em setores variados: serviços financeiros (MAPFRE Brasil 2026), tecnologia (Solutis e Sistel), governo e defesa (Secretaria de Estado de Saúde), varejo (Coemi Imóveis e Punta Shopping) e indústria (Interplast). A recorrência de thegentlemen, com vítimas em tecnologia, varejo e setor público, indica pressão sustentada sobre organizações brasileiras.
MAPFRE Brasil 2026Destello · Financial Services
Solutis Tecnologiasthegentlemen · Technology
SistelAoqin · Technology
Secretaria de Estado de Saúdethegentlemen · Government & Defense
Coemi Imóveisthegentlemen · Retail & E-Commerce
centratamagroup.comlockbit5 · Other
Interativa Plasticos (Interplast)medusalocker · Manufacturing
Punta Shoppingemperador · Retail & E-Commerce
Recomendação do dia: Aplique imediatamente as correções do SonicOS e revise o acesso SSLVPN com SAML, além de atualizar ou remover os plugins WordPress citados, priorizando WP Libre Form e Elementor. Revise logs de upload e de autenticação em busca de sinais de abuso.
Com tantas falhas críticas surgindo em componentes de borda e de sites públicos, validar de forma contínua a própria superfície de ataque é o que permite responder com segurança se isso afeta o seu ambiente.Vulnerabilidades surgem todos os dias — sua defesa acompanha? Faça uma análise inicial gratuita da sua superfície de ataque.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →