PHP antigo sem correção; falha do Nextcloud é explorada
Versões antigas do PHP ficam sem correção, Nextcloud sofre backdoor e 1,4 milhão de cartões pré-pagos vazam no Japão.
O resumo de 30 segundos
- Versões antigas do PHP ficam sem correção para as falhas PHP2Shell, apesar de patches oficiais nas linhas 8.2 a 8.5.
- Hackers instalam backdoors em servidores Nextcloud pela falha do Collabora CODE, listada pela CISA (agência de cibersegurança dos EUA) como explorada ativamente.
- O Canadá confirma ataques ao FortiSIEM, ferramenta de monitoramento da Fortinet: execução de comandos sem senha, com código de demonstração publicado.
- Fornecedor japonês expõe 1,4 milhão de cartões pré-pagos com PIN e saldo; a rede MOS Burger confirma outros 1,1 milhão de registros.
- Microsoft publica correção emergencial do .NET pela falha do Brotli, que atinge Node.js, Bun, proxies e pacotes Python.
Aviso japonês organiza correções do PHP2Shell; versões antigas ficam sem patch
O centro de segurança do Japão detalhou as correções das duas falhas PHP2Shell: versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP, além de atualizações de Ubuntu, Red Hat e Peplink. Instalações em versões sem suporte, 8.1 e anteriores, ficam sem correção oficial.
A correção nem chega a todos. Servidores em versões sem suporte seguem expostos a invasão remota, sem patch previsto, e pesquisadores já documentaram exploração real do PHP2Shell em produção.
Para o time técnico
CVE-2026-109618 (bailout de OOM para use-after-free) e CVE-2026-109619 (corrupção de estado para UAF), RCE não autenticada em instalações que servem requisições web. A zerodayalpha validou os bugs de forma independente e nota que os fixes são sistêmicos, fechando caminhos extras sem CVE próprio. A 0x4D31 publicou o que descreve como primeiro RCE validado na natureza.
- CVE
- CVE-2026-109618, CVE-2026-109619
- Afetados
- PHP 5.4 a 8.5.11, todos os branches servindo requisições web; 8.1 e anteriores sem correção do projeto PHP
- Exploração
- ativa confirmada
- Correção
- PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35; builds de Ubuntu, RHEL e Peplink
O que fica: Software sem suporte transforma cada nova falha em risco permanente, sem patch para esperar.
Fontes: JPCERT/CC, TechCrunch Security, @zerodayalpha 1, @zerodayalpha 2, @DailyDarkWeb, @0x4D31
No radarAcompanhe este incidente ao vivo →Exploração do PHP2Shell passa por proxy do Google; Unit 42 corrige relato
Um pesquisador demonstrou que a falha do PHP funciona atrás do proxy reverso do Google, usado em serviços como o Cloud Run. A camada que muitos consideravam proteção não impediu a exploração, executada com um agente de IA.
A Palo Alto Networks corrigiu uma avaliação anterior. O time Unit 42 retirou a leitura de que o ataque a um governo europeu envolvia o PHP2Shell: ocorreu no contexto de uma aplicação PHP vulnerável. Atribuições apressadas confundem a resposta.
Para o time técnico
LiveOverflow demonstrou exploração do PHP2Shell por trás do Google Frontend, o proxy reverso à frente do Cloud Run, invalidando a premissa de que proxies de borda bloqueiam o vetor. hakluke relata exploração confirmada do RCE. Em paralelo, a Unit 42 retratou a ligação do caso do governo europeu com a falha.
- Afetados
- não informado nas fontes
- Exploração
- ativa confirmada
- Correção
- não informado nas fontes
Fontes: @hakluke, @LiveOverflow, The Hacker News
No radarAcompanhe este incidente ao vivo →Falha no Collabora do Nextcloud é explorada para instalar backdoors
Hackers invadem servidores Nextcloud por falha em aplicativo de edição de documentos, o Collabora CODE embutido. Atacantes usam a falha para instalar backdoors, e a CISA (agência de cibersegurança dos EUA) adicionou o caso à lista de falhas em exploração ativa.
A correção existe desde setembro. Servidores que ainda não atualizaram o aplicativo podem estar comprometidos, com backdoor instalado e dados corporativos acessíveis. A alternativa é desinstalar o aplicativo.
Para o time técnico
RCE no richdocumentscode (Collabora Online Built-in CODE Server) para Nextcloud, CVSS 9.2. Exploração na natureza relatada com instalação de backdoors em servidores expostos. Adicionada ao KEV da CISA na sexta-feira.
- CVE
- CVE-2026-110447
- Afetados
- richdocumentscode antes de 26.4.303
- Exploração
- ativa confirmada
- Correção
- richdocumentscode 26.4.303 ou posterior (mais recente 26.4.502), ou desinstalar o aplicativo
O que fica: Aplicativo opcional, sem dono claro e sem atualização, costuma ser o alvo mais fácil.
Fontes: NVD, The Hacker News, Collabora, GitHub Advisory Database, GitHub, Nextcloud community forum
No radarAcompanhe este incidente ao vivo →Canadá confirma exploração ativa de falha crítica no FortiSIEM
O Canadá confirma ataques reais a instalações do FortiSIEM, ferramenta de monitoramento da Fortinet. A falha permite executar comandos no servidor sem senha. Um código de demonstração foi publicado no dia 20 de outubro.
A ferramenta de segurança virou o alvo. Quem roda FortiSIEM desatualizado pode ter o sistema de alerta comprometido, dando ao invasor visão do ambiente. A Fortinet ainda lista a falha como sem exploração conhecida.
Para o time técnico
CVE-2026-106173 atinge o handler gRPC QueryResultReq do FortiSIEM: validação incorreta de metadados controláveis pelo atacante permite path traversal e escrita arbitrária de arquivos, encadeável para RCE sem autenticação sobrescrevendo arquivos depois executados pelo sistema. CVSS 9.4. PoC da Horizon3 publicada em 20/out demonstra execução cega via serviço gRPC em TCP/27918.
- CVE
- CVE-2026-106173
- Afetados
- FortiSIEM 7.0.0 a 7.5.0, em múltiplos branches de release
- Exploração
- ativa confirmada pelo Cyber Centre do Canadá; a Fortinet diz não conhecer exploração
- Correção
- FortiSIEM 7.5.1 ou 7.6.0 e posteriores
O que fica: Ferramenta de monitoramento desatualizada entrega ao invasor a visão completa do ambiente.
Fontes: @DarkWebInformer, @IntCyberDigest
No radarAcompanhe este incidente ao vivo →Fornecedor japonês expõe 1,4 milhão de cartões pré-pagos com PIN
Um fornecedor de pagamentos no Japão confirmou vazamento de 1.424.748 registros de cartões pré-pagos de loja, com identificador do cartão, PIN e saldo. A rede de lanches MOS Burger confirmou outros 1.133.070 registros expostos pelo mesmo fornecedor.
O fornecedor bloqueou o acesso, mas o dano alcança clientes de terceiros. A falha estava no servidor web da subsidiária Value Design. Nomes, endereços e dados de cartão de crédito ficaram de fora; não houve prejuízo relatado até 23 de outubro.
Para o time técnico
Exploração de vulnerabilidade de servidor web na subsidiária Value Design, da Paycloud, expôs registros de Value Card (card ID, PIN e saldo) e do MOS Card. Rota de acesso bloqueada e troca forçada dos PINs afetados. Sem CVE ou atribuição a ransomware estabelecida.
- Afetados
- 1.424.748 registros de Value Card (569.224 com IDs emitidos); 1.133.070 registros de MOS Card, cerca de 570 mil em circulação
- Exploração
- ativa confirmada
- Correção
- acesso bloqueado pela Paycloud; sem CVE publicado
O que fica: A falha do fornecedor vaza dados dos seus clientes; o prejuízo de reputação é seu.
Fontes: @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →Microsoft lança correção emergencial do .NET pela falha do Brotli
A Microsoft publicou correção emergencial no .NET para a falha no descompactador Brotli, que atinge Node.js, Bun, proxies e pacotes Python. A empresa admitiu que duas correções de 13 de outubro eram insuficientes.
O alcance vai muito além do Node.js. Descompactar dados maliciosos corrompe a memória de aplicativos .NET, Visual Studio e PowerShell, proxies Envoy e Istio e pacotes Python. Todo software que recebe dados comprimidos de terceiros precisa de atualização.
Para o time técnico
CVE-2026-111497: out-of-bounds write no decodificador Brotli do Google. Dados comprimidos malformados corrompem memória, com potencial de crash, disclosure e RCE; variantes foram apelidadas Node2Shell e HTTP2Shell. Reportada ao Node.js pelo Codex Security, da OpenAI. Regras WAF foram publicadas como mitigação adicional, sem substituir o patch.
- CVE
- CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-105481, CVE-2026-106072, CVE-2026-106074, CVE-2026-106070, CVE-2026-106071, CVE-2026-106073
- Afetados
- Node.js 22.x antes de 22.23.4, 24.x antes de 24.22.1 e 26.x antes de 26.12.1 (20.x, 23.x e 25.x EOL sem correção); Bun antes de 1.4.4; Brotli 1.0.3 a 1.2.0; brotli e brotlcficffi do PyPI; Envoy e Istio com decompressor Brotli; .NET, Visual Studio e PowerShell antes das atualizações de 25/out
- Exploração
- não observada
- Correção
- Node.js 22.23.4, 24.22.1 e 26.12.1; Bun 1.4.4; Brotli 1.2.1, 1.1.1 e 1.0.10; atualizações de outubro da Microsoft
Fontes: Microsoft, The Hacker News, @ethiack, @IntCyberDigest, @BleepinComputer, @DarkWebInformer
No radarAcompanhe este incidente ao vivo →Tailscale tem 11 falhas sem correção; dispositivo invadido avança na rede
Uma auditoria independente listou onze falhas no Tailscale, ferramenta de rede privada entre servidores. A mais grave: um único dispositivo invadido pode obter acesso de administrador em outros servidores da mesma rede. A correção ainda não saiu.
O risco parte de um dispositivo comprometido, já autorizado na rede. Quem usa o Tailscale apenas com os próprios dispositivos tem exposição menor, segundo analistas. A Tailscale informa que uma correção está em preparação.
Para o time técnico
Relatório de Erica Windisch, publicado sem divulgação coordenada, com 11 achados em cinco grupos: Tailscale SSH, serve, app connectors, cliente DERP e headscale. O servidor SSH roda dentro do tailscaled, com root na máquina; race conditions permitem escalada e movimento lateral via port forwarding entre dispositivos autorizados, além de adição de nó rogue.
- Afetados
- tailscale v1.104.2 e headscale v0.29.5 (versões testadas em 22 a 24 de outubro)
- Exploração
- não observada
- Correção
- sem patch publicado; correção anunciada pela Tailscale
Fontes: Tailscale, @IntCyberDigest, @The_Cyber_News, @cocktailpeanut, @TheHackersNews, Cyberdione Labs
No radarAcompanhe este incidente ao vivo →Contrato fechado da Solana é reengenheirado e revela falha crítica
Um pesquisador reconstituiu o código de um contrato de criptomoedas na rede Solana sem acesso ao fonte, em versão idêntica byte a byte. No processo, encontrou uma falha crítica no programa em produção. Não há detalhes técnicos nem correção anunciada.
Código fechado deixou de impedir a auditoria. Qualquer programa publicado em blockchain pode ser reconstituído e analisado por qualquer pessoa, inclusive atacantes. Detalhes da falha e correção ainda não foram divulgados.
Para o time técnico
O pesquisador @shawmakesmagic reengenheirou o programa daosfun da mainnet da Solana em versão byte-idêntica ao binário implantado e relata vulnerabilidade crítica no contrato em produção. Sem vetor, CVE ou correção divulgados.
- Afetados
- programa daosfun implantado na mainnet da Solana
- Exploração
- não informado nas fontes
- Correção
- não informado nas fontes
O que fica: Tratar código fechado como proteção deixou de funcionar; o teste precisa vir antes do atacante.
Fontes: @shawmakesmagic
No radarAcompanhe este incidente ao vivo →Electrum corrige falha que escondia roubo de bitcoins em taxa maior
A carteira Electrum corrigiu uma falha crítica que permitia a um servidor malicioso trocar uma transação recém-enviada e enganar o usuário. O golpe escondia o roubo das moedas atrás de um aumento aparente de taxa.
O golpe parecia um aumento de taxa. Ao aceitar o novo valor, o usuário assinava, sem saber, a transferência dos próprios bitcoins. A versão 4.8.3 corrige; todos devem atualizar.
Para o time técnico
Servidor Electrum malicioso substitui uma transação recém-transmitida e induz o usuário a aceitar um RBF (substituição por taxa) que desvia fundos disfarçado de aumento de fee. Corrigido em 4.8.3; a descrição detalhada foi publicada depois do release.
- Afetados
- Electrum anterior a 4.8.3
- Exploração
- não informado nas fontes
- Correção
- Electrum 4.8.3
Fontes: spesmilo/electrum, @ElectrumWallet, Bitcoin.com News, The Defiant
No radarAcompanhe este incidente ao vivo →Keystone confirma vazamento de endereços de compradores de carteira física
A fabricante de carteiras Keystone confirmou vazamento de dados de envio de clientes: nomes, contatos, endereços e detalhes de pedidos, após acesso não autorizado ao site oficial em 20 de outubro. Cartões e chaves privadas não foram expostos.
É o quarto fabricante vazado em 2026. Ledger, Trezor e SafePal tiveram episódios parecidos este ano. Com nome e endereço em mãos, golpistas se passam por suporte para extrair a frase de recuperação e roubar os fundos.
Para o time técnico
Acesso não autorizado ao site oficial da Keystone detectado em 20/out e confirmado em 23/out com a verificação de atividade de API junto à Shopify. Exposição: nomes, contatos, endereços de entrega e detalhes de pedidos. Sem exposição de cartões, frases de recuperação ou chaves privadas.
- Afetados
- clientes do site oficial da Keystone; número total não divulgado
- Exploração
- ativa confirmada
- Correção
- acesso bloqueado e vulnerabilidade corrigida pela Keystone; investigação aberta
Fontes: @KeystoneWallet, @coinbureau, @Cointelegraph
No radarAcompanhe este incidente ao vivo →Pra fechar
Em quase todos os casos de hoje a correção já existia. O que separou empresas protegidas de invadidas foi a velocidade para aplicar e verificar. Versões sem suporte, aplicativos opcionais e fornecedores ficaram para trás.
Quantos sistemas ainda rodam versões que não recebem correção?
Grande parte das falhas de hoje já tinha correção disponível antes da exploração.
Solicitar conversa