3.071 CVEs foram publicadas de 25/09 a 01/10. Estas são as que pedem ação:
Nos últimos 30 dias, 37 falhas entraram no catálogo de exploradas. A lista completa está no fim desta matéria.
Por onde começar
- CVE-2026-87902WordPress Core prazo venceu 28/09
- CVE-2026-65660Microsoft SharePoint prazo venceu 28/09
- CVE-2026-67279MikroTik RouterOS prazo venceu 28/09
- CVE-2026-88772Citrix NetScaler prazo venceu 30/09
- CVE-2026-88771Citrix NetScaler prazo venceu 30/09
Exploradas (8)
Todas as que entraram no catálogo KEV da CISA na semana. O prazo é o que a CISA dá às agências americanas para corrigir; vale como referência de urgência.
CVE-2026-87902WordPress Core
O que é: falha de inclusão remota de arquivos que permite a um atacante não autenticado fazer `get_page_template()` incluir um arquivo local `.php` legível escolhido fora dos diretórios do tema ativo; se as condições necessárias do servidor e do tema ativo forem atendidas, isso pode levar a remote code execution.
Quem é afetado: WordPress Core.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; descontinuar o uso se não houver mitigações.
CVE-2026-65660Microsoft SharePoint
O que é: falha do tipo injeção de código no Microsoft SharePoint que permite a um atacante autorizado executar código pela rede.
Quem é afetado: Microsoft SharePoint.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-67279MikroTik RouterOS
O que é: falha de aplicação inadequada do fluxo de comportamento no RouterOS SSH que permite a um cliente sem autenticação abrir um canal de sessão e enviar uma solicitação exec; o servidor então despacha o comando, permitindo criação, sobrescrita e reconstrução não autenticadas de arquivos no namespace de arquivos gerenciado pelo RouterOS, incluindo arquivos de suporte com dados de configuração e diagnóstico.
Quem é afetado: compilações afetadas do RouterOS; corrigido em 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable).
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-88772Citrix NetScaler
O que é: falha de limite de memória (buffer overflow) no Citrix NetScaler ADC e Citrix NetScaler Gateway que pode levar a remote code execution ou negação de serviço.
Quem é afetado: ADC: anterior a 14.1-73.37, anterior a 13.1-64.23, anterior a 14.1-73.37 FIPS, e anterior a 13.1.37.279 FIPS e NDcPP; Gateway: anterior a 14.1-73.37 e anterior a 13.1-64.23.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
CVE-2026-88771Citrix NetScaler
O que é: validação de entrada incorreta que permite a um atacante não autenticado executar comandos arbitrários.
Quem é afetado: Citrix NetScaler ADC e Citrix NetScaler Gateway, antes de 14.1-73.37, antes de 13.1-64.23, antes de 14.1-73.37 FIPS, antes de 13.1.37.279 FIPS e NDcPP.
O que fazer: aplicar as mitigações indicadas pelo fabricante ou descontinuar o uso, se elas não estiverem disponíveis.
CVE-2026-86950Apple Multiple Products
O que é: falha de escrita fora dos limites da memória (out-of-bounds write) que pode permitir execução arbitrária de código ao processar um arquivo criado maliciosamente.
Quem é afetado: iOS antes do iOS 27.
O que fazer: aplicar mitigações conforme as instruções do fabricante.
CVE-2026-76504Cisco Catalyst SD-WAN Manager
O que é: falha na gestão de autenticação baseada em sessão da API que, por tratamento inadequado de codificação de URI em uma requisição HTTP, permite a um atacante remoto não autenticado burlar a autenticação e acessar a API como usuário admin.
Quem é afetado: Cisco Catalyst SD-WAN Manager.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-104286Fortinet FortiMail
O que é: vulnerabilidade de path traversal no Fortinet FortiMail que pode permitir a um atacante não autenticado gravar arquivos arbitrários no sistema subjacente por meio de requisições HTTP ou HTTPS forjadas.
Quem é afetado: FortiMail 8.0.0 até 8.0.1, FortiMail 7.6.0 até 7.6.6, FortiMail 7.4.0 até 7.4.8, FortiMail 7.2.0 até 7.2.9.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
Merecem atenção (8)
Passaram de 10% de chance de exploração em 30 dias nesta semana e ainda não estão no catálogo de exploradas. As de maior chance vêm comentadas; o resto está na tabela.
CVE-2025-50286upload de arquivo perigoso
O que é: carregamento de arquivo perigoso que permite a um administrador autenticado enviar um plugin malicioso pela interface /admin/tools/direct-install; depois disso, o plugin é extraído e carregado automaticamente, permitindo execução arbitrária de código PHP e acesso por shell reversa.
Quem é afetado: Grav CMS v1.7.48.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-22778informação sensível em log
O que é: falha que, ao enviar uma imagem inválida ao ponto de extremidade multimodal, faz o vLLM retornar ao cliente um erro do PIL e vazar um endereço de heap; com isso, reduz o ASLR e pode ser encadeada com heap overflow para execução remota de código.
Quem é afetado: versões 0.8.3 a antes de 0.14.1.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-34174cross-site scripting (XSS)
O que é: cross-site scripting (XSS) armazenado, em que o atacante pode salvar um valor malicioso no campo start-day e fazê-lo ser exibido diretamente para outros usuários na página Status Traffic Totals.
Quem é afetado: quem estiver autenticado com pelo menos a permissão “WebCfg – Status: Traffic Totals”.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-25137função crítica sem autenticação
O que é: função crítica sem autenticação que permite a atores não autorizados deletar e baixar o banco de dados inteiro, incluindo o Odoo file store.
Quem é afetado: instalação do Odoo baseada em NixOS de 21.11 a anteriores a 25.11 e 26.05.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-40738path traversal
O que é: path traversal em SINEC NMS, que pode permitir a um atacante gravar arquivos arbitrários em locais restritos e potencialmente executar código com privilégios elevados.
Quem é afetado: SINEC NMS (todas as versões < V4.0).
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-40737path traversal
O que é: falha de path traversal que permite a um atacante gravar arquivos arbitrários em locais restritos e, potencialmente, executar código com privilégios elevados.
Quem é afetado: SINEC NMS (All versions < V4.0).
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-51087buffer overflow na pilha (stack)
O que é: falha de stack overflow; a manipulação do argumento time em /goform/saveParentControlInfo pode levar a stack-based buffer overflow.
Quem é afetado: Tenda AC8V4 V16.03.34.06.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-32794cross-site scripting (XSS)
O que é: cross-site scripting (XSS) armazenado que permite a qualquer usuário autenticado com privilégios para criar pacientes injetar JavaScript arbitrário no sistema ao usar os campos Nome e Sobrenome durante o cadastro de paciente; o código é executado ao visualizar o encontro do paciente em Orders → Procedure Orders.
Quem é afetado: versões anteriores a 7.0.3.4.
O que fazer: aplicar a atualização indicada pelo fabricante.
Críticas sem exploração (247)
Nota CVSS 9 ou mais, com chance de exploração abaixo de 10%. Corrija no ciclo normal. As de maior nota:
| CVE | Tipo de falha | CVSS | EPSS |
|---|---|---|---|
| CVE-2026-101148 | controle externo de nome de arquivo | 10 | — |
| CVE-2026-97163 | path traversal | 10 | 0,4% |
| CVE-2026-71379 | arquivos acessíveis a terceiros | 10 | 0,4% |
| CVE-2026-96587 | credencial embutida no código | 10 | 0,3% |
| CVE-2026-55107 | code injection | 10 | 0,9% |
| CVE-2026-76570 | SQL injection | 10 | 0,5% |
| CVE-2026-55393 | path traversal | 10 | — |
| CVE-2026-96349 | code injection | 10 | 0,9% |
| CVE-2026-102427 | upload de arquivo perigoso | 10 | 0,8% |
| CVE-2026-100382 | command injection no sistema operacional | 10 | 0,9% |
Em exploração agora: os últimos 30 dias
As falhas que estão sendo usadas em ataques agora, pelo catálogo da CISA: 37 entraram no catálogo de exploradas nos últimos 30 dias. Lista de 02/10/2026.
| CVE | Produto | Explorada desde | Corrigir até | CVSS | EPSS |
|---|---|---|---|---|---|
| CVE-2026-75650 | Adobe Commerce and Magento | 08/09 | venceu 11/09 | — | 3,9% |
| CVE-2026-86218 | N-able N-central | 08/09 | venceu 11/09 | — | 13% |
| CVE-2026-19490 | Citrix NetScaler | 09/09 | venceu 12/09 | — | 23% |
| CVE-2026-20079 | Cisco Secure Firewall Management Center (FMC) and Security Cloud Control (SCC) Firewall Management | 09/09 | venceu 12/09 | — | 88% |
| CVE-2025-25249 | Fortinet Multiple Products | 09/09 | venceu 12/09 | — | 3,9% |
| CVE-2026-67277 | MikroTik RouterOS | 10/09 | venceu 13/09 | — | 1,6% |
| CVE-2026-86060 | MikroTik RouterOS | 10/09 | venceu 13/09 | — | 6,4% |
| CVE-2026-84869 | ConnectWise ScreenConnect | 11/09 | venceu 14/09 | — | 0,9% |
| CVE-2026-85706 | GitLab Community Edition and Enterprise Edition | 11/09 | venceu 14/09 | — | 93% |
| CVE-2026-76461 | Cisco Secure Email Gateway | 14/09 | venceu 17/09 | — | 28% |
| CVE-2026-85046 | Google Chromium V8 | 04/09 | venceu 18/09 | — | 49% |
| CVE-2026-58704 | Google Pixel | 16/09 | venceu 19/09 | — | 0,6% |
| CVE-2026-76460 | Cisco Identity Services Engine | 16/09 | venceu 19/09 | — | 14% |
| CVE-2026-87886 | Acronis Backup | 16/09 | venceu 19/09 | — | 0,2% |
| CVE-2025-39682 | Linux Kernel | 18/09 | venceu 21/09 | — | 2,9% |
| CVE-2026-53266 | Linux Kernel | 18/09 | venceu 21/09 | — | 0,8% |
| CVE-2025-39964 | Linux Kernel | 18/09 | venceu 21/09 | — | 1,0% |
| CVE-2026-81963 | Microsoft Windows | 08/09 | venceu 22/09 | — | 0,4% |
| CVE-2026-85880 | Microsoft Windows | 08/09 | venceu 22/09 | — | 3,6% |
| CVE-2026-87491 | Google Chromium V8 | 09/09 | venceu 23/09 | — | 3,1% |
| CVE-2026-7273 | Zyxel GS1900 Series Switches | 21/09 | venceu 24/09 | — | 2,5% |
| CVE-2026-85102 | Check Point Multiple Products | 22/09 | venceu 25/09 | — | 7,5% |
| CVE-2026-94127 | F5 BIG-IP APM | 22/09 | venceu 25/09 | 9,3 | 2,2% |
| CVE-2026-93952 | Arista VeloCloud Orchestrator | 22/09 | venceu 25/09 | 9,5 | 1,1% |
| CVE-2026-93616 | Check Point Multiple Products | 22/09 | venceu 25/09 | 9,8 | 20% |
| CVE-2026-42018 | JFrog Artifactory | 11/09 | venceu 25/09 | — | 9,8% |
| CVE-2026-42016 | JFrog Artifactory | 11/09 | venceu 25/09 | — | 8,6% |
| CVE-2026-71362 | Adobe Commerce and Magento | 24/09 | venceu 27/09 | 9,1 | 88% |
| CVE-2026-5430 | WSO2 Multiple Products | 24/09 | venceu 27/09 | 10 | 0,6% |
| CVE-2026-67279 | MikroTik RouterOS | 25/09 | venceu 28/09 | 6,9 | 1,0% |
| CVE-2026-65660 | Microsoft SharePoint | 25/09 | venceu 28/09 | 8,8 | 2,1% |
| CVE-2026-87902 | WordPress Core | 25/09 | venceu 28/09 | 8,1 | 46% |
| CVE-2026-88772 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 1,3% |
| CVE-2026-88771 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 1,1% |
| CVE-2026-86950 | Apple Multiple Products | 29/09 | 02/10 | 8,8 | 1,2% |
| CVE-2026-76504 | Cisco Catalyst SD-WAN Manager | 30/09 | 03/10 | 9,8 | 1,6% |
| CVE-2026-104286 | Fortinet FortiMail | 01/10 | 04/10 | 9,8 | 1,8% |
Como classificamos. Exploradas: catálogo KEV da CISA. Merecem atenção: EPSS (FIRST.org) que passou de 10% nesta semana, CVEs dos últimos 2 anos. Críticas: CVSS 9 ou mais na NVD. Os textos são redigidos a partir desses dados oficiais; números e datas saem direto das fontes.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews