Vulnerabilidades críticas e exploração ativa, Out 2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um declara sua base e seu critério de contagem, para que os números se reconciliem entre os módulos. Eles são a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 148 fatos datados em outubro de 2026 · 19 de meses anteriores (marco comparativo, não volume do mês) · 2 sem data confirmada (excluídos dos indicadores). Os fatos de meses anteriores são usados apenas como marco comparativo na análise, nunca como volume deste período.

Resumo executivo

Outubro de 2026 terminou com uma combinação especialmente sensível para defensores e equipes de resposta: várias famílias de vulnerabilidades críticas foram confirmadas como exploradas ativamente, enquanto outras circularam com evidências suficientes para elevar o risco operacional em organizações expostas. O padrão comum não foi apenas a gravidade técnica, mas a velocidade com que os alertas de fabricantes, CERTs nacionais e catálogos de vulnerabilidades exploradas convergiram para a mesma conclusão: era preciso aplicar correções com prioridade, revisar a exposição externa e assumir que a janela entre divulgação, exploração e resposta voltou a ficar menor.

O material do período traz três eixos principais. Primeiro, a CVE-2026-110447 no Collabora Online Built-in CODE Server para Nextcloud, uma vulnerabilidade de injeção de comandos que afeta a aplicação richdocumentscode quando o servidor CODE não está em execução. A combinação de exploração ativa, possibilidade de execução remota de comandos e evidência de web shells torna o caso especialmente útil para entender um fenômeno já recorrente: integrações embutidas ou complementares, por serem vistas como dependências funcionais e não como superfície de ataque principal, costumam ficar fora dos ciclos de hardening e correção. Segundo, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 no PHP, agrupadas por múltiplos órgãos sob o nome informal de PHP2Shell, mostram como falhas de memória em uma linguagem ubíqua podem virar uma crise transversal para infraestrutura web, contêineres, plataformas de aplicações e serviços de terceiros. Terceiro, a CVE-2026-76418 no Cisco Secure Firewall ASA e FTD ilustra um cenário diferente: não se trata de execução de código, mas de negação de serviço no canal SSL VPN, com exploração confirmada em ambientes reais e impacto suficiente para forçar as equipes a priorizar disponibilidade e continuidade operacional em dispositivos de borda.

A leitura operacional é clara. O mês não mostrou uma única campanha dominante, mas uma sobreposição de incidentes de naturezas distintas, que compartilham dois traços: exposição à internet e exploração antes da maturação plena de patches e procedimentos internos. Em ambientes Nextcloud/Collabora, a superfície vulnerável não era a instalação independente do Collabora Online, e sim a variante embutida no Nextcloud. No PHP, o risco alcançou instalações que atendem requisições web em várias arquiteturas e runtimes. No Cisco, a condição necessária para acionar o problema era ter autenticação secundária configurada em certos grupos de túnel, o que indica uma interação entre desenho de acesso seguro e disponibilidade do serviço.

Do ponto de vista de gestão de risco, o problema não é apenas técnico. O relatório do período mostra que as equipes que operam plataformas web e de acesso remoto ainda dependem demais de suposições de contenção que falham justamente no pior momento, como reinícios de serviços, implantações heterogêneas, imagens de contêiner que não são atualizadas por herança do host, aplicações "desativadas" que ainda mantêm artefatos funcionais e firewalls sem patch que sustentam funções críticas de acesso remoto. Para CISOs e responsáveis por infraestrutura, a implicação é que a pergunta não deve ser "temos o patch?", e sim "o que acontece se o componente vulnerável continuar presente, mesmo que pareça inativo, encapsulado ou indireto?".

No plano regional, o período também reforçou uma tendência já visível ao longo do ano: a resposta institucional na América Latina e em outras regiões está se apoiando cada vez mais em alertas de CSIRTs nacionais, boletins oficiais e avisos de fornecedores globais. Isso é uma boa notícia em termos de velocidade de disseminação, mas também expõe uma dependência estrutural: quando a maior parte do fluxo de alertas se concentra em tecnologias de uso global amplo, a capacidade local de priorização depende de as organizações traduzirem rapidamente o aviso genérico em inventário, exposição e mitigação concreta. O problema não é apenas saber que existe uma vulnerabilidade crítica; o desafio é identificar se ela afeta uma instalação específica, uma imagem concreta, um módulo embutido ou um grupo de túnel configurado de determinada forma.

Panorama

O mês foi dominado por vulnerabilidades com exploração ativa ou confirmada em andamento, mas nem todas tiveram o mesmo perfil. PHP2Shell foi o caso de maior alcance transversal: afetou múltiplas ramificações do PHP, com correções para versões recentes e backports para ramos antigos que ainda recebiam suporte de código-fonte. Essa amplitude explica por que tantos órgãos nacionais, da CISA a centros de cibersegurança de diferentes países, publicaram recomendações praticamente simultâneas. A combinação de execução remota de código sem autenticação e a onipresença do componente PHP transforma qualquer atraso na aplicação de patches em um multiplicador de risco, especialmente em servidores que recebem tráfego web direto ou que fazem parte de plataformas hospedadas, contêineres e runtimes compartilhados.

O caso de Collabora/Nextcloud tem superfície mais restrita, mas é muito instrutivo do ponto de vista da cadeia de confiança. Aqui, a vulnerabilidade está no aplicativo richdocumentscode, não no Collabora Online independente. Isso significa que as equipes podem ter uma falsa sensação de segurança se verificarem apenas o produto principal e não a integração embutida. O aviso oficial esclareceu que desabilitar o aplicativo não basta para corrigir o problema, é preciso atualizá-lo para a versão 26.4.303 ou posterior, ou removê-lo. Em outras palavras, a presença do componente no ambiente já faz parte da exposição, mesmo que o administrador acredite que ele "não está em uso".

A Cisco, por sua vez, traz um alerta diferente: nem todo incidente crítico envolve intrusão ou execução remota de código. A CVE-2026-76418 se concentra em uma negação de serviço no serviço SSL VPN de acesso remoto do Secure Firewall ASA e FTD. A exploração confirmada em ambientes reais indica que um atacante remoto não autenticado podia enviar uma solicitação especialmente elaborada quando a autenticação secundária estava configurada em um grupo de túnel. Embora o impacto seja "apenas" disponibilidade, em perímetros em que o acesso remoto sustenta operações, continuidade e contingência, um reinício inesperado pode virar interrupção de negócio, e um serviço fora do ar pode ter o mesmo efeito prático de uma intrusão no momento errado.

A convergência desses casos deixa outra lição: a severidade não deve ser medida apenas pelo tipo de falha, mas pela combinação de exposição, pré-autenticação, maturidade do patch e criticidade do serviço afetado. Em outubro de 2026, as vulnerabilidades que mais chamaram atenção não foram necessariamente as mais "sofisticadas" do ponto de vista técnico, e sim as que podiam ser exploradas sem credenciais, sobre serviços expostos ou com dependências comuns em várias organizações.

Indicadores

Os indicadores do período refletem o foco da análise: vulnerabilidades críticas com exploração ativa ou confirmada, impacto em tecnologias amplamente distribuídas e alertas emitidos por órgãos oficiais ou por fabricantes. O retrato do mês não deve ser lido como uma contagem exaustiva de tudo o que ocorreu na internet, mas como um recorte do material verificável disponível na janela analisada. Quando um indicador vale 0, isso significa que, no material revisado, aquele eixo específico não apareceu; não implica ausência desse tipo de evento na região ou no ecossistema mais amplo.

A distribuição dos casos mostra três padrões operacionais. Primeiro, a exposição direta à internet segue sendo o fator de risco mais recorrente: Nextcloud/Collabora, PHP e Cisco SSL VPN compartilham a característica de serem acessíveis a partir de redes externas. Segundo, os incidentes mais perigosos foram os que permitiam ao invasor operar antes da autenticação ou com uma autenticação secundária posicionada de forma inadequada na cadeia de acesso. Terceiro, a resposta defensiva mais eficaz continuou sendo a mesma de sempre, mas aplicada com mais urgência: identificar a exposição, aplicar correções e retirar temporariamente da internet os sistemas que não podem ser corrigidos de imediato.

Em termos de leitura executiva, o valor real desses indicadores não está apenas no número, mas na diferença entre categorias. Não é o mesmo um alerta de exploração ativa confirmado por um CERT nacional e uma telemetria de tentativas bloqueadas por um fornecedor. Também não é equivalente uma vulnerabilidade de negação de serviço em um firewall de borda e uma cadeia de execução remota em um serviço web. Por isso, o corpo do relatório insiste em distinguir entre incidentes verificados, telemetria de ataques e antecedentes de meses anteriores usados apenas como comparação.

Incidentes

Collabora Online Built-in CODE Server para Nextcloud: injeção de comandos e web shells

O primeiro caso relevante do período é o da CVE-2026-110447, uma vulnerabilidade crítica de injeção de comandos do sistema operacional no Collabora Online Built-in CODE Server para Nextcloud, também citada no aplicativo richdocumentscode. O CSIRT da Bolívia publicou um aviso em 14 de outubro sobre uma falha que afeta versões anteriores a 26.4.303 e que pode permitir a um atacante executar comandos por meio de uma solicitação HTTP manipulada para proxy.php quando o servidor CODE não estiver em execução. Esse detalhe operacional é importante, porque o risco não depende de uma condição permanente, mas de um estado específico do serviço, por exemplo após uma reinicialização ou durante uma janela em que o componente ainda não subiu.

O aviso oficial da Collabora esclareceu que desabilitar o aplicativo não basta para corrigir o problema. A correção exige atualizar para a versão 26.4.303 ou posterior, ou remover o aplicativo. Essa precisão muda a resposta prática. Uma equipe que apenas desativa a funcionalidade sem revisar a presença do componente pode continuar exposta, especialmente se o artefato permanecer instalado e puder ser reativado ou invocado por rotas internas. Para um CISO, a leitura é simples, mas crítica: mitigação não é sinônimo de desativação superficial, e os controles precisam ser verificados contra o mecanismo real de exploração, não contra a intenção do administrador.

O interesse operacional aumentou porque o registro da CVE descreveu a vulnerabilidade como explorada ativamente durante setembro e outubro de 2026. Essa menção não só justifica a urgência da correção, como também sugere uma janela de exploração sustentada antes de o aviso ganhar ampla difusão. O cenário vulnerável ocorre quando o servidor CODE não está em execução, o que é coerente com um padrão de pós-exploração em sistemas que reiniciam serviços, executam manutenção ou dependem de inicialização adiada. Em ambientes colaborativos, essas condições são mais comuns do que parecem, porque as plataformas costumam combinar vários serviços, dependências de backend e reinicializações planejadas.

A cobertura técnica de terceiros acrescentou uma hipótese sobre o mecanismo de exploração: o proxy.php incorporaria texto da solicitação em um comando Bash entre aspas duplas, permitindo inserir uma sequência $(...) no caminho e executar comandos sem autenticação. A mesma análise indicou observação de web shells PHP e extração de arquivos sensíveis. Embora essa descrição venha de uma análise atribuída e não confirmada de forma independente no material, ela ajuda a entender o tipo de risco enfrentado pelos administradores: não se trata apenas de uma execução pontual, mas de um possível acesso persistente posterior, com capacidade de carregar web shell e coletar artefatos do sistema.

Do ponto de vista defensivo, este caso ilustra um problema recorrente com componentes embutidos em suítes colaborativas: o administrador final tende a pensar primeiro em disponibilidade funcional, não na superfície de ataque. Se o Nextcloud depende de um aplicativo externo para renderizar documentos, a integração passa a fazer parte do perímetro lógico da organização. A resposta correta não é apenas atualizar. Também convém revisar o inventário de complementos, o estado dos serviços na inicialização, as dependências de contêineres e rotinas de hardening que tratem "serviços não em execução" como um estado potencialmente vulnerável, e não seguro por definição.

A advertência da SC Media de que desabilitar o aplicativo não é uma mitigação suficiente coincide com essa leitura, mas neste relatório ela é usada como referência secundária, com prioridade para o aviso oficial. O aprendizado principal para equipes regionais é que a segurança das suítes colaborativas não pode ficar exclusivamente na camada visível. Módulos integrados, wrappers e servidores embutidos costumam ser o ponto em que a complexidade arquitetônica se transforma em risco operacional.

PHP2Shell: uma falha transversal que afeta múltiplos ramos e implantações

O segundo bloco do período é mais amplo e mais preocupante pelo alcance sistêmico: CVE-2026-109618 e CVE-2026-109619, conhecidas em conjunto como PHP2Shell. A CISA descreveu ambas como vulnerabilidades críticas de execução remota de código sem autenticação em instalações PHP que atendem solicitações web, incluindo Apache com mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. Esse conjunto de ambientes deixa claro que não se trata de um caso isolado de laboratório, mas de uma condição que afeta rotas de implantação comuns em servidores tradicionais, contêineres, plataformas de hospedagem e stacks de desenvolvimento que usam PHP como motor de aplicações.

A relevância operacional do PHP2Shell está na combinação de ubiquidade e pré-autenticação. A CISA pediu a aplicação imediata das correções disponíveis no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e recomendou retirar temporariamente da Internet os sistemas que não puderem ser atualizados, especialmente os que continuem usando PHP 8.1 ou versões anteriores sem suporte. O Canadian Centre for Cyber Security concordou que os ramos 8.2.x, 8.3.x, 8.4.x e 8.5.x anteriores a essas versões estavam afetados, e ampliou o alerta para produtos, dispositivos e contêineres de terceiros que incorporam componentes PHP vulneráveis. Em outras palavras: o risco não se limita a "servidores com PHP instalado", mas também a soluções empacotadas que carregam esse runtime.

A Unit 42 explicou que a CVE-2026-109618 se relaciona a erros de falta de memória que deixam dados parcialmente inicializados, enquanto a CVE-2026-109619 envolve referências a memória liberada. Em ambos os casos, a consequência pode ser execução remota de código. A avaliação técnica de CVSS 9.2 e a classificação como vulnerabilidades de execução remota de código pré-autenticação confirmam que o problema não é meramente teórico. Além disso, o fato de o risco ser maior em Apache com mod_php sugere que a interação entre módulos do servidor e o processo trabalhador do PHP continua sendo um ponto de concentração de impacto.

A cronologia do período reforça a urgência. A ANCI, no Chile, divulgou um alerta sobre duas vulnerabilidades críticas que afetam PHP e recomendou instalar imediatamente as atualizações; dias depois, incorporou antecedentes sobre tentativas de exploração observadas desde 17 de outubro de 2026 e identificou uma vulnerabilidade relacionada, CVE-2026-115560. No Peru, o CNSD informou sobre tentativas de exploração da CVE-2026-109618 e da CVE-2026-109619 e recomendou instalar os patches publicados pelo fabricante. A Presidência do Conselho de Ministros, por meio do mesmo organismo, comunicou medidas preventivas a responsáveis por segurança e tecnologia de entidades públicas. No Paraguai, o CERT-PY alertou sobre o roubo de contas de WhatsApp mediante acesso ao correio de voz, mas também a Justiça Eleitoral suspendeu preventivamente seus sites após um aviso relacionado a essas vulnerabilidades de PHP. Esses fatos não significam que todas as instituições tenham sido comprometidas, mas mostram um padrão de resposta preventiva diante de uma classe de falha de alto impacto.

Para as equipes de defesa, o PHP2Shell exige um enfoque mais amplo do que a simples instalação de patches. A Microsoft recomendou atualizar todas as implantações de PHP, incluindo máquinas virtuais, contêineres, imagens base e runtimes de plataformas. Também alertou que as imagens de contêiner precisam ser reconstruídas e redistribuídas, porque atualizar o host não atualiza o PHP incluído na imagem. Esse ponto é crucial: muitas organizações acreditam ter fechado a brecha porque corrigiram o nó ou a VM, mas, se a aplicação roda a partir de uma imagem antiga, o componente vulnerável continua em circulação. O risco aumenta quando a operação depende de pipelines de implantação acelerados e de artefatos reutilizados entre ambientes.

A AWS complementou essa ideia ao observar que um atacante remoto não autenticado pode enviar solicitações web projetadas para executar código arbitrário, ler dados acessíveis ao processo ou provocar uma negação de serviço em trabalhadores PHP afetados. Além disso, indicou que o PHP 5.4 até 8.1 não tinha uma correção upstream compilada disponível. Essa observação obriga a uma leitura de inventário mais madura: se uma organização ainda opera ramos antigos ou dependências que só podem ser corrigidas por backports, a prioridade já não é apenas "instalar a versão mais nova", mas avaliar se o ciclo de suporte do stack permite uma resposta realista ou se a exposição externa precisa ser retirada.

A aparição de material de vendors, CERTs e equipes de resposta em vários países durante o mesmo intervalo sugere um efeito de cascata típico de vulnerabilidades ubíquas: primeiro surge o alerta técnico, depois os avisos regulatórios ou institucionais e, por fim, as medidas locais de contenção. O risco para a região não é apenas técnico, mas também de coordenação. Um serviço PHP exposto pode ser crítico para governo, banco, telecomunicações, educação ou e-commerce. Se a atualização depende de várias camadas de aprovação, a janela de exposição se alonga. Nesse contexto, a recomendação mais sensata para CISOs é estabelecer rotas expeditas de correção para runtimes críticos, inventário contínuo de versões e políticas de "retirada temporária da Internet" quando uma atualização imediata não for viável.

Cisco Secure Firewall ASA e FTD: negação de serviço em SSL VPN com exploração real

O terceiro incidente de peso do mês foi a CVE-2026-76418 em Cisco Secure Firewall ASA e Cisco Secure Firewall Threat Defense (FTD). O aviso oficial da Cisco descreveu uma vulnerabilidade de negação de serviço no serviço de VPN SSL de acesso remoto. Um atacante remoto não autenticado podia enviar uma solicitação especialmente projetada quando a autenticação secundária estava configurada em um grupo de túneis, o que podia provocar a reinicialização inesperada do equipamento e uma condição de negação de serviço. O quadro é claro. Não se fala de execução de código nem de extração de informação, mas de interrupção operacional em um controle perimetral que costuma ser indispensável para acesso remoto seguro.

A confirmação de exploração em ambientes reais chegou por meio de órgãos oficiais e centros de resposta. O CTIR Gov.br informou que a Cisco confirmou a exploração no mundo real e que a vulnerabilidade afeta ASA e FTD. Além disso, a CISA a incorporou ao seu catálogo de Vulnerabilidades Explotadas Conhecidas, reforçando que não se tratava de uma hipótese isolada. O Canadian Centre for Cyber Security reproduziu a indicação da Cisco e enumerou as versões afetadas e corrigidas. Esse conjunto de avisos tem um significado prático importante: quando várias autoridades independentes coincidem na observação de exploração, o espaço para uma priorização "gradual" praticamente desaparece.

A SecurityWeek acrescentou um detalhe operacional útil: o ataque exigia um firewall sem correção, um serviço de login SSL VPN acessível e autenticação secundária configurada em um grupo de túneis afetado. Essa precisão não deve ser usada para minimizar o problema. Ao contrário, ajuda a delimitar o subconjunto de dispositivos em risco e a focar a remediação. Para equipes de rede e segurança, a mensagem é que a combinação de exposição remota, configurações de autenticação avançadas e serviços críticos de acesso pode criar superfícies de falha inesperadas. A presença de "autenticação secundária" nem sempre reduz o risco. Neste caso, ela faz parte do gatilho.

A Cisco publicou correções para múltiplos ramos de ASA e FTD, incluindo ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 e 9.24.1.27/9.24.10.1, e FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 e 10.1.1. A amplitude das versões corrigidas indica que o problema afetava um conjunto amplo de ambientes operacionais. Para muitos times, o desafio não será apenas instalar uma versão nova, mas compatibilizar a atualização com janelas de manutenção, políticas de alta disponibilidade e validações de serviços de acesso remoto que não podem ser interrompidas sem planejamento.

Do ponto de vista de continuidade, este incidente lembra que os dispositivos de borda não devem ser tratados como simples appliances "autossuficientes". Um firewall com SSL VPN não é apenas uma barreira. Ele também é um ponto de acesso para usuários, administradores e contingência. Se for reiniciado inesperadamente, o efeito pode ir muito além da perda momentânea de conectividade. Pode interromper operações remotas, suporte técnico, acesso de emergência e sessões administrativas. Em organizações que dependem de VPN para trabalho distribuído ou resposta a incidentes, isso pode significar uma degradação operacional relevante.

A comparação com os outros casos do mês é útil. Ao contrário do PHP2Shell, onde o problema é execução remota de código sem autenticação em um runtime generalista, em Cisco a falha afeta um serviço específico com uma condição de disparo mais estreita. Diferente do Collabora/Nextcloud, onde o problema se ativa em um estado em que o servidor CODE não está em execução, aqui o gatilho depende de um grupo de túneis com autenticação secundária. Essa diversidade de condições mostra por que as equipes defensivas não podem depender de listas genéricas de severidade. Elas precisam entender o pré-condicionamento exato de cada vulnerabilidade para saber se estão realmente expostas.

Outras alertas do período: contexto de fundo e sinais de pressão operacional

Embora o relatório priorize os incidentes com exploração ativa confirmada, o material do período traz outras sinais que ajudam a interpretar o contexto. O boletim do CISC/MJSP publicado no domínio oficial gov.br em 6 de outubro funciona como um compêndio de alertas de cibersegurança para o Brasil e incluiu, entre outros, exploração ativa de um bypass de autenticação em dispositivos Fortinet e a CVE-2025-20265 com CVSS 10.0, além de "Zero-Days TOOLSHELL - SharePoint Servers", uma falha em atualização de produto CrowdStrike, uma campanha com alvo em domínios .gov.br, a CVE-2026-42031 e a CVE-2026-44277 em FortiAuthenticator. A presença de múltiplos avisos em uma única publicação sugere pressão simultânea sobre administradores brasileiros, embora não estabeleça, por si só, uma relação entre todos os eventos.

No caso da Fortinet, o material disponível neste período é insuficiente para atribuir exploração ativa de forma confirmada à CVE-2026-44277. O texto da The Hacker News apenas identifica a falha como um problema de controle de acesso inadequado no FortiAuthenticator e esclarece que o trecho disponível não confirma exploração ativa nem traz detalhes adicionais. A forma correta de usar esse dado em um relatório desse tipo é como antecedente de exposição, e não como incidente confirmado. Ainda assim, o fato de aparecer no boletim brasileiro junto a outros alertas críticos reforça a necessidade de monitorar produtos de autenticação e controle de acesso, que costumam se tornar alvos preferenciais quando atacantes buscam pivotar dentro da infraestrutura.