3.827 CVEs foram publicadas de 02/10 a 11/10. Estas são as que pedem ação:
Nos últimos 30 dias, 30 falhas entraram no catálogo de exploradas. A lista completa está no fim desta matéria.
Por onde começar
- CVE-2026-102489Zammad GmbH Zammad prazo venceu 05/10
- CVE-2026-102490Zammad GmbH Zammad prazo venceu 05/10
- CVE-2026-88779Citrix NetScaler prazo venceu 07/10
- CVE-2015-3306ProFTPD ProFTPD prazo venceu 11/10
- CVE-2015-5477ISC BIND prazo venceu 11/10
Exploradas (8)
Todas as que entraram no catálogo KEV da CISA na semana. O prazo é o que a CISA dá às agências americanas para corrigir; vale como referência de urgência.
CVE-2026-102489Zammad GmbH Zammad
O que é: falha de sequestro de sessão que permite remote code execution como o usuário zammad.
Quem é afetado: Zammad versões 6.3.0 a 6.5.4 e versão 7.0.0 a versão 7.1.3.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-102490Zammad GmbH Zammad
O que é: falha de gerenciamento inadequado de privilégios que permite ao usuário local do Zammad elevar privilégios até root.
Quem é afetado: todas as versões do Zammad, incluindo a alpha mais recente.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações disponíveis, descontinuar o uso do produto.
CVE-2026-88779Citrix NetScaler
O que é: falha de limite de memória (buffer overflow) no NetScaler ADC e no NetScaler Gateway.
Quem é afetado: ADC antes de 14.1-73.41, antes de 13.1-64.28, antes de 14.1-73.41 FIPS e antes de 13.1-37.282; Gateway antes de 14.1-73.41 e antes de 13.1-64.28.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; descontinuar o uso do produto se não houver mitigações.
CVE-2015-3306ProFTPD ProFTPD
O que é: controle de acesso incorreto no módulo mod_copy do ProFTPD 1.3.5, que permite a atacantes remotos ler e gravar arquivos arbitrários via os comandos site cpfr e site cpto.
Quem é afetado: ProFTPD 1.3.5.
O que fazer: aplicar mitigações conforme as instruções do fabricante.
CVE-2015-5477ISC BIND
O que é: falha de processamento no ISC BIND que permite a atacantes remotos causar negação de serviço, com falha de asserção REQUIRE e saída do daemon, via consultas TKEY.
Quem é afetado: ISC BIND 9.x antes de 9.9.7-P2 e 9.10.x antes de 9.10.2-P3.
O que fazer: aplicar mitigações conforme as instruções do fabricante; descontinuar o uso do produto se as mitigações não estiverem disponíveis.
CVE-2016-3081Apache Struts
O que é: injeção de comandos no Apache Struts, permitindo que invasores executem código arbitrário via prefixo method: em expressões encadeadas, quando a Invocação Dinâmica de Método está habilitada.
Quem é afetado: Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28.
O que fazer: aplicar as mitigações indicadas pelo fabricante.
CVE-2021-3199ONLYOFFICE Docs
O que é: path traversal que pode permitir remote code execution em /upload por meio de uma sequência /.. em um parâmetro de upload de imagem.
Quem é afetado: ONLYOFFICE Document Server antes de 5.6.3, quando JWT é usado.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
CVE-2023-22894Strapi Strapi
O que é: falha de informação sensível guardada em texto puro no Strapi, que permite a atacantes com acesso ao painel de administração descobrir detalhes sensíveis de usuários ao explorar o filtro de consulta; com acesso de superadmin, isso também permite descobrir o hash da senha e o token de redefinição de senha de todos os usuários.
Quem é afetado: Strapi até 4.5.5.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
Merecem atenção (9)
Passaram de 10% de chance de exploração em 30 dias nesta semana e ainda não estão no catálogo de exploradas. As de maior chance vêm comentadas; o resto está na tabela.
CVE-2026-66066padrão inseguro na inicialização
O que é: padrão inseguro na inicialização que permite, com um upload criado, invocar uma operação do libvips marcada como insegura para conteúdo não confiável; um atacante sem autenticação pode ler arquivos arbitrários acessíveis ao processo Rails, incluindo variáveis de ambiente e segredos da aplicação, e a exposição de credenciais como secret_key_base ou tokens de serviço externo pode permitir remote code execution ou movimento lateral.
Quem é afetado: versões anteriores a 7.2.3.2, 8.0.5.1 e 8.1.3.1, quando configuradas para usar libvips e aceitar uploads de imagem de usuários não confiáveis.
O que fazer: atualizar para 7.2.3.2, 8.0.5.1 ou 8.1.3.1.
CVE-2026-0768code injection
O que é: injeção de código que permite a atacantes remotos executar código arbitrário nas instalações afetadas do Langflow, sem autenticação, com execução de código no contexto de root.
Quem é afetado: instalações afetadas do Langflow.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-53120path traversal
O que é: uma falha de path traversal na funcionalidade de upload não autenticado permite que um ator malicioso envie binários e scripts para os diretórios de configuração e de web root do servidor Unified PAM, obtendo remote code execution.
Quem é afetado: o servidor Unified PAM.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-2080injection
O que é: falha do tipo injection que permite command injection pela manipulação do argumento passwd1 na função setSysAdm do arquivo /goform/formUser, com exploração remota possível.
Quem é afetado: UTT HiPER 810 1.7.4-141218.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-9533autenticação incorreta
O que é: falha de autenticação incorreta no arquivo /formLoginAuth.htm, em que a manipulação do argumento authCode com a entrada 1 permite autenticação imprópria e a exploração pode ser iniciada remotamente.
Quem é afetado: TOTOLINK T10 4.1.8cu.5241_B20210927.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-44176command injection
O que é: falha de injeção de comandos que permite remote code execution na função formSafeEmailFilter.
Quem é afetado: Tenda FH451 V1.0.0.9.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-34057função crítica sem autenticação
O que é: função crítica sem autenticação que, com um POST específico e cabeçalhos Cookie modificados, permite a um atacante não autenticado recuperar credenciais de contas administrativas em texto claro.
Quem é afetado: roteadores Ruijie NBR série, conhecidos por afetar os modelos NBR2000G, NBR1300G e NBR1000.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-53833falha com chance de exploração em alta
O que é: Falha de Server-Side Template Injection (SSTI) que pode levar a remote code execution em configurações vulneráveis, permitindo executar comandos arbitrários no servidor, acessar variáveis de ambiente sensíveis e/ou elevar o nível de acesso.
Quem é afetado: versões anteriores a 2.8.1.
O que fazer: atualizar para a versão v2.8.1 ou posterior.
CVE-2025-57772code injection
O que é: falha de injeção de código que permite um contorno de remote code execution no H2 JDBC, fazendo o método getJdbcUrl retornar o JdbcUrl informado e contornar a filtragem do H2 para permitir que `”driver”:”org.h2.Driver”` especifique o driver H2 na conexão JDBC.
Quem é afetado: versões anteriores a 2.10.12.
O que fazer: aplicar a atualização indicada pelo fabricante.
Críticas sem exploração (408)
Nota CVSS 9 ou mais, com chance de exploração abaixo de 10%. Corrija no ciclo normal. As de maior nota:
| CVE | Tipo de falha | CVSS | EPSS |
|---|---|---|---|
| CVE-2026-63692 | função crítica sem autenticação | 10 | 0,6% |
| CVE-2026-39773 | CWE-266 | 10 | 0,3% |
| CVE-2025-70518 | command injection | 10 | 0,6% |
| CVE-2026-105484 | command injection | 10 | 2,1% |
| CVE-2026-105857 | code injection | 10 | 0,4% |
| CVE-2026-42696 | code injection | 10 | 0,6% |
| CVE-2026-106102 | cross-site scripting (XSS) | 10 | 0,3% |
| CVE-2026-100103 | CWE-1392 | 10 | 0,4% |
| CVE-2026-102255 | CWE-441 | 10 | 0,5% |
| CVE-2026-96207 | CWE-295 | 10 | 0,5% |
Em exploração agora: os últimos 30 dias
As falhas que estão sendo usadas em ataques agora, pelo catálogo da CISA: 30 entraram no catálogo de exploradas nos últimos 30 dias. Lista de 12/10/2026.
| CVE | Produto | Explorada desde | Corrigir até | CVSS | EPSS |
|---|---|---|---|---|---|
| CVE-2026-76461 | Cisco Secure Email Gateway | 14/09 | venceu 17/09 | — | 28% |
| CVE-2026-58704 | Google Pixel | 16/09 | venceu 19/09 | — | 0,6% |
| CVE-2026-87886 | Acronis Backup | 16/09 | venceu 19/09 | — | 0,2% |
| CVE-2026-76460 | Cisco Identity Services Engine | 16/09 | venceu 19/09 | — | 14% |
| CVE-2025-39682 | Linux Kernel | 18/09 | venceu 21/09 | — | 2,9% |
| CVE-2025-39964 | Linux Kernel | 18/09 | venceu 21/09 | — | 1,3% |
| CVE-2026-53266 | Linux Kernel | 18/09 | venceu 21/09 | — | 0,8% |
| CVE-2026-7273 | Zyxel GS1900 Series Switches | 21/09 | venceu 24/09 | — | 2,5% |
| CVE-2026-93952 | Arista VeloCloud Orchestrator | 22/09 | venceu 25/09 | 9,5 | 1,1% |
| CVE-2026-85102 | Check Point Multiple Products | 22/09 | venceu 25/09 | — | 7,5% |
| CVE-2026-93616 | Check Point Multiple Products | 22/09 | venceu 25/09 | 9,8 | 20% |
| CVE-2026-94127 | F5 BIG-IP APM | 22/09 | venceu 25/09 | 9,3 | 2,2% |
| CVE-2026-5430 | WSO2 Multiple Products | 24/09 | venceu 27/09 | 10 | 0,6% |
| CVE-2026-71362 | Adobe Commerce and Magento | 24/09 | venceu 27/09 | 9,1 | 88% |
| CVE-2026-65660 | Microsoft SharePoint | 25/09 | venceu 28/09 | 8,8 | 2,1% |
| CVE-2026-67279 | MikroTik RouterOS | 25/09 | venceu 28/09 | 6,9 | 1,0% |
| CVE-2026-87902 | WordPress Core | 25/09 | venceu 28/09 | 8,1 | 40% |
| CVE-2026-88771 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 1,1% |
| CVE-2026-88772 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 1,3% |
| CVE-2026-76504 | Cisco Catalyst SD-WAN Manager | 30/09 | venceu 03/10 | 9,8 | 1,8% |
| CVE-2026-104286 | Fortinet FortiMail | 01/10 | venceu 04/10 | 9,8 | 2,2% |
| CVE-2026-102489 | Zammad GmbH Zammad | 02/10 | venceu 05/10 | 9,4 | 1,3% |
| CVE-2026-102490 | Zammad GmbH Zammad | 02/10 | venceu 05/10 | 9,4 | 0,5% |
| CVE-2026-88779 | Citrix NetScaler | 04/10 | venceu 07/10 | 8,7 | 0,6% |
| CVE-2023-22894 | Strapi Strapi | 08/10 | venceu 11/10 | 4,9 | 3,6% |
| CVE-2016-3081 | Apache Struts | 08/10 | venceu 11/10 | 8,1 | 96% |
| CVE-2015-5477 | ISC BIND | 08/10 | venceu 11/10 | 7,5 | 99% |
| CVE-2015-3306 | ProFTPD ProFTPD | 08/10 | venceu 11/10 | 10 | 99% |
| CVE-2021-3199 | ONLYOFFICE Docs | 08/10 | venceu 11/10 | 9,8 | 19% |
| CVE-2026-86950 | Apple Multiple Products | 29/09 | 13/10 | 8,8 | 1,2% |
Como classificamos. Exploradas: catálogo KEV da CISA. Merecem atenção: EPSS (FIRST.org) que passou de 10% nesta semana, CVEs dos últimos 2 anos. Críticas: CVSS 9 ou mais na NVD. Os textos são redigidos a partir desses dados oficiais; números e datas saem direto das fontes.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews