CISA fixa 6 de novembro para corrigir o WordPress atacado
Também hoje: Android corrige falha sem clique, Node-RED sofre invasões e freezers hackeados chegam a serviço de sangue.
O resumo de 30 segundos
- A CISA confirmou ataque ativo à falha do WordPress e deu prazo federal até 6 de novembro; foram quase 63 mil tentativas em 24 horas.
- A Binance revelou o ponto de entrada do roubo de US$ 6,3 bilhões: notebook de engenheiro infectado em golpe de entrevista falsa.
- O Google corrigiu falha crítica no Android que executa código sem nenhum toque; mais de 40% dos aparelhos não recebem a correção.
- Falha nota 10 no Node-RED já tem invasões confirmadas: atacante sem login implanta bots e webshells em uma única requisição.
- Ataques a freezers chegaram ao serviço de sangue francês: câmaras de amostras saltaram de -30 °C para 110 °C.
WordPress: CISA confirma ataque e fixa prazo de 6 de novembro
A CISA (agência de cibersegurança dos EUA) confirmou ataque ativo à falha do WordPress e a colocou no KEV (lista de falhas já usadas em ataques). Agências federais têm até 6 de novembro para corrigir. A Wordfence registrou quase 63 mil tentativas em 24 horas.
A falha atinge o núcleo do WordPress das versões 4.7 a 7.1.3, base de grande parte dos sites do mundo. Exploração dá controle do servidor, com risco de desfiguração, roubo de dados e uso do site para novos ataques. A Wordfence não relatou invasões bem-sucedidas.
Para o time técnico
Corrida TOCTOU no processo de upgrade do núcleo expõe caminhos de staging previsíveis e acessíveis na web durante a atualização completa; atacante não autenticado que alcança o instalador nessa janela obtém RCE. A Wordfence detectou a primeira sonda 9 minutos após publicar regra de firewall e registrou mais de 18.500 requisições a caminhos temporários em 21 horas.
- CVE
- CVE-2026-119977
- Afetados
- WordPress Core 4.7 a 7.1.3
- Exploração
- ativa confirmada
- Correção
- WordPress 7.1.4 e retroportes de segurança dos ramos 7.0 a 4.7, via Painel > Atualizações; manter atualizações automáticas ativas.
O que fica: A janela de atualização também expõe: atualizar rápido e conferir depois é o que protege.
Fontes: CISA KEV, The Hacker News, @DarkWebInformer 1, @DarkWebInformer 2, SecurityWeek
No radarAcompanhe este incidente ao vivo →Roubo da Binance começou em notebook infectado por entrevista falsa
A Binance revelou que o roubo de US$ 6,3 bilhões começou no notebook de um engenheiro de DevOps, infectado em golpe de entrevista falsa de emprego. O acesso levou a um contêiner de serviço que enviou saques não autorizados, sem vazamento de chaves privadas.
A TRM Labs, a Elliptic e a Chainalysis atribuem, com alta confiança, o roubo ao grupo norte-coreano TraderTraitor. Cerca de US$ 3 bilhões foram congelados; os atacantes retêm US$ 2,4 bilhões em ETH e BTC. A máquina de um funcionário alcançou sistemas que movem bilhões.
Para o time técnico
Vetor inicial: malware em notebook de engenheiro de DevOps entregue via golpe de entrevista falsa. O atacante obteve acesso a contêiner de serviço responsável por saques e enviou transações não autorizadas; segundo a Binance, chaves privadas não vazaram. Saída de fundos em dez blockchains, a maior parte em cerca de 20 minutos, segundo a TRM Labs.
- Afetados
- Hot wallets da Binance em dez blockchains
- Exploração
- ativa confirmada
- Correção
- Saques suspensos; Binance cobre perdas com o SAFU e fundos próprios e alerta contra golpes ligados ao caso.
O que fica: Acesso de máquina de engenharia a sistemas que movem dinheiro precisa de isolamento e limites.
Fontes: @vxunderground, @pashov, @WatcherGuru
No radarAcompanhe este incidente ao vivo →Botnet de TVs: Brasil está entre os países mais infectados
Uma contagem nova da TrendAI identificou 1.472.554 aparelhos infectados pelo backdoor XCPE em 206 modelos, entre junho e outubro. O Brasil aparece entre os cinco países com mais dispositivos comprometidos, ao lado de Malásia, Iraque, México e Taiwan.
O backdoor veio de fábrica, diz o Google: a Videostrong o embutia e vendia o acesso a criminosos, que usavam os aparelhos como proxies residenciais e para fraude de anúncios. Os servidores caíram, mas o código permanece, se reinstala e não sai do aparelho.
Para o time técnico
Backdoor x.cpe embutido no firmware como app de sistema, reinstalado após reiniciar; usado para proxy residencial, fraude de anúncios, captura de tela, registro de teclas, shells reversos e desativação do Google Play Protect. O takedown derrubou o C2 do backdoor e de mais de 12 famílias afiliadas; o Google estima corte de controle sobre 10 milhões de dispositivos adicionais.
- Afetados
- Mais de 1,3 milhão de set-top boxes Android, com 182 a 206 modelos identificados conforme a contagem
- Exploração
- ativa confirmada
- Correção
- Remoção pelo dono é impossível; exige intervenção do fabricante ou troca do aparelho.
Fontes: The Hacker News, @DailyDarkWeb, @TheHackersNews
No radarAcompanhe este incidente ao vivo →Android corrige falha crítica que executa código sem toque
O Google corrigiu uma falha crítica no Android que permite executar código no celular sem nenhum clique ou ação do usuário. A correção entrou no boletim de novembro, que fechou 216 vulnerabilidades. Não há ataques confirmados, segundo o Google.
A falha atinge Android 14 a 17, versões usadas por funcionários com acesso a e-mail e dados corporativos. Segundo dados do Google, mais de 40% dos aparelhos Android rodam versões antigas demais para receber a correção, o que amplia a janela de risco.
Para o time técnico
CVE-2026-58868: heap buffer overflow no componente Framework, na função onOutputReceived (FrameDecoder.cpp), escrita fora dos limites no processamento de quadros de mídia. RCE sem privilégios adicionais e sem interação do usuário. Sem CVSS atribuído, sem PoC pública e sem ataques confirmados.
- CVE
- CVE-2026-58868
- Afetados
- Android 14, 15, 16, 16 QPR2 e 17
- Exploração
- não observada
- Correção
- Nível de patch de segurança 2026-11-01 ou posterior; 2026-11-05 recomendado para incluir kernel e componentes de hardware.
Fontes: SecurityWeek, @DarkWebInformer, @TheHackersNews
No radarAcompanhe este incidente ao vivo →Mercado Bitcoin promete cobrir perdas; especialistas apontam carteiras drenadas
A Mercado Bitcoin anunciou que cobrirá todas as perdas dos clientes do ciberataque que suspendeu depósitos e saques da maior exchange do Brasil. Empresas de blockchain estimam mais de US$ 46 milhões saídos da plataforma; a empresa nega vazamento de dados.
Especialistas apresentaram evidências de blockchain de que carteiras de alguns clientes foram drenadas, contrariando a versão da empresa. A Tether congelou US$ 4,5 milhões dos fundos roubados e outras plataformas, mais US$ 2 milhões. O retorno dos saques está prometido para os próximos dias.
Para o time técnico
Transferências suspeitas de mais de US$ 46 milhões em cerca de 10 blockchains, apontadas pela Hypernative. Endereços de destino foram divulgados para monitoramento; Tether congelou US$ 4,5 milhões e outras plataformas, US$ 2 milhões. A empresa afirma não houve vazamento de dados; especialistas divergem com evidências on-chain.
- Afetados
- Clientes da Mercado Bitcoin, cerca de 4,5 milhões segundo a empresa
- Exploração
- ativa confirmada
- Correção
- Depósitos e saques suspensos durante a investigação; retorno prometido para os próximos dias.
Fontes: @coinbureau, @WatcherGuru, @PabloSabbatella
No radarAcompanhe este incidente ao vivo →Node-RED sem senha é invadido com bots e webshells
A VulnCheck, empresa de inteligência de ameaças, registrou invasões bem-sucedidas por uma falha de nota máxima no Node-RED, ferramenta de automação usada também em sistemas industriais. O primeiro caso ocorreu em 30 de outubro; até 1º de novembro, mais 15 ataques vieram do mesmo IP.
Um atacante remoto, sem login, cria fluxos maliciosos e executa comandos com privilégios máximos, tomando controle total da instância. Segundo a VulnCheck, ferramentas dos criminosos procuram automaticamente instâncias sem autenticação e as exploram com uma única requisição HTTP.
Para o time técnico
CVE-2026-58115 (CVSS 10): ausência de autenticação na interface HTTP do Node-RED permite criar flows maliciosos e executar código com privilégios máximos do processo. VulnCheck observou em 30/10 exploração bem-sucedida e mais 15 ataques do mesmo IP até 01/11, entregando bot Linux e webshells persistentes.
- Afetados
- Instâncias Node-RED com interface administrativa exposta e sem adminAuth; versões não informadas nas fontes
- Exploração
- ativa confirmada
- Correção
- Restringir acesso externo à interface, ativar adminAuth e revisar flows por nós exec e endpoints inesperados; patch não detalhado nas fontes.
O que fica: Ferramenta interna exposta sem senha vira alvo automático; o teste de exposição precisa ser contínuo.
Fontes: SecurityWeek
No radarAcompanhe este incidente ao vivo →Ataques a freezers atingem contratada do banco de sangue da França
Ataques a freezers chegaram à Coolworld, contratada do serviço de sangue francês EFS: câmaras de amostras de doadores saltaram de -30 °C para 110 °C, revelou o Le Canard Enchaîné. Um técnico detectou a mudança a tempo; o Ministério da Saúde da França nega impacto.
É a primeira escalada da campanha para infraestrutura médica, depois de supermercados em vários países perderem estoque com freezers aquecidos remotamente. Empresas com câmaras frias conectadas à internet e controladores antigos correm o mesmo risco de perda total.
Para o time técnico
Manipulação remota de controladores de refrigeração reprograma setpoints de temperatura. Na Coolworld/EFS, freezers de amostras passaram de -30 °C para 110 °C. Na onda correlata de supermercados, a entrada na Estônia explorou controladores antigos; ataques anteriores na França envolveram controladores Danfoss.
- Afetados
- Controladores de refrigeração conectados à internet, incluindo modelos antigos e fora de suporte
- Exploração
- ativa confirmada
- Correção
- Cortar a conexão direta dos controladores com a internet, trocar senhas padrão e monitorar temperatura com alerta imediato.
Fontes: The Record, @TGLetter, @InsiderGeo
No radarAcompanhe este incidente ao vivo →SonicWall GMS: falha crítica expõe arquivos sem senha e sem correção
A SonicWall divulgou duas falhas no Global Management System (GMS), ferramenta de gestão de firewalls. A crítica, de nota 9,1, permite ler arquivos internos sem senha e sem ação do usuário. A segunda, nota 6,8, permite injeção de SQL a atacantes autenticados.
Não haverá correção: as versões afetadas, GMS 9.5.2 e anteriores, em Windows e Linux, estão no fim de vida. O risco permanece até a troca do produto. Não há PoC pública nem exploração confirmada, segundo a fonte.
Para o time técnico
CVE-2026-109593 (CVSS 9,1): acesso não autenticado a arquivos internos do GMS, sem privilégios nem interação do usuário. CVE-2026-109594 (CVSS 6,8): injeção de SQL por atacante autenticado, com possível leitura e alteração do banco do GMS. Produto em fim de vida, sem patch previsto.
- CVE
- CVE-2026-109593, CVE-2026-109594
- Afetados
- SonicWall GMS 9.5.2 e anteriores, em Windows e Linux
- Exploração
- não observada
- Correção
- Sem patch; isolar o servidor GMS, restringir acesso à rede de gestão e planejar a substituição do produto.
O que fica: Software no fim da vida vira risco permanente: sem patch, só isolamento e troca.
Fontes: @DarkWebInformer
No radarAcompanhe este incidente ao vivo →Kernel Linux: Red Hat corrige falha 9,8; Ubuntu segue em teste
A Red Hat lançou correções da falha 9,8 na pilha TCP do kernel Linux nos RHEL 8, 9 e 10. No Ubuntu, a correção segue apenas em canal de teste, sem data para o canal estável. O Debian corrigiu em 16 de outubro.
A falha permite execução remota de código como root, sem senha, em servidores com serviços de rede expostos. A Anthropic demonstrou um exploit funcional criado por sua IA. Não há ataques conhecidos, mas um pesquisador detectou varredura da internet inteira por sistemas expostos.
Para o time técnico
CVE-2026-98432: use-after-free por corrida na pilha TCP IPv4, alcançável antes da autenticação da aplicação; pode vazar memória de kernel, corromper memória ou derrubar o sistema. O exploit da Anthropic encadeia listener MPTCP e executou comandos como root em cerca de 53 minutos de teste; Go 1.24 ou posterior no Linux habilita MPTCP por padrão. Red Hat classifica 5,9 por considerar a corrida difícil de vencer.
- CVE
- CVE-2026-98432
- Afetados
- Kernels Linux a partir da versão 4.4
- Exploração
- não observada
- Correção
- RHEL 8, 9 e 10 corrigidos; Debian desde 16/10; Ubuntu em canal de teste. Kernels estáveis corrigidos: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. Paliativo para apps Go: GODEBUG=multipathtcp=0.
Fontes: The Hacker News, @DarkWebInformer, @TheHackersNews
No radarAcompanhe este incidente ao vivo →Pra fechar
O dia repete um padrão: falhas que dão acesso sem senha, de servidores web a freezers, com varredura automática procurando sistemas expostos. Corrigir rápido fecha a janela; isolar o que não tem correção limita o dano. E o roubo da Binance mostra que o caminho até bilhões passou pelo notebook de um engenheiro.
O que está exposto na sua empresa hoje já foi testado neste trimestre?
A maioria dessas falhas só aparece quando alguém, ou algum atacante, vai procurar por elas.
Solicitar conversa