5.499 CVEs foram publicadas de 12/10 a 18/10. Estas são as que pedem ação:
Nos últimos 30 dias, 32 falhas entraram no catálogo de exploradas. A lista completa está no fim desta matéria.
Por onde começar
- CVE-2026-104935Ivanti Connect Secure prazo venceu 16/10
- CVE-2026-96951Microsoft Windows prazo venceu 16/10
- CVE-2026-105134AhsayCBS prazo venceu 17/10
- CVE-2026-76519Cisco Secure Email Gateway prazo venceu 17/10
- CVE-2026-0322Palo Alto Networks PAN-OS prazo venceu 17/10
Exploradas (9)
Todas as que entraram no catálogo KEV da CISA na semana. O prazo é o que a CISA dá às agências americanas para corrigir; vale como referência de urgência.
CVE-2026-104935Ivanti Connect Secure
O que é: falha de contorno de autenticação por falsificação que permite a um atacante remoto não autenticado executar comandos arbitrários.
Quem é afetado: Connect Secure antes da versão 25.1.3.0; a versão 22.7R2.14 e anteriores não são impactadas.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-96951Microsoft Windows
O que é: falha de injeção de comandos no Windows Shell que permite a um atacante não autorizado contornar um recurso de segurança pela rede.
Quem é afetado: Windows.
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
CVE-2026-105134AhsayCBS
O que é: falha de injeção de comando que permite executar comandos do sistema ao manipular o argumento random no arquivo /rps/api/json/UpdateReceivers.do do componente Replication Receiver, com ataque remoto.
Quem é afetado: Ahsay AhsayCBS até 10.3.2.
O que fazer: atualizar para a versão 10.3.4.
CVE-2026-76519Cisco Secure Email Gateway
O que é: uma vulnerabilidade de traversal de caminho relativo no recurso Advanced Malware Protection (AMP) do Cisco Secure Email Gateway que pode permitir a um atacante remoto não autenticado escrever arquivos arbitrários e executar comandos com privilégios de root no sistema operacional subjacente.
Quem é afetado: Cisco Secure Email Gateway.
O que fazer: aplicar as mitigações indicadas pelo fabricante.
CVE-2026-0322Palo Alto Networks PAN-OS
O que é: injeção de código que permite a um atacante autenticado, com acesso à rede, executar código arbitrário com privilégios de root no firewall.
Quem é afetado: PAN-OS em firewalls PA-Series e VM-Series e no Panorama (virtual e M-Series).
O que fazer: aplicar as mitigações conforme as instruções do fabricante.
CVE-2026-105133AhsayCBS
O que é: autenticação incorreta; a manipulação do argumento random na função checkSysPwd pode resultar em autenticação incorreta, com ataque remoto.
Quem é afetado: Ahsay AhsayCBS até 10.3.2.
O que fazer: atualizar para a versão 10.3.4.
CVE-2026-21589Atlassian, vários produtos
O que é: falha do tipo arquivos acessíveis a terceiros que permite a um atacante remoto não autenticado acessar arquivos específicos dentro do diretório raiz da aplicação web, desde que conheça o nome e o caminho exatos do arquivo.
Quem é afetado: Bitbucket Data Center, a partir da versão >= 4.6.0; Confluence Data Center, a partir da versão >= 5.10.0; Crowd Data Center, a partir da versão >= 2.11.0; Jira Software Data Center, a partir da versão >= 7.1.0; Jira Service Management Data Center, a partir da versão >= 3.1.0; Bamboo Data Center >= 7.0.1; Crucible; Fisheye.
O que fazer: aplicar mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2026-102764BeyondTrust Remote Support
O que é: vulnerabilidade de contorno de autenticação por falsificação no BeyondTrust Remote Support; sob as condições certas, pode permitir que um atacante realize operações de arquivo no equipamento.
Quem é afetado: BeyondTrust Remote Support.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigações, descontinuar o uso do produto.
CVE-2025-61624Fortinet, vários produtos
O que é: falha de path traversal que pode permitir a um atacante autenticado, com perfil de admin e, no mínimo, permissões de leitura e escrita, escrever ou excluir arquivos arbitrários via comandos específicos de CLI.
Quem é afetado: FortiOS 7.6.0 até 7.6.4, FortiOS 7.4.0 até 7.4.9, FortiOS 7.2 todas as versões, FortiOS 7.0 todas as versões, FortiOS 6.4 todas as versões, FortiPAM 1.7.0, FortiPAM 1.6 todas as versões, FortiPAM 1.5 todas as versões, FortiPAM 1.4 todas as versões, FortiPAM 1.3 todas as versões, FortiPAM 1.2 todas as versões, FortiPAM 1.1 todas as versões, FortiPAM 1.0 todas as versões, FortiProxy 7.6.0 até 7.6.4, FortiProxy 7.4.0 até 7.4.11, FortiProxy 7.2 todas as versões, FortiProxy 7.0 todas as versões, FortiSwitchManager 7.2.0 até 7.2.7, FortiSwitchManager 7.0.0 até 7.0.6.
