63 mil ataques ao WordPress; Microsoft reemite patch do .NET
Falha corrigida seguiu explorável no GitLab do Alpine e ataques em massa visam a janela de atualização do WordPress.
O resumo de 30 segundos
- Microsoft reemite correção do .NET para o Node2Shell: dois patches de 13 de outubro não fecharam a falha do decodificador Brotli.
- Emissores congelaram cerca de US$ 2 bilhões em stablecoins roubados da Binance; estimativa total do roubo passa de US$ 5,6 bilhões.
- Quase 63 mil tentativas de ataque em 24 horas visam a janela de atualização do WordPress; nenhuma invasão confirmada.
- CISA confirma falhas do Ivanti em ataques e fixa prazos de 2 e 13 de novembro para o Connect Secure.
- GitLab do Alpine seguiu exposto após update: a falha estava no Ruby, sem correção no servidor.
Microsoft reemite correção de emergência do .NET para o Node2Shell
A Microsoft reeditou correções do .NET para a falha Node2Shell no decodificador Brotli, do Google, após admitir que duas correções de 13 de outubro ficaram incompletas. A falha já tem exploração ativa confirmada pela CISA (agência de cibersegurança do governo dos EUA).
A falha afeta uma lista extensa de software: Node.js, Bun, pacotes Python.NET, PowerShell e os proxies Envoy e Istio. Um ataque bem-sucedido permite executar código no servidor, sem login, em qualquer sistema que descomprima dados maliciosos.
Para o time técnico
Escrita fora dos limites no decodificador Brotli (CVE-2026-111497, CVSS 9.2): dados comprimidos maliciosos corrompem memória e permitem RCE sem autenticação em serviços que descomprimem tráfego. Microsoft reeditou as atualizações de 25 de outubro porque duas correções de 13 de outubro ficaram incompletas. Exploração ativa confirmada pela CISA, com prazo KEV em 10 de novembro.
- CVE
- CVE-2026-111497
- Afetados
- Brotli 1.0.3 a 1.2.0; Node.js 22.x, 24.x, 26.x e linhas EOL (20.x, 23.x, 25.x); Bun antes de 1.4.4; .NET 8.0 a 11 RC; Visual Studio 2019/2022/2026; PowerShell 7.4 a 7.6; Envoy e Istio com descompressão Brotli; pacotes Python Brotli e brotlicffi
- Exploração
- ativa confirmada
- Correção
- Node.js 22.23.4, 24.22.1, 26.12.1; Bun 1.4.4; Brotli 1.2.1; .NET 8.0.33, 9.0.22, 10.0.14 e 11 RC3; PowerShell 7.4.22, 7.5.13, 7.6.9; reiniciar serviços e reconstruir imagens de contêiner sobre base corrigida
O que fica: Patch aplicado pode ficar incompleto; só o reteste mostra se a falha fechou de verdade.
Fontes: Microsoft, The Hacker News, @IntCyberDigest, @BleepinComputer
No radarAcompanhe este incidente ao vivo →Emissores congelam cerca de US$ 2 bilhões do roubo à Binance
Emissores de stablecoins congelaram cerca de US$ 2 bilhões ligados ao roubo de carteiras da Binance, a maior exchange de criptomoedas do mundo. Estimativas em tempo real do ataque, em 29 de outubro, passaram de US$ 2,8 bilhões para mais de US$ 5,6 bilhões.
Parte do dinheiro segue com os atacantes. O pesquisador pashov avalia como provável a venda dos demais tokens listados na Binance, o que pode pressionar preços; o fundador Changpeng Zhao confirmou que a empresa "parece" ter sido invadida.
Para o time técnico
Drenagem de carteiras da Binance registrada em 29 de outubro, com estimativas em tempo real que subiram de US$ 2,8 bilhões para mais de US$ 5,6 bilhões. Tether e Circle congelaram cerca de US$ 2 bilhões em USDC/USDT. Movimentação rastreável em blockchain pela ferramenta Arkham; o vxunderground relata comprometimento quase simultâneo da Polymarket.
- Afetados
- Carteiras da exchange Binance (vetor inicial não informado nas fontes)
- Exploração
- não informado nas fontes
- Correção
- não informado nas fontes
O que fica: Dinheiro em carteira quente sai em minutos; o controle de quem aprova a transação define o tamanho da perda.
Fontes: @vxunderground, @WatcherGuru, @CryptoMichNL, @pashov
No radarAcompanhe este incidente ao vivo →PHP2Shell atingiu algumas centenas de vítimas, estima pesquisador
A onda de ataques com as falhas PHP2Shell comprometeu firewalls em cerca de duas dúzias de alvos, e um pesquisador estima algumas centenas de vítimas no total. O número é pequeno diante dos milhões de servidores PHP vulneráveis.
A exploração exige que o alvo corresponda exatamente ao exploit construído pelo atacante, o que limita o alcance por ora. O centro de resposta a incidentes do Japão (JPCERT) publicou aviso com as versões corrigidas, incluindo pacotes do Ubuntu e do Red Hat.
Para o time técnico
CVE-2026-109618 e CVE-2026-109619: RCE sem autenticação no PHP, encadeável com escalada de privilégio no kernel Linux e falhas em interfaces de gerenciamento Palo Alto. Exploração ativa confirmada; exploits dependem de build específica do alvo, o que explica o número limitado de vítimas.
- CVE
- CVE-2026-109618, CVE-2026-109619
- Afetados
- PHP 5.4 a 8.5.11 em todos os ramos que atendem web; 8.1 e anteriores sem correção do projeto PHP; mais de 22,6 milhões de instâncias expostas, segundo a SecurityWeek
- Exploração
- ativa confirmada
- Correção
- PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35; pacotes vendor do Ubuntu (22.04 e 24.04) e do RHEL 9 (RHSA-2026:87151, backport mantém a versão 8.0.30); aplicar também kernel e PAN-OS
Fontes: JPCERT/CC, TechCrunch Security
No radarAcompanhe este incidente ao vivo →Quase 63 mil tentativas visam falha do WordPress em 24 horas
Atacantes fizeram quase 63 mil tentativas em 24 horas contra a falha de execução remota de código do WordPress, corrigida em 28 de outubro na versão 7.1.4. A falha explora a janela de segundos em que o sistema se atualiza.
A telemetria da Wordfence registrou mais de 18,5 mil requisições em 21 horas, a primeira nove minutos depois da regra de firewall. Nenhuma invasão bem-sucedida foi confirmada, mas sites entre 4.7 e 7.1.3 seguem expostos sem o patch.
Para o time técnico
Race condition não autenticada no processo de upgrade do core expõe caminho previsível do instalador temporário e pode permitir RCE se o atacante atingir a janela. Sem CVE atribuído; severidade oficial baixa, terceiros atribuem CVSS 8.1 e 9.0. Wordfence registrou 18.527+ requisições em 21 horas, sem comprometimento confirmado.
- Afetados
- WordPress Core 4.7 a 7.1.3; versões 4.6 e anteriores sem atualização de segurança
- Exploração
- não observada
- Correção
- WordPress 7.1.4 e releases de segurança dos ramos 4.7 a 7.0; investigar requisições PHP suspeitas em wp-content/upgrade
O que fica: A janela de atualização é alvo monitorado em tempo real; aplicar e conferir o patch no mesmo dia reduz a exposição.
Fontes: The Hacker News, @DarkWebInformer, SecurityWeek
No radarAcompanhe este incidente ao vivo →Cursor repõe marketplace após backdoor na extensão Claude Code
O Cursor retirou o marketplace do ar, neutralizou o malware junto com provedores e o restabeleceu, após a distribuição de uma versão modificada da extensão Claude Code com backdoor SSH, acesso remoto do invasor à máquina, por cerca de 11 horas. O impacto chega a no máximo 5.000 usuários.
