4.211 CVEs foram publicadas de 19/10 a 25/10. Estas são as que pedem ação:
Nos últimos 30 dias, 30 falhas entraram no catálogo de exploradas. A lista completa está no fim desta matéria.
Por onde começar
- CVE-2026-106931EG Secure Solutions SiteGuard Server Edition prazo venceu 23/10
- CVE-2026-96654Plex Media Server prazo venceu 23/10
- CVE-2026-96656Plex Media Server prazo venceu 23/10
- CVE-2026-110447Collabora Online – Built-in CODE Server corrigir até 26/10
- CVE-2026-114625Arista VeloCloud Orchestrator corrigir até 26/10
Exploradas (8)
Todas as que entraram no catálogo KEV da CISA na semana. O prazo é o que a CISA dá às agências americanas para corrigir; vale como referência de urgência.
CVE-2026-106931EG Secure Solutions SiteGuard Server Edition
O que é: falha de injeção de comandos no sistema operacional que pode permitir a execução de comandos arbitrários do sistema operacional com privilégios root ou SYSTEM no sistema afetado.
Quem é afetado: EG Secure Solutions SiteGuard Server Edition.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações disponíveis, descontinuar o uso do produto.
CVE-2026-96654Plex Media Server
O que é: vulnerabilidade de neutralização incorreta de esquemas URI codificados em uma página web; um atacante pode chamar funções de outros complementos e fornecer seus próprios parâmetros.
Quem é afetado: Plex Media Server antes de 1.43.3.10861.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
CVE-2026-96656Plex Media Server
O que é: controle externo de nome de arquivo; permite que um usuário administrador grave arquivos arbitrários que podem ser executados no carregamento.
Quem é afetado: Plex Media Server anterior à 1.43.3.10861.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
CVE-2026-110447Collabora Online – Built-in CODE Server
O que é: falha do tipo injeção de comandos no sistema operacional que permite remote code execution quando o servidor CODE não está em execução, como após uma reinicialização recente.
Quem é afetado: Collabora Online Built-in CODE Server antes de 26.4.303 (richdocumentscode), o aplicativo Nextcloud; somente essa implantação com CODE Server é afetada.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-114625Arista VeloCloud Orchestrator
O que é: SQL injection que pode permitir a um atacante remoto acessar funcionalidade interna privilegiada, ganhar privilégios de operador e se passar por um usuário local “superuser operator”, comprometendo a confidencialidade, integridade e disponibilidade do orchestrator e dos dados gerenciados por ele.
Quem é afetado: VeloCloud Orchestrator (VCO) on-prem; versões Hosted, incluindo Dedicated, também foram impactadas e já foram corrigidas.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se as mitigações não estiverem disponíveis, descontinuar o uso do produto.
CVE-2026-96652Plex Media Server
O que é: falsificação de solicitação do lado do servidor (SSRF) que permite ao atacante usar qualquer valor de X-Plex-Token e incluir uma URL completa no parâmetro `protocol` para forçar o servidor Plex a fazer um POST ao destino escolhido pelo atacante.
Quem é afetado: Plex Media Server before 1.43.3.10861.
O que fazer: aplicar as mitigações de acordo com as instruções do fornecedor; se as mitigações não estiverem disponíveis, descontinuar o uso do produto.
CVE-2026-96655Plex Media Server
O que é: server-side request forgery (SSRF) que permite a um usuário autenticado solicitar endereços internos ou externos arbitrários pelo caminho ‘/video/:/transcode/universal’.
Quem é afetado: Plex Media Server anteriores à 1.43.3.10861.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-110936Siemens Software Center
O que é: caminho de busca não controlado em Siemens Software Center; um atacante local autenticado pode colocar uma DLL especialmente criada em um diretório que o aplicativo procura, levando à execução arbitrária de código com os privilégios do aplicativo afetado.
Quem é afetado: Siemens Software Center (todas as versões).
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
Merecem atenção (131)
Passaram de 10% de chance de exploração em 30 dias nesta semana e ainda não estão no catálogo de exploradas. As de maior chance vêm comentadas; o resto está na tabela.
CVE-2026-109619use-after-free
O que é: use-after-free no PHP, em que o estado global pode ficar apontando para memória de requisição já liberada; requisições subsequentes podem ler ou usar esse estado obsoleto antes de ele ser totalmente inicializado, o que permite remote code execution.
Quem é afetado: PHP.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-109618use-after-free
Comentário não publicado: o texto não passou na conferência dos números. Os dados acima são os oficiais.
CVE-2026-43500escrita fora dos limites da memória (out-of-bounds write)
O que é: escrita fora dos limites da memória no Linux kernel, permitindo que o atacante explore o tratamento de pacotes DATA/RESPONSE quando há fragmentos paginados compartilhados.
Quem é afetado: Linux kernel.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-41089buffer overflow na pilha (stack)
O que é: buffer overflow na pilha (stack) no Windows Netlogon que permite a um atacante não autorizado executar código remotamente pela rede.
Quem é afetado: Windows Netlogon.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-4020exposição de informação sensível
O que é: exposição de informações sensíveis; permite que um visitante não autenticado acesse o ponto de extremidade e recupere dados detalhados de configuração do sistema, incluindo versão do PHP, extensões carregadas, versão do servidor web, caminho da raiz do documento, tipo e versão do servidor de banco de dados, versão do WordPress, todos os plugins ativos com versões, tema ativo, detalhes de configuração do WordPress, nomes de tabelas do banco de dados e chaves/tokens de API configurados no plugin.
Quem é afetado: todas as versões até, e incluindo, 2.1.4.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-26980SQL injection
O que é: SQL injection que permite que atacantes não autenticados façam leituras arbitrárias do banco de dados.
Quem é afetado: versões 3.24.0 até 6.19.0.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-42945buffer overflow no heap
O que é: buffer overflow no heap no módulo ngx_http_rewrite_module, que pode permitir execução de código e também causar reinicialização do processo trabalhador do NGINX.
Quem é afetado: NGINX Plus e NGINX Open Source.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-2699controle de acesso incorreto
O que é: controle de acesso incorreto que permite a um atacante não autenticado acessar páginas de configuração restritas, alterar a configuração do sistema e causar remote code execution.
Quem é afetado: Customer Managed ShareFile Storage Zones Controller (SZC).
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-49160consumo descontrolado de recursos
Comentário não publicado: o texto não passou na conferência dos números. Os dados acima são os oficiais.
CVE-2026-2701command injection no sistema operacional
Comentário não publicado: o texto não passou na conferência dos números. Os dados acima são os oficiais.
| CVE | EPSS antes | EPSS agora | CVSS |
|---|---|---|---|
| CVE-2026-53435 | 2,2% | 53% | 8,8 |
| CVE-2026-33626 | 1,5% | 45% | 7,5 |
| CVE-2026-32746 | 2,5% | 44% | 9,8 |
| CVE-2026-3943 | 4,8% | 40% | 5,5 |
| CVE-2026-5027 | 4,8% | 40% | 8,8 |
| CVE-2026-29014 | 4,5% | 39% | 9,3 |
| CVE-2026-26190 | 4,6% | 39% | 9,8 |
| CVE-2026-3300 | 4,4% | 39% | 9,8 |
| CVE-2026-3854 | 1,5% | 39% | 8,7 |
| CVE-2026-35029 | 4,0% | 39% | 8,7 |
| CVE-2026-30824 | 2,6% | 37% | 7,7 |
| CVE-2026-46442 | 3,4% | 36% | 9,4 |
| CVE-2026-44578 | 1,9% | 36% | 8,6 |
| CVE-2026-33032 | 2,5% | 35% | 9,8 |
| CVE-2026-27966 | 2,5% | 35% | 9,8 |
| CVE-2026-45484 | 2,3% | 35% | 8,8 |
| CVE-2026-34156 | 6,8% | 35% | 9,9 |
| CVE-2026-28289 | 2,7% | 35% | 10 |
| CVE-2026-3065 | 8,8% | 33% | 2,1 |
| CVE-2026-27760 | 3,4% | 33% | 9,2 |
| CVE-2026-49975 | 4,2% | 33% | 7,5 |
| CVE-2026-111497 | — | 33% | 9,2 |
| CVE-2026-41176 | 3,2% | 33% | 9,2 |
| CVE-2026-44338 | 0,8% | 33% | 7,3 |
| CVE-2026-41679 | 7,4% | 32% | 10 |
| CVE-2026-33112 | 2,3% | 31% | 8,8 |
| CVE-2026-3844 | 3,8% | 28% | 9,8 |
| CVE-2026-32255 | 1,7% | 26% | 8,6 |
| CVE-2026-27305 | 1,0% | 26% | 8,6 |
| CVE-2026-47291 | 1,1% | 25% | 9,8 |
| CVE-2026-49373 | 0,6% | 25% | 7,1 |
| CVE-2026-34474 | 2,1% | 25% | 7,5 |
| CVE-2026-27944 | 1,0% | 23% | 9,8 |
| CVE-2026-41948 | 1,9% | 23% | 9,3 |
| CVE-2026-39813 | 0,7% | 22% | 9,8 |
| CVE-2026-3064 | 8,8% | 22% | 2,1 |
| CVE-2026-33340 | 1,7% | 22% | 9,1 |
| CVE-2026-34648 | 1,0% | 21% | 7,5 |
| CVE-2026-45434 | 1,3% | 21% | 9,8 |
| CVE-2026-2652 | 1,4% | 21% | 8,6 |
| CVE-2026-8732 | 1,9% | 20% | 9,8 |
| CVE-2026-36356 | 3,6% | 20% | 9,1 |
| CVE-2026-45502 | 0,6% | 20% | 5 |
| CVE-2026-25512 | 3,8% | 20% | 9,4 |
| CVE-2026-33497 | 2,0% | 20% | 8,7 |
| CVE-2026-47323 | 1,6% | 20% | 9,8 |
| CVE-2026-97229 | 0,5% | 18% | 10 |
| CVE-2026-90970 | 0,9% | 17% | 9,9 |
| CVE-2026-41268 | 1,2% | 17% | 9,8 |
| CVE-2026-3518 | 3,0% | 17% | 8,4 |
| CVE-2026-5854 | 3,3% | 17% | 8,9 |
| CVE-2026-9440 | 2,4% | 17% | 2,1 |
| CVE-2026-7864 | 0,5% | 16% | 6,9 |
| CVE-2026-25874 | 1,0% | 16% | 9,3 |
| CVE-2026-40217 | 3,4% | 16% | 8,8 |
| CVE-2026-3517 | 3,0% | 15% | 8,4 |
| CVE-2026-4631 | 9,2% | 15% | 9,8 |
| CVE-2026-45657 | 1,0% | 15% | 9,8 |
| CVE-2026-31816 | 2,2% | 15% | 9,1 |
| CVE-2026-93674 | 2,7% | 15% | 9,8 |
| CVE-2026-30821 | 0,9% | 15% | 8,2 |
| CVE-2026-45829 | 1,4% | 15% | 10 |
| CVE-2026-5850 | 3,3% | 15% | 8,9 |
| CVE-2026-34650 | 0,9% | 15% | 7,5 |
| CVE-2026-9441 | 2,4% | 15% | 2,1 |
| CVE-2026-17176 | 5,0% | 15% | 7,7 |
| CVE-2026-44127 | 0,5% | 15% | 8,8 |
| CVE-2026-28208 | 0,8% | 15% | 5,9 |
| CVE-2026-8181 | 3,0% | 15% | 9,8 |
| CVE-2026-2670 | 4,0% | 14% | 7,3 |
| CVE-2026-26046 | 3,4% | 14% | 7,2 |
| CVE-2026-27826 | 1,0% | 14% | 8,2 |
| CVE-2026-34649 | 0,9% | 14% | 7,5 |
| CVE-2026-6195 | 3,3% | 14% | 8,9 |
| CVE-2026-5853 | 3,3% | 14% | 8,9 |
| CVE-2026-5852 | 3,3% | 14% | 8,9 |
| CVE-2026-33309 | 1,0% | 13% | 9,9 |
| CVE-2026-30822 | 0,5% | 13% | 7,7 |
| CVE-2026-2615 | 8,7% | 13% | 7,3 |
| CVE-2026-3066 | 8,8% | 13% | 2,1 |
| CVE-2026-6483 | 3,2% | 13% | 7,3 |
| CVE-2026-5851 | 3,3% | 13% | 8,9 |
| CVE-2026-34938 | 0,8% | 13% | 10 |
| CVE-2026-25895 | 6,9% | 13% | 9,5 |
| CVE-2026-44492 | 0,8% | 13% | 8,6 |
| CVE-2026-35223 | 0,5% | 13% | 8,6 |
| CVE-2026-25939 | 0,9% | 13% | 9,3 |
| CVE-2026-4228 | 9,2% | 13% | 2,1 |
| CVE-2026-40383 | 0,6% | 13% | 7,5 |
| CVE-2026-27825 | 1,5% | 12% | 9 |
| CVE-2026-50508 | 0,9% | 12% | 6,5 |
| CVE-2026-40933 | 1,3% | 12% | 9,9 |
| CVE-2025-6704 | 10,0% | 12% | 9,8 |
| CVE-2026-26026 | 0,5% | 12% | 9,1 |
| CVE-2026-26119 | 0,9% | 11% | 8,8 |
| CVE-2026-40372 | 0,8% | 11% | 9,1 |
| CVE-2026-5786 | 1,2% | 11% | 8,8 |
| CVE-2026-50656 | 0,4% | 11% | 7,8 |
| CVE-2026-2846 | 8,4% | 11% | 7,3 |
| CVE-2026-27483 | 9,0% | 11% | 8,8 |
| CVE-2025-53832 | 9,5% | 11% | 7,5 |
| CVE-2026-9256 | 2,7% | 11% | 9,2 |
| CVE-2026-111214 | 8,6% | 11% | 8,6 |
| CVE-2026-27577 | 1,0% | 11% | 9,4 |
| CVE-2026-35216 | 1,2% | 11% | 9 |
| CVE-2026-4840 | 3,8% | 11% | 7,4 |
| CVE-2026-27446 | 1,2% | 11% | 9,3 |
| CVE-2026-2085 | 5,2% | 11% | 7,3 |
| CVE-2025-7624 | 8,9% | 11% | 9,8 |
| CVE-2026-2847 | 8,4% | 10% | 7,3 |
| CVE-2026-9534 | 1,8% | 10% | 2,1 |
| CVE-2026-9533 | 1,8% | 10% | 2,1 |
| CVE-2026-9532 | 1,8% | 10% | 2,1 |
| CVE-2026-9531 | 1,8% | 10% | 2,1 |
| CVE-2026-9515 | 1,8% | 10% | 2,1 |
| CVE-2026-9514 | 1,8% | 10% | 2,1 |
| CVE-2025-39946 | 9,6% | 10% | 9,8 |
| CVE-2026-46300 | 2,4% | 10% | 7,8 |
| CVE-2026-3040 | 7,3% | 10% | 2 |
| CVE-2025-29775 | 9,6% | 10% | 9,3 |
| CVE-2025-50989 | 9,0% | 10% | 9,1 |
Críticas sem exploração (335)
Nota CVSS 9 ou mais, com chance de exploração abaixo de 10%. Corrija no ciclo normal. As de maior nota:
| CVE | Tipo de falha | CVSS | EPSS |
|---|---|---|---|
| CVE-2026-101809 | controle de acesso incorreto | 10 | 0,5% |
| CVE-2026-79847 | falha de limite de memória (buffer overflow) | 10 | 0,8% |
| CVE-2026-81212 | autorização incorreta | 10 | 0,3% |
| CVE-2026-79846 | não classificada | 10 | 1,4% |
| CVE-2026-79844 | contorno de autenticação | 10 | 0,7% |
| CVE-2026-87337 | não classificada | 10 | 0,4% |
| CVE-2026-91216 | não classificada | 10 | 0,5% |
| CVE-2026-91221 | não classificada | 10 | 0,5% |
| CVE-2026-102785 | upload de arquivo perigoso | 10 | 0,7% |
| CVE-2026-91231 | não classificada | 10 | 0,5% |
Em exploração agora: os últimos 30 dias
As falhas que estão sendo usadas em ataques agora, pelo catálogo da CISA: 30 entraram no catálogo de exploradas nos últimos 30 dias. Lista de 26/10/2026.
| CVE | Produto | Explorada desde | Corrigir até | CVSS | EPSS |
|---|---|---|---|---|---|
| CVE-2026-88771 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 82% |
| CVE-2026-88772 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 78% |
| CVE-2026-76504 | Cisco Catalyst SD-WAN Manager | 30/09 | venceu 03/10 | 9,8 | 39% |
| CVE-2026-104286 | Fortinet FortiMail | 01/10 | venceu 04/10 | 9,8 | 4,6% |
| CVE-2026-102489 | Zammad | 02/10 | venceu 05/10 | 9,4 | 2,0% |
| CVE-2026-102490 | Zammad | 02/10 | venceu 05/10 | 9,4 | 0,9% |
| CVE-2026-88779 | Citrix NetScaler | 04/10 | venceu 07/10 | 8,7 | 11% |
| CVE-2023-22894 | Strapi | 08/10 | venceu 11/10 | 4,9 | 4,1% |
| CVE-2015-5477 | ISC BIND | 08/10 | venceu 11/10 | 7,5 | 100% |
| CVE-2015-3306 | ProFTPD | 08/10 | venceu 11/10 | 10 | 99% |
| CVE-2021-3199 | ONLYOFFICE Docs | 08/10 | venceu 11/10 | 9,8 | 30% |
| CVE-2016-3081 | Apache Struts | 08/10 | venceu 11/10 | 8,1 | 97% |
| CVE-2026-86950 | Apple, vários produtos | 29/09 | venceu 13/10 | 8,8 | 26% |
| CVE-2026-104935 | Ivanti Connect Secure | 13/10 | venceu 16/10 | 8,6 | 87% |
| CVE-2026-96951 | Microsoft Windows | 13/10 | venceu 16/10 | 8,8 | 9,8% |
| CVE-2026-0322 | Palo Alto Networks PAN-OS | 14/10 | venceu 17/10 | 8,6 | 1,7% |
| CVE-2026-105133 | AhsayCBS | 14/10 | venceu 17/10 | 5,5 | 79% |
| CVE-2026-76519 | Cisco Secure Email Gateway | 14/10 | venceu 17/10 | 9,8 | 2,2% |
| CVE-2026-105134 | AhsayCBS | 14/10 | venceu 17/10 | 9,3 | 86% |
| CVE-2026-21589 | Atlassian, vários produtos | 15/10 | venceu 18/10 | 9,3 | 99% |
| CVE-2025-61624 | Fortinet, vários produtos | 16/10 | venceu 19/10 | 6 | 1,3% |
| CVE-2026-102764 | BeyondTrust Remote Support | 16/10 | venceu 19/10 | 9,3 | 20% |
| CVE-2026-96654 | Plex Media Server | 20/10 | venceu 23/10 | 6,9 | 1,9% |
| CVE-2026-106931 | EG Secure Solutions SiteGuard Server Edition | 20/10 | venceu 23/10 | 8,5 | 2,5% |
| CVE-2026-96656 | Plex Media Server | 20/10 | venceu 23/10 | 8,6 | 1,8% |
| CVE-2026-110447 | Collabora Online – Built-in CODE Server | 23/10 | 26/10 | 9,2 | 12% |
| CVE-2026-114625 | Arista VeloCloud Orchestrator | 23/10 | 26/10 | 9,4 | 1,0% |
| CVE-2026-96655 | Plex Media Server | 20/10 | 03/11 | 5,3 | 1,6% |
| CVE-2026-110936 | Siemens Software Center | 20/10 | 03/11 | 8,4 | 1,0% |
| CVE-2026-96652 | Plex Media Server | 20/10 | 03/11 | 5,3 | 1,8% |
Como classificamos. Exploradas: catálogo KEV da CISA. Merecem atenção: EPSS (FIRST.org) que passou de 10% nesta semana, CVEs dos últimos 2 anos. Críticas: CVSS 9 ou mais na NVD. Os textos são redigidos a partir desses dados oficiais; números e datas saem direto das fontes.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews