3.645 CVEs foram publicadas de 26/10 a 01/11. Estas são as que pedem ação:
Nos últimos 30 dias, 33 falhas entraram no catálogo de exploradas. A lista completa está no fim desta matéria.
Por onde começar
- CVE-2026-109619PHP Group prazo venceu 29/10
- CVE-2026-109618PHP Group prazo venceu 29/10
- CVE-2026-46300Linux Kernel prazo venceu 31/10
- CVE-2026-97229GitLab Community Edition e Enterprise Edition prazo venceu 01/11
- CVE-2026-76418Secure Firewall ASA Software e Cisco Secure FTD Software prazo venceu 01/11
Exploradas (10)
Todas as que entraram no catálogo KEV da CISA na semana. O prazo é o que a CISA dá às agências americanas para corrigir; vale como referência de urgência.
CVE-2026-109619PHP Group
O que é: falha do tipo use-after-free no PHP que pode fazer o estado global apontar para memória de requisição já liberada, permitindo que requisições subsequentes leiam ou sigam esse estado e produzindo remote code execution.
Quem é afetado: PHP.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-109618PHP Group
O que é: use-after-free que pode levar a remote code execution ao processar erros de out-of-memory e a limpeza da requisição.
Quem é afetado: PHP.
O que fazer: aplicar medidas de mitigação conforme as instruções do fabricante.
CVE-2026-46300Linux Kernel
O que é: escrita fora dos limites da memória (out-of-bounds write) no Linux Kernel; o atacante pode fazer o ESP interpretar incorretamente um skb e descriptografar no local sobre frags apoiados em cache de páginas.
Quem é afetado: Linux Kernel.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-97229GitLab Community Edition e Enterprise Edition
O que é: estouro de inteiro (integer overflow) que, em certas condições, podia permitir a um usuário não autenticado executar código arbitrário no servidor GitLab por meio de uma expressão regular especialmente criada na configuração de CI/CD, devido à validação insuficiente de expressões regulares.
Quem é afetado: GitLab Community Edition e Enterprise Edition, em todas as versões de 19.2 antes de 19.2.8, 19.3 antes de 19.3.5, e 19.4 antes de 19.4.2.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigação, descontinuar o uso do produto.
CVE-2026-76418Secure Firewall ASA Software e Cisco Secure FTD Software
O que é: falha de unchecked return value to NULL pointer dereference que pode permitir a um atacante remoto não autenticado fazer o dispositivo reiniciar inesperadamente, causando negação de serviço.
Quem é afetado: Cisco Secure Firewall ASA Software e Cisco Secure FTD Software.
O que fazer: aplicar mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-111357Ivanti Connect Secure
O que é: falha de autenticação ausente para função crítica no Ivanti Connect Secure, que permite escalada de privilégios até root.
Quem é afetado: Ivanti Connect Secure 22.8R2.4.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-111497Google Brotli
O que é: vulnerabilidade de buffer overflow no decoder do Brotli que permite a um atacante remoto não autenticado corromper memória adjacente do estado do decoder, divulgar conteúdo sensível da memória, causar negação de serviço ou potencialmente executar código arbitrário usando um fluxo Brotli comprimido especialmente criado.
Quem é afetado: Google Brotli nas versões 1.0.3 até 1.2.0 em todas as plataformas.
O que fazer: atualizar quaisquer bibliotecas ou binários Brotli entre 1.0.3 até 1.2.0 para a versão mais recente disponível: 1.0.10 ou 1.1.1 ou 1.2.1.
CVE-2026-48356Adobe Commerce e Magento
O que é: upload de arquivo perigoso que pode permitir remote code execution no contexto do usuário atual, com possibilidade de obter acesso elevado ou controle da conta ou sessão da vítima.
Quem é afetado: Adobe Commerce e Magento.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
CVE-2026-41709Broadcom VMware ESX
O que é: falha de registro insuficiente no VMware ESX; um administrador malicioso pode explorar o problema para realizar certas operações sem que elas sejam registradas.
Quem é afetado: VMware ESX.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-118527Ivanti Connect Secure
O que é: vulnerabilidade de geração de números ou identificadores previsíveis que permite a um atacante autenticado remoto enviar arquivos com conteúdo controlado pelo atacante para um local conhecido em disco.
Quem é afetado: Ivanti Connect Secure.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
Merecem atenção (3)
Passaram de 10% de chance de exploração em 30 dias nesta semana e ainda não estão no catálogo de exploradas. As de maior chance vêm comentadas; o resto está na tabela.
CVE-2025-50979SQL injection
O que é: SQL injection no endpoint de API de busca de categorias, permitindo que atacantes remotos e não autenticados injetem cargas úteis boolean-based blind e de erro PostgreSQL.
Quem é afetado: NodeBB v4.3.0.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-54766falha com chance de exploração em alta
O que é: falha de controle de acesso em endpoint de API, que permite a usuários com permissão apenas de leitura exportar a configuração do equipamento e expor informações sensíveis.
Quem é afetado: usuários de aplicação web com permissão de leitura.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-54765falha com chance de exploração em alta
O que é: Falha em um endpoint de API que deveria ficar restrito a administradores da aplicação web, mas pode ser acessado por usuários da aplicação web com perfil somente leitura, permitindo importar a configuração do appliance e controlar sua configuração, inclusive concedendo privilégios administrativos a si mesmos.
Quem é afetado: usuários da aplicação web com perfil somente leitura.
O que fazer: aplicar a atualização indicada pelo fabricante.
Críticas sem exploração (248)
Nota CVSS 9 ou mais, com chance de exploração abaixo de 10%. Corrija no ciclo normal. As de maior nota:
| CVE | Tipo de falha | CVSS | EPSS |
|---|---|---|---|
| CVE-2026-65145 | função crítica sem autenticação | 10 | 0,5% |
| CVE-2026-105781 | SQL injection | 10 | 0,5% |
| CVE-2026-61567 | command injection no sistema operacional | 10 | 0,5% |
| CVE-2026-61564 | code injection | 10 | 0,5% |
| CVE-2026-84295 | autenticação incorreta | 10 | 0,6% |
| CVE-2026-112816 | CWE-295 | 10 | 0,3% |
| CVE-2026-61826 | cross-site request forgery (CSRF) | 10 | 0,3% |
| CVE-2026-61991 | code injection | 10 | 0,7% |
| CVE-2026-115905 | validação de entrada incorreta | 10 | 0,3% |
| CVE-2026-61738 | path traversal | 10 | 0,6% |
Em exploração agora: os últimos 30 dias
As falhas que estão sendo usadas em ataques agora, pelo catálogo da CISA: 33 entraram no catálogo de exploradas nos últimos 30 dias. Lista de 02/11/2026.
| CVE | Produto | Explorada desde | Corrigir até | CVSS | EPSS |
|---|---|---|---|---|---|
| CVE-2026-88779 | Citrix NetScaler | 04/10 | venceu 07/10 | 8,7 | 11% |
| CVE-2015-5477 | ISC BIND | 08/10 | venceu 11/10 | 7,5 | 100% |
| CVE-2015-3306 | ProFTPD | 08/10 | venceu 11/10 | 10 | 99% |
| CVE-2023-22894 | Strapi | 08/10 | venceu 11/10 | 4,9 | 4,1% |
| CVE-2021-3199 | ONLYOFFICE Docs | 08/10 | venceu 11/10 | 9,8 | 30% |
| CVE-2016-3081 | Apache Struts | 08/10 | venceu 11/10 | 8,1 | 97% |
| CVE-2026-96951 | Microsoft Windows | 13/10 | venceu 16/10 | 8,8 | 9,8% |
| CVE-2026-104935 | Ivanti Connect Secure | 13/10 | venceu 16/10 | 8,6 | 87% |
| CVE-2026-76519 | Cisco Secure Email Gateway | 14/10 | venceu 17/10 | 9,8 | 2,2% |
| CVE-2026-0322 | Palo Alto Networks PAN-OS | 14/10 | venceu 17/10 | 8,6 | 1,7% |
| CVE-2026-105133 | AhsayCBS | 14/10 | venceu 17/10 | 5,5 | 79% |
| CVE-2026-105134 | AhsayCBS | 14/10 | venceu 17/10 | 9,3 | 82% |
| CVE-2026-21589 | Atlassian, vários produtos | 15/10 | venceu 18/10 | 9,3 | 99% |
| CVE-2026-102764 | BeyondTrust Remote Support | 16/10 | venceu 19/10 | 9,3 | 19% |
| CVE-2025-61624 | Fortinet, vários produtos | 16/10 | venceu 19/10 | 6 | 1,3% |
| CVE-2026-96654 | Plex Media Server | 20/10 | venceu 23/10 | 6,9 | 1,9% |
| CVE-2026-106931 | EG Secure Solutions SiteGuard Server Edition | 20/10 | venceu 23/10 | 8,5 | 2,5% |
| CVE-2026-96656 | Plex Media Server | 20/10 | venceu 23/10 | 8,6 | 1,8% |
| CVE-2026-110447 | Collabora Online – Built-in CODE Server | 23/10 | venceu 26/10 | 9,2 | 73% |
| CVE-2026-114625 | Arista VeloCloud Orchestrator | 23/10 | venceu 26/10 | 9,4 | 1,0% |
| CVE-2026-109618 | PHP Group | 26/10 | venceu 29/10 | 9,2 | 100% |
| CVE-2026-109619 | PHP Group | 26/10 | venceu 29/10 | 9,2 | 100% |
| CVE-2026-46300 | Linux Kernel | 28/10 | venceu 31/10 | 7,8 | 16% |
| CVE-2026-76418 | Secure Firewall ASA Software e Cisco Secure FTD Software | 29/10 | venceu 01/11 | 8,6 | 0,8% |
| CVE-2026-97229 | GitLab Community Edition e Enterprise Edition | 29/10 | venceu 01/11 | 10 | 27% |
| CVE-2026-111357 | Ivanti Connect Secure | 30/10 | 02/11 | 7 | 0,5% |
| CVE-2026-96652 | Plex Media Server | 20/10 | 03/11 | 5,3 | 1,8% |
| CVE-2026-110936 | Siemens Software Center | 20/10 | 03/11 | 8,4 | 1,0% |
| CVE-2026-96655 | Plex Media Server | 20/10 | 03/11 | 5,3 | 1,6% |
| CVE-2026-48356 | Adobe Commerce e Magento | 27/10 | 10/11 | 9,3 | 45% |
| CVE-2026-111497 | Google Brotli | 27/10 | 10/11 | 9,2 | 83% |
| CVE-2026-41709 | Broadcom VMware ESX | 28/10 | 11/11 | 2,7 | 0,7% |
| CVE-2026-118527 | Ivanti Connect Secure | 30/10 | 13/11 | — | — |
Como classificamos. Exploradas: catálogo KEV da CISA. Merecem atenção: EPSS (FIRST.org) que passou de 10% nesta semana, CVEs dos últimos 2 anos. Críticas: CVSS 9 ou mais na NVD. Os textos são redigidos a partir desses dados oficiais; números e datas saem direto das fontes.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews