CISA confirma Brotli explorada e dá prazo em 10 de novembro
Falha do Brotli ganha confirmação de exploração, zero-day do ESXi atinge o setor jurídico e GhostAction já comprometeu 1.792 contas no GitHub.
O resumo de 30 segundos
- CISA confirma exploração ativa da falha Brotli (Node2Shell) no Node.js, com prazo federal de correção em 10 de novembro.
- Zero-day do ESXi usado por grupo ligado à China contra escritórios de advocacia dos EUA deixava operações sem log.
- Palo Alto confirma PHP2Shell em exploração ativa contra interfaces de gerenciamento; Imperva registrou 482.342 requisições em 24 horas.
- GhostAction comprometeu 1.792 contas do GitHub em 22.964 repositórios visados; tokens roubados seguem reutilizados.
- Campanha testmetest escondia arquivos grandes demais para a busca do GitHub detectar e publica pacotes npm maliciosos.
CISA confirma exploração ativa do Brotli com prazo em 10 de novembro
Depois de demonstrações de execução remota, a CISA confirmou exploração ativa da falha Brotli e a listou no KEV (lista da CISA de falhas já usadas em ataques), com prazo em 10 de novembro. O código está em Node.js, Bun, Python, Envoy e PowerShell.
Serviços que descomprimem dados de fontes externas podem ser tomados por invasores sem senha, com leitura de memória e execução remota de código, já demonstrada pela Imperva em imagem oficial do Node.js. Linhas 20.x, 23.x e 25.x não têm correção e exigem migração.
Para o time técnico
Escrita fora dos limites no decodificador Brotli do Google (CVSS v4 9,2) corrompe memória ao processar stream comprimida maliciosa, sem autenticação. A Imperva demonstrou RCE em imagem oficial do Node.js. A CISA listou no KEV em 27 de outubro de 2026; o boletim da Microsoft reúne outras nove CVEs relacionadas.
- CVE
- CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-105481, CVE-2026-106072, CVE-2026-106074, CVE-2026-106070, CVE-2026-106071, CVE-2026-106073
- Afetados
- Brotli 1.0.3 a 1.2.0; Node.js 22.x, 24.x e 26.x anteriores às correções, com 20.x, 23.x e 25.x sem correção; Bun antes de 1.4.4; PyPI Brotli e brotlicffi; Envoy e Istio com descompressão Brotli configurada; .NET, Visual Studio e PowerShell antes das atualizações de 25 de outubro de 2026
- Exploração
- ativa confirmada
- Correção
- Node.js 22.23.4, 24.22.1 ou 26.12.1; Bun 1.4.4; Brotli 1.2.1; atualizações Microsoft de 25 de outubro; reiniciar serviços, reconstruir imagens de contêiner e desativar inspeção de Brotli em firewalls Palo Alto até a correção prevista para 30 de outubro
O que fica: Falha em biblioteca embutida aparece em muitos produtos ao mesmo tempo; inventário de dependências define a velocidade da correção.
Fontes: Microsoft, The Hacker News, @HacktronAI, @BleepinComputer
No radarAcompanhe este incidente ao vivo →Zero-day do ESXi usado contra setor jurídico entra no KEV
Hackers ligados à China exploraram como zero-day uma falha do VMware ESXi contra organizações dos EUA, incluindo escritórios de advocacia, segundo a CrowdStrike. A CISA listou a falha no KEV, com prazo de correção em 11 de novembro.
A falha deixa ações administrativas fora dos logs do servidor, o que atrasa detecção e investigação de invasões. Segundo a CrowdStrike, o grupo entra por dispositivos de borda expostos à internet e faz movimentação até o vCenter. Empresas com virtualização VMware devem priorizar a correção.
Para o time técnico
Vulnerabilidade de log insuficiente no ESXi: ator com privilégio administrativo executa operações sem registro em log. A CrowdStrike atribui o uso como zero-day ao grupo de nexo chinês Warp Panda, com entrada por dispositivos de borda expostos e pivô até o vCenter. A CISA exige triagem forense junto com a mitigação.
- CVE
- CVE-2026-41709
- Afetados
- Broadcom VMware ESX; versões específicas não informadas nas fontes
- Exploração
- ativa confirmada
- Correção
- Builds ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 ou ESXi80U3j-25429389 ou mais recentes; mitigações do fabricante e triagem forense exigida pela CISA
O que fica: Ações administrativas fora do log atrasam qualquer investigação; valide se sua telemetria cobre o hipervisor.
Fontes: CISA KEV, The Hacker News, SecurityWeek
No radarAcompanhe este incidente ao vivo →Palo Alto confirma PHP2Shell explorada em interfaces de gerenciamento
A Palo Alto Networks confirmou exploração ativa das falhas PHP2Shell contra interfaces de gerenciamento expostas à internet. As falhas permitem execução remota de código sem autenticação e afetam o PAN-OS em Siemens RUGGEDCOM. A Imperva registrou 482.342 requisições de varredura em 24 horas.
O PHP roda hoje em cerca de 70% do software da web, segundo a TechCrunch, e a exploração dá controle do servidor sem senha. Pesquisa citada relata 25 servidores com acesso root em quatro países, incluindo ambiente ligado ao governo dos EUA.
Para o time técnico
CVE-2026-109618 e CVE-2026-109619 permitem RCE sem autenticação em configurações do PHP que servem requisições web: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A CVE-2026-46300, do kernel Linux, aparece junto no KEV na mesma cadeia. Existe PoC pública após desafio de bitcoin resolvido.
- CVE
- CVE-2026-109618, CVE-2026-109619
- Afetados
- PHP 5.4 a 8.5.11 em branches que servem requisições web; linhas EOL 8.1 e anteriores sem patch do projeto PHP; PAN-OS em Siemens RUGGEDCOM APE1808; IBM SevOne NMS 8.0.0 a 9.0.0
- Exploração
- ativa confirmada
- Correção
- PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou compilação do fornecedor com backport; atualizar PAN-OS, aplicar service packs da IBM para SevOne e retirar interface de gerenciamento da internet
Fontes: JPCERT/CC, TechCrunch Security, @hakluke
No radarAcompanhe este incidente ao vivo →CISA confirma PolyShell no Adobe Commerce com prazo em 10 de novembro
A CISA adicionou a falha PolyShell do Adobe Commerce ao KEV em 27 de outubro, citando exploração ativa, com prazo federal em 10 de novembro. Ataques exploram a CVE-2026-48356 e invadiram centenas de lojas, segundo o The Hacker News. A Adobe já corrigiu em julho.
Lojas Adobe Commerce e Magento sem os patches de julho aceitam upload de arquivo sem autenticação, o que leva à execução de código e controle da loja. Depois de corrigir, é preciso procurar código do invasor e blocos de conteúdo injetados, recomenda o DailyDarkWeb.
Para o time técnico
CVE-2026-48356 (CVSS 9,6) é upload irrestrito de arquivo de tipo perigoso no Adobe Commerce e Magento, sem autenticação, com execução arbitrária de código no contexto do usuário atual. A CISA listou no KEV em 27 de outubro de 2026; uso em ransomware listado como desconhecido.
- CVE
- CVE-2026-48356
- Afetados
- Adobe Commerce e Magento sem as atualizações de julho de 2026 (APSB26-73)
- Exploração
- ativa confirmada
- Correção
- Aplicar APSB26-73 (julho de 2026) e, depois do patch, buscar webshells e blocos de CMS injetados
Fontes: CISA KEV, The Hacker News, @DailyDarkWeb
No radarAcompanhe este incidente ao vivo →GhostAction atinge 22.964 repositórios e tokens seguem reutilizados
A campanha GhostAction é maior do que se sabia: 22.964 repositórios visados, mais de 72.000 commits maliciosos e 1.792 contas comprometidas com cinco famílias de código malicioso. Invasores comprometem mantenedores no GitHub e injetam rotinas de automação para roubar segredos, segundo o The Hacker News.
Toda credencial configurada no repositório e qualquer senha gravada no histórico Git foi oferecida ao atacante, segundo a StepSecurity, que recomenda tratar o achado como invasão confirmada. Tokens roubados continuam sendo reutilizados. O segundo estágio atinge a máquina do desenvolvedor pelo VS Code.
Para o time técnico
Branch ci-sync-<6 chars> adicionava .github/workflows/sync-check.yml para exfiltrar segredos via logs do Actions. Segundo estágio usa tasks.json e public/fonts/fa-solid-400.woff2 para minerar credenciais do histórico Git e instalar comando remoto a cada cinco minutos. IoCs públicos incluem o IP 193.32.204.199 e o marcador AKIA_CTX_START.
- Afetados
- Repositórios GitHub acessíveis por contas de mantenedores comprometidas; uber/athenadriver e pyxel atingidos
- Exploração
- ativa confirmada
- Correção
- Revogar todos os tokens e segredos, incluindo os presentes no histórico Git; remover os arquivos maliciosos listados; buscar IoCs e examinar máquinas dos desenvolvedores
O que fica: Segredo gravado no histórico do Git permanece válido para o atacante depois de removido; revogar é a única correção.
Fontes: GitGuardian, StepSecurity, @TheHackersNews, The Hacker News
No radarAcompanhe este incidente ao vivo →WordPress 7.1.4 corrige 22 falhas, com RCE durante a atualização
O WordPress liberou a versão 7.1.4 com correções para 22 vulnerabilidades. A mais grave é uma condição de corrida na atualização do núcleo, que podia permitir execução remota de código durante a atualização. O WordPress não indica exploração ativa.
Sites em versões anteriores ficam expostos a execução de código no servidor. Muitas falhas são de script injetado (XSS armazenado, que rouba sessões) e exigem papel de Contribuidor, Autor ou Editor, comum em sites com múltiplos redatores. Versões 4.6 e anteriores não recebem correções.
Para o time técnico
Race condition no core upgrade podia levar a RCE durante a janela de atualização. Corrigidos múltiplos stored XSS em block markup, Interactivity API, Customizer e paginação de comentários, além de DoS armazenado na Interactivity API, divulgação de mudanças não publicadas do Customizer e substituição dos certificados raiz da eMudhra embutidos.
- Afetados
- WordPress anterior a 7.1.4; correções também para os ramos 7.0 a 4.7; 4.6 e anteriores sem suporte
- Exploração
- não observada
- Correção
- Atualizar para 7.1.4 pelo Painel > Atualizações; sites com atualização automática em segundo plano devem se atualizar sozinhos
Fontes: @DarkWebInformer
No radarAcompanhe este incidente ao vivo →testmetest escondia payload de 13 MB da busca do GitHub
A JFrog Security Research detalhou o funcionamento da campanha npm testmetest: configurações ocultas executam código malicioso quando o projeto abre em Claude Code, Gemini CLI, Cursor ou VS Code. Arquivos de 12,9 a 13,7 MB escapavam da busca de código do GitHub.
No total, 42 repositórios de 11 donos legítimos foram armados. O código invasor publica novos pacotes npm maliciosos com tokens roubados ou publicação confiável OIDC do GitHub, que publica sem token. A JFrog recomenda auditar repositórios pela enumeração da árvore Git.
Para o time técnico
Wrappers polimórficos de 12,9 a 13,7 MB excediam a indexação da busca de código e da API de contents do GitHub. O payload é um publisher que usa tokens npm roubados ou trusted publishing OIDC. Pacotes recentes escondem o payload em native addon (.napi_cache, XOR 0x96) que se recusa a executar em CI, contêineres ou debuggers.
- Afetados
- 42 repositórios GitHub de 11 donos; desenvolvedores que abrem projetos infectados em Claude Code, Gemini CLI, Cursor ou VS Code
- Exploração
- ativa confirmada
- Correção
- Trocar credenciais e tokens de GitHub e npm, revogar publicação confiável OIDC não usada e auditar repositórios por enumeração da árvore Git
O que fica: Credencial de publicação confiável vira vetor de propagação; a auditoria precisa cobrir a árvore Git inteira.
Fontes: @DailyDarkWeb, @IntCyberDigest
No radarAcompanhe este incidente ao vivo →ZDI publica zero-day em stickers animados do Telegram sem correção
A Zero Day Initiative divulgou a CVE-2026-111105 (CVSS 7.0), falha na biblioteca de stickers animados rlottie do Telegram que permite executar código dentro do aplicativo. O aviso final exige interação do usuário; o pesquisador Saifeldeen Aziz alega cadeia 0-click, sem clique, com execução no iOS.
A Telegram disse à ZDI que a validação de stickers no servidor mitiga a falha, e não há versão corrigida nem ataques registrados. A falha atinge clientes usados por jornalistas, executivos e equipes de governo, e um sticker malicioso comprometeria o dispositivo e as conversas.
Para o time técnico
Escrita antes do início do buffer por validação incorreta de dados de animação controlados pelo atacante na rlottie. A ZDI publicou o zero-day em 15 de outubro após a Telegram recusar correção no cliente, alegando validação server-side de stickers. Saifeldeen Aziz apresentou cadeia 0-click com execução de código no iOS no OffensiveCon Japan; alegações de conferência, ainda não verificadas. Relato de terceiro indica substituição da rlottie por tlottie, em Rust, nos clientes.
- CVE
- CVE-2026-111105
- Afetados
- Biblioteca rlottie nos clientes do Telegram para iOS, Android e Desktop; versões afetadas não divulgadas
- Exploração
- não observada
- Correção
- Não informado nas fontes; manter clientes atualizados, desativar download automático de mídia e evitar stickers e links desconhecidos
Fontes: @DarkWebInformer, @DailyDarkWeb, @IntCyberDigest
No radarAcompanhe este incidente ao vivo →KeyDrift roubava chaves de criptografia em redes SD-WAN da Cisco
A Cisco Talos revelou o KeyDrift, malware instalado em ambientes Cisco Catalyst SD-WAN comprometidos pela CVE-2026-20127, falha de gravidade máxima, CVSS 10.0, corrigida em fevereiro. O malware copia e armazena as chaves que criptografam o tráfego entre sites e mantém acesso dos atacantes.
Com as chaves capturadas, invasores podem decifrar tráfego entre sites. A Talos avalia, com alta confiança, sobreposição de infraestrutura com a rede Silent Train, usada pelo Volt Typhoon. Alvos observados incluem serviços de satélite, defesa, aeroespacial e pesquisa de políticas. Os ataques são históricos.
Para o time técnico
Dois componentes: LittleFilch extrai material de chaves de criptografia do plano de dados a partir de tráfego descriptografado dos controladores; PolyFlame mantém backdoor e retransmissão de comandos em processos legítimos. Talos atribui ao ator UAT-11473 e avalia, com alta confiança, sobreposição com a rede Silent Train, do Volt Typhoon. Análise cobre intrusões históricas, sem nova onda confirmada; Lumen documentou exploração da mesma falha.
- CVE
- CVE-2026-20127
- Afetados
- Ambientes Cisco Catalyst SD-WAN sem a correção de fevereiro; setores visados incluem serviços de satélite, defesa e aeroespacial e pesquisa de políticas
- Exploração
- ativa confirmada
- Correção
- Aplicar a correção da CVE-2026-20127, disponível desde fevereiro, e investigar sinais de persistência após aplicar
O que fica: A correção encerra o vetor de entrada; intrusões antigas seguem ativas, então busque persistência depois de atualizar.
Fontes: The Hacker News, @DailyDarkWeb, @TheHackersNews
No radarAcompanhe este incidente ao vivo →Pra fechar
O dia foi de confirmações: falhas com correção disponível há meses entraram agora na lista de exploração da CISA, do Adobe Commerce ao SD-WAN da Cisco. A diferença entre incidente e rotina foi saber onde o código rodava e agir em horas. Achar cedo, corrigir e conferir depois segue sendo o ciclo que protege.
Você sabe hoje onde cada dependência vulnerável roda na sua empresa?
A maioria dessas falhas já tinha correção disponível antes de virar ataque.
Solicitar conversa