Apenas atualizar não limpa a máquina, avisa a Cursor: é preciso remover a chave SSH do atacante e os scripts de persistência. Como a extensão rodava com as permissões do desenvolvedor, código e credenciais de quem instalou devem ser tratados como expostos.
Para o time técnico
Build 2.1.313 da extensão Claude Code, trojanizada e não desenvolvida pela Anthropic, distribuída pelo marketplace do Cursor em 29 de outubro por cerca de 11 horas. Loader malicioso instala backdoor SSH persistente, adiciona chave do atacante e envia dados do host. A origem do empacotamento sob identidade legítima segue pouco clara, segundo o The Hacker News.
- Afetados
- Extensão Claude Code para VS Code 2.1.313 distribuída pelo marketplace do Cursor, na janela de 11 horas em 29 de outubro
- Exploração
- ativa confirmada
- Correção
- Atualizar para a 2.1.314; em máquinas com a 2.1.313, remover a chave SSH do atacante (comentário svc-telemetry) e os artefatos de persistência, pois só atualizar não basta
Fontes: @cursor_ai, The Hacker News, @TheHackersNews
No radarAcompanhe este incidente ao vivo →CISA confirma exploração de falhas encadeadas no Ivanti Connect Secure
A CISA confirmou ataques a duas falhas do Ivanti Connect Secure, solução de acesso remoto corporativo, e as acrescentou à lista KEV de falhas já usadas em ataques. As falhas permitem upload de arquivo malicioso por usuário remoto autenticado e escalada de privilégio local.
As duas falhas se encadeiam com uma terceira, o que amplia o dano. Prazos federais: 2 de novembro para a escalada e 13 para o upload. Uso em ransomware é desconhecido, e a CISA pede avaliação da exposição de cada ativo à internet.
Para o time técnico
CVE-2026-118527: geração de identificadores previsíveis permite que atacante remoto autenticado grave arquivos com conteúdo controlado em localização conhecida. CVE-2026-111357: ausência de autenticação em função crítica permite escalada de privilégio a usuário local autenticado. Ambas encadeáveis com a CVE-2026-104935; KEV exige triagem forense conforme BOD 26-04.
- CVE
- CVE-2026-118527, CVE-2026-111357, CVE-2026-104935
- Afetados
- Ivanti Connect Secure (versões não informadas nas fontes)
- Exploração
- ativa confirmada
- Correção
- Aplicar mitigações conforme instruções do fabricante e seguir a diretriz BOD 26-04 da CISA, incluindo triagem forense; em serviços de nuvem, seguir orientação aplicável ou descontinuar o produto
Fontes: CISA KEV 1, CISA KEV 2
No radarAcompanhe este incidente ao vivo →Update do GitLab não bastou: falha seguiu viva no Ruby do servidor
Um atacante tentou invadir o GitLab do projeto Alpine Linux pela falha CVSS 10 já corrigida, e o servidor seguiu vulnerável: a atualização do GitLab não corrigiu o Ruby, onde a falha está localizada. Não há prova de sucesso, e o servidor foi reconstruído.
A CISA já confirma exploração ativa dessa falha, que dá execução remota de código sem senha a partir de uma expressão regular maliciosa em configuração de CI/CD, com prazo federal em 1º de novembro. Instâncias com Ruby próprio exigem patch duplo.
Para o time técnico
CVE-2026-97229 (CVSS 10.0): integer overflow no compilador de expressões regulares de CI/CD (engine Onigmo do Ruby) permite RCE sem autenticação em GitLab CE/EE autogerenciado. Tentativa contra o GitLab do Alpine em 20 e 21 de outubro, após o upgrade; o Ruby permanecia sem correção. O Alpine reconstruiu o servidor e resetou todas as senhas.
- CVE
- CVE-2026-97229
- Afetados
- GitLab CE/EE autogerenciado; corrigido em 19.4.2, 19.3.5 e 19.2.8; outras aplicações Ruby com o mesmo engine podem ser afetadas, segundo a CISA
- Exploração
- ativa confirmada
- Correção
- Atualizar o GitLab (o Alpine usou a 19.3.6) e, em instalações com Ruby próprio, também o Ruby 3.3.13, 3.4.12, 4.0.9 ou posterior
O que fica: Patch no aplicativo pode não alcançar a biblioteca embutida; só a verificação depois confirma.
Fontes: The Hacker News, @TheHackersNews, CISA KEV, @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →Modelos falsos no Hugging Face sequestram GPUs para mineração
Uma campanha de malware voltou ao Hugging Face, plataforma de modelos de IA, com 31 repositórios maliciosos em sete contas que se passam por modelos de teste Qwen2. Os downloads somam 29.818 registros, número medido pela Pluto Security, sem vítimas confirmadas.
Os arquivos instalam um minerador de criptomoedas escondido na GPU e, em alguns builds, acesso remoto do invasor. Os alvos são servidores de IA auto-hospedados, máquinas de GPU alugadas e jobs de CI; scanners da plataforma retornaram limpo no payload principal.
Para o time técnico
Campanha Load/Mine, batizada pela Pluto Security: modelos Qwen2 falsos executam código do atacante via trust_remote_code=True antes de carregar os pesos. Payload é um cryptominer de GPU oculto como kernel worker; alguns builds adicionam reverse shells. Uma segunda onda surgiu dias após a remoção da primeira, com novas contas.
- Afetados
- Usuários que carregaram modelos das contas maliciosas com execução de código habilitada; infraestruturas Xinference e GPUStack citadas como alvos
- Exploração
- ativa confirmada
- Correção
- Fixar revisões auditadas e revisar o código antes de habilitar custom code; evitar trust_remote_code=True sem auditoria; procurar processos kernel worker com uso anormal de GPU em servidores de IA e jobs de CI
O que fica: Baixar modelo com código embutido sem revisar é executar código de estranho no seu servidor.
Fontes: @BleepinComputer, @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →Drupal publica correções do Commerce Core e pede auditoria de pedidos
O Drupal publicou as versões corrigidas da falha de autorização no Commerce Core, módulo de loja virtual usado em mais de 42.000 sites, e recomendou auditoria de todos os pedidos. A exploração ativa foi confirmada pelo próprio projeto.
O desvio de acesso vale para atacantes sem login, em qualquer configuração do módulo, e o aviso fala em possível impacto financeiro ao vendedor. O Drupal não detalhou como os ataques ocorrem nem quantos sites foram afetados.
Para o time técnico
CVE-2026-118539: missing authorization no Commerce Core permite bypass de controle de acesso por atacante não autenticado, em qualquer configuração do módulo. Exploração confirmada em andamento, sem detalhes de vetor ou escala. Integra um lote de 38 avisos publicados pelo Drupal em 28 de outubro, quase uma dúzia deles críticos.
- CVE
- CVE-2026-118539
- Afetados
- Commerce Core de 0.0.0 a 2.41 e de 3.0.0 a 3.3.13
- Exploração
- ativa confirmada
- Correção
- Atualizar para 8.x-2.41 ou 3.3.13 e auditar pedidos em busca de inconsistências; revisar os demais avisos do Drupal de 28 de outubro
Fontes: The Hacker News, @TheHackersNews, SecurityWeek
No radarAcompanhe este incidente ao vivo →Pra fechar
O padrão do dia é a correção incompleta: o .NET precisou de um segundo patch, o GitLab do Alpine seguiu exposto com o Ruby sem correção e a extensão do Cursor exigiu limpeza além do update. Enquanto isso, atacantes monitoram essas lacunas, com 63 mil tentativas contra a janela de atualização do WordPress. Aplicar patch rápido só protege quando alguém confere, em seguida, se a falha fechou.
O patch mais recente da sua empresa foi conferido ou só aplicado?
Boa parte das falhas desta edição continuava aberta depois da correção, e só um teste posterior revelou.
Solicitar conversa