O que fazer: aplicar as mitigações conforme as instruções do fabricante; se não houver mitigação disponível, descontinuar o uso do produto.
Merecem atenção (10)
Passaram de 10% de chance de exploração em 30 dias nesta semana e ainda não estão no catálogo de exploradas. As de maior chance vêm comentadas; o resto está na tabela.
CVE-2026-43284falha com chance de exploração em alta
O que é: falha no Linux kernel em xfrm: esp que permite descriptografar no local pacotes ESP-in-UDP sobre dados de páginas de pipe compartilhadas que não estão sob posse privada do skb.
Quem é afetado: skbs UDP de datagramas IPv4/IPv6 com páginas de pipe anexadas e tráfego ESP em UDP.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2026-59774path traversal
O que é: path traversal no renderizador de marcação Org-mode do Gitea, que permite a um atacante não autenticado usar um repositório público adequado para ler arquivos acessíveis pela conta de serviço do Gitea; se os arquivos expostos incluírem app.ini e o INTERNAL_TOKEN, o atacante pode encadear a divulgação com acesso ao registrador interno para modificar um Git hook e executar comandos como a conta de serviço do Gitea.
Quem é afetado: repositórios públicos adequados no Gitea com acesso ao ponto de extremidade de marcação do repositório.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-20283injection
O que é: falha do tipo injeção em uma API específica do Cisco ISE e do Cisco ISE-PIC, que pode permitir a um atacante autenticado executar código arbitrário no sistema operacional subjacente como root.
Quem é afetado: Cisco ISE e Cisco ISE-PIC.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-7656falha com chance de exploração em alta
O que é: integer overflow no V8 do Google Chrome que permite a um atacante remoto explorar corrupção de heap por meio de uma página HTML criada para esse fim.
Quem é afetado: Google Chrome anterior a 138.0.7204.157.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-53609falha com chance de exploração em alta
O que é: uma falha de path traversal relativa permite que um atacante autenticado faça leitura arbitrária de arquivos no sistema subjacente por meio de requisições elaboradas.
Quem é afetado: FortiWeb 7.6.0 até 7.6.4, 7.4.0 até 7.4.8, 7.2.0 até 7.2.11, 7.0.2 até 7.0.11.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-0247escrita fora dos limites da memória (out-of-bounds write)
O que é: escrita fora dos limites da memória (out-of-bounds write) em Firefox 133 e Thunderbird 133; alguns casos mostraram evidência de corrupção de memória e, com esforço suficiente, poderiam permitir executar código arbitrário.
Quem é afetado: Firefox 133 e Thunderbird 133.
O que fazer: aplicar a atualização indicada pelo fabricante para Firefox 134 e Thunderbird 134.
CVE-2025-9961buffer overflow
O que é: buffer overflow que permite a um atacante autenticado executar código arbitrário remotamente via o binário CWMP nos dispositivos AX10 e AX1500, com exploração possível apenas via ataque Man-In-The-Middle (MITM).
Quem é afetado: AX10 V1/V1.2/V2/V2.6/V3/V3.6: antes de 1.2.1; AX1500 V1/V1.20/V1.26/V1.60/V1.80/V2.60/V3.6: antes de 1.3.11.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-54439upload de arquivo perigoso
O que é: upload de arquivo perigoso que permite injeção de código.
Quem é afetado: MagicINFO 9 Server: inferior a 21.1080.0.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-8180falha de limite de memória (buffer overflow)
O que é: falha de limite de memória (buffer overflow) na função formdeleteUserName, que permite manipular o argumento old_account e causar buffer overflow remotamente.
Quem é afetado: Tenda CH22 1.0.0.1.
O que fazer: aplicar a atualização indicada pelo fabricante.
CVE-2025-9816cross-site scripting (XSS)
O que é: cross-site scripting (XSS) via o cabeçalho User-Agent, que permite a atacantes não autenticados injetar scripts web arbitrários em páginas que serão executados quando um usuário acessar a página injetada.
Quem é afetado: todas as versões até, e incluindo, 14.5.4.
O que fazer: aplicar a atualização indicada pelo fabricante.
