As duas vulnerabilidades na linguagem PHP reveladas ontem (CVE-2026-109618 e CVE-2026-109619, ambas com CVSS de 9.8, deixam 22,6 milhões de sites expostos. A equipe de segurança do PHP publicou um comunicado oficial classificando ambas como críticas, e alertou que não existem mitigações completas que não sejam as das atualizações. Segundo a Unit 42, da Palo […]

A Siemens publicou um boletim de segurança em 15 de outubro sobre uma vulnerabilidade no Software Center, aplicativo para baixar, instalar e ativar softwares adquiridos, que tem sido usada em ataques ClickFix. Rastreada como CVE-2026-110936, a falha permite que atacantes carreguem código malicioso nos sistemas afetados. A vulnerabilidade diz respeito ao carregamento de arquivos DLL […]

O Drupal publicou correções para duas vulnerabilidades críticas que permitem a execução remota de código em sites que rodam qualquer versão suportada do sistema de gerenciamento de conteúdo. As falhas afetam o módulo Field UI do núcleo do software e o módulo contribuído Entity List. A equipe de segurança do projeto alertou no início da […]

A F5 publicou correções de segurança fora do ciclo regular para tratar múltiplas falhas no servidor web NGINX, incluindo três vulnerabilidades de severidade crítica que permitem a execução de código em sistemas afetados. Os patches foram divulgados nesta segunda-feira (19) e abrangem produtos como NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric […]

Pesquisadores alertam que hackers podem explorar em breve uma vulnerabilidade de gravidade máxima (CVE-2026-103849) que afeta o Magento e o Adobe Commerce, com potencial para executar código PHP arbitrário nos servidores das lojas. Segundo a empresa de segurança para e-commerce Sansec, ataques que aproveitam a falha, apelidada de BlockStrap, ainda não foram observados, mas espera-se […]

A CISA pediu que administradores corrijam appliances Ivanti Connect Secure após a exploração da CVE-2026-104935, falha zero-day que permite contornar autenticação remotamente e executar comandos, viabilizando roubo de credenciais e exfiltração de dados. O alerta foi publicado em 13 de outubro de 2026, quando a agência incluiu o problema em seu catálogo de vulnerabilidades conhecidas […]

Administradores de ambientes virtualizados com XenServer 8.4 e XenServer 9 devem ficar atentos a quatro correções divulgadas pela Citrix. Três delas abrem caminho para que alguém já privilegiado dentro de uma máquina virtual afete o servidor que hospeda esse ambiente, seja comprometendo-o, seja provocando sua parada. A informação consta no boletim CTX697170, de 13 de […]

A Microsoft publicou atualizações que corrigem mais de 1.400 falhas de segurança em seus produtos, incluindo uma vulnerabilidade explorada ativamente antes da correção. Nunca antes a empresa havia fechado tantas brechas em uma única Patch Tuesday. Cerca de 1.100 dos problemas estão no Windows, entre eles uma falha no Windows Shell (CVE-2026-96951) que permite contornar […]

A F5 publicou três avisos de segurança sobre falhas que permitem a atacantes remotos e não autenticados derrubar processos de trabalho do NGINX Plus e do NGINX Open Source por meio de requisições HTTP manipuladas. Os problemas afetam o plano de dados do servidor, que processa o tráfego dos usuários, e não o plano de […]

A Cisco corrigiu uma vulnerabilidade zero-day explorada ativamente em seu Secure Email Gateway (SEG) que permite a atacantes remotos não autenticados executar comandos com privilégios de root. Rastreada como CVE-2026-76519, a falha decorre de uma fraqueza de travessia de caminho relativo no recurso Advanced Malware Protection (AMP) do SEG, causada pelo tratamento inadequado de anexos […]

A Fortinet divulgou uma vulnerabilidade crítica de bypass de autenticação na interface gráfica do FortiSandbox que poderia permitir a atacantes remotos acessar funções protegidas sem credenciais válidas. Rastreada como CVE-2026-107656, a falha tem pontuação CVSSv3 reportada de 9,6 e afeta tanto appliances FortiSandbox quanto versões selecionadas do FortiSandbox PaaS, conforme o aviso FG-IR-26-185 publicado em […]

A Cisco publicou comunicados de segurança para quatro vulnerabilidades críticas no sistema operacional NX-OS, que equipa switches da linha Nexus para data centers. As falhas podem ser exploradas para executar código arbitrário com privilégios de root nos equipamentos. Caso a execução remota de código não seja bem-sucedida, um atacante ainda pode explorar as vulnerabilidades para […]

Uma vulnerabilidade crítica no LMCache, software de código aberto que acelera servidores de grandes modelos de linguagem (LLM) como o vLLM, permite que um atacante execute código no servidor de cache sem fazer login, e não há versão corrigida disponível. A falha está no modo multiprocesso do LMCache, em que o cache roda como um […]

Uma vulnerabilidade crítica em produtos da Atlassian, que permite a invasores obter acesso a arquivos e informações confidenciais, está sendo explorada em ataques, segundo a empresa de segurança cibernética Previdian. Uma atualização de segurança para o problema, registrado como CVE-2026-21589, está disponível desde 5 de outubro. O código de exploração de prova de conceito para […]

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou na quinta-feira (1) uma falha crítica que afeta o Fortinet FortiMail ao seu catálogo de Vulnerabilidades Exploradas Conhecidas, após relatos de exploração ativa. A vulnerabilidade, registrada como CVE-2026-104286 (CVSS 9.8), permite que atacantes não autenticados gravem arquivos arbitrários no sistema subjacente. Falha […]