Críticas sem exploração (381)
Nota CVSS 9 ou mais, com chance de exploração abaixo de 10%. Corrija no ciclo normal. As de maior nota:
| CVE | Tipo de falha | CVSS | EPSS |
|---|---|---|---|
| CVE-2026-55675 | code injection | 10 | 0,4% |
| CVE-2026-89111 | server-side request forgery (SSRF) | 10 | 0,3% |
| CVE-2026-55572 | SQL injection | 10 | 0,5% |
| CVE-2026-95182 | CWE-426 | 10 | 0,5% |
| CVE-2026-89309 | função crítica sem autenticação | 10 | 0,4% |
| CVE-2026-48382 | autorização incorreta | 10 | 0,8% |
| CVE-2026-48383 | autorização incorreta | 10 | 0,8% |
| CVE-2026-90532 | autorização incorreta | 10 | 0,7% |
| CVE-2026-105899 | upload de arquivo perigoso | 10 | 0,6% |
| CVE-2026-65162 | CWE-250 | 10 | 0,7% |
Em exploração agora: os últimos 30 dias
As falhas que estão sendo usadas em ataques agora, pelo catálogo da CISA: 32 entraram no catálogo de exploradas nos últimos 30 dias. Lista de 19/10/2026.
| CVE | Produto | Explorada desde | Corrigir até | CVSS | EPSS |
|---|---|---|---|---|---|
| CVE-2026-7273 | Zyxel GS1900 Series Switches | 21/09 | venceu 24/09 | — | 2,5% |
| CVE-2026-85102 | Check Point, vários produtos | 22/09 | venceu 25/09 | — | 50% |
| CVE-2026-94127 | F5 BIG-IP APM | 22/09 | venceu 25/09 | 9,3 | 2,2% |
| CVE-2026-93616 | Check Point, vários produtos | 22/09 | venceu 25/09 | 9,8 | 76% |
| CVE-2026-93952 | Arista VeloCloud Orchestrator | 22/09 | venceu 25/09 | 9,5 | 1,1% |
| CVE-2026-5430 | WSO2, vários produtos | 24/09 | venceu 27/09 | 10 | 0,6% |
| CVE-2026-71362 | Adobe Commerce e Magento | 24/09 | venceu 27/09 | 9,1 | 88% |
| CVE-2026-87902 | WordPress Core | 25/09 | venceu 28/09 | 8,1 | 40% |
| CVE-2026-65660 | Microsoft SharePoint | 25/09 | venceu 28/09 | 8,8 | 2,1% |
| CVE-2026-67279 | MikroTik RouterOS | 25/09 | venceu 28/09 | 6,9 | 1,0% |
| CVE-2026-88771 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 1,1% |
| CVE-2026-88772 | Citrix NetScaler | 27/09 | venceu 30/09 | 9,5 | 1,3% |
| CVE-2026-76504 | Cisco Catalyst SD-WAN Manager | 30/09 | venceu 03/10 | 9,8 | 1,8% |
| CVE-2026-104286 | Fortinet FortiMail | 01/10 | venceu 04/10 | 9,8 | 2,2% |
| CVE-2026-102489 | Zammad | 02/10 | venceu 05/10 | 9,4 | 1,3% |
| CVE-2026-102490 | Zammad | 02/10 | venceu 05/10 | 9,4 | 0,5% |
| CVE-2026-88779 | Citrix NetScaler | 04/10 | venceu 07/10 | 8,7 | 0,6% |
| CVE-2023-22894 | Strapi | 08/10 | venceu 11/10 | 4,9 | 3,6% |
| CVE-2015-3306 | ProFTPD | 08/10 | venceu 11/10 | 10 | 99% |
| CVE-2016-3081 | Apache Struts | 08/10 | venceu 11/10 | 8,1 | 96% |
| CVE-2015-5477 | ISC BIND | 08/10 | venceu 11/10 | 7,5 | 99% |
| CVE-2021-3199 | ONLYOFFICE Docs | 08/10 | venceu 11/10 | 9,8 | 20% |
| CVE-2026-86950 | Apple, vários produtos | 29/09 | venceu 13/10 | 8,8 | 1,2% |
| CVE-2026-96951 | Microsoft Windows | 13/10 | venceu 16/10 | 8,8 | 1,5% |
| CVE-2026-104935 | Ivanti Connect Secure | 13/10 | venceu 16/10 | 8,6 | 26% |
| CVE-2026-105134 | AhsayCBS | 14/10 | venceu 17/10 | 9,3 | 4,8% |
| CVE-2026-0322 | Palo Alto Networks PAN-OS | 14/10 | venceu 17/10 | 8,6 | 1,2% |
| CVE-2026-105133 | AhsayCBS | 14/10 | venceu 17/10 | 5,5 | 0,9% |
| CVE-2026-76519 | Cisco Secure Email Gateway | 14/10 | venceu 17/10 | 9,8 | 1,6% |
| CVE-2026-21589 | Atlassian, vários produtos | 15/10 | venceu 18/10 | 9,3 | — |
| CVE-2025-61624 | Fortinet, vários produtos | 16/10 | 19/10 | 6 | 1,1% |
| CVE-2026-102764 | BeyondTrust Remote Support | 16/10 | 19/10 | 9,3 | 1,2% |
Como classificamos. Exploradas: catálogo KEV da CISA. Merecem atenção: EPSS (FIRST.org) que passou de 10% nesta semana, CVEs dos últimos 2 anos. Críticas: CVSS 9 ou mais na NVD. Os textos são redigidos a partir desses dados oficiais; números e datas saem direto das fontes.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews