VKSECURITY atualizacao
13 artigos
PHP2Shell: duas falhas no coração do PHP forçam atualização de emergência e tiram sites do ar pelo mundo
O projeto PHP publicou nesta quarta-feira correções de emergência para duas falhas de nota 9,2 que permitem a qualquer visitante, sem login, executar código no servidor. Detalhes vazaram antes da hora, ataques já apareceram e governos e empresas tiraram sites do ar até atualizar.
LER ARTIGO
nginx corrige cinco falhas de uma vez — uma delas está no código desde 2005 e pode derrubar ou dominar o servidor
O nginx, software que fica na porta de entrada de muitos sites e sistemas, ganhou em 14 de outubro versões que corrigem cinco vulnerabilidades. A mais antiga existe desde 2005 e, em certas configurações, permite a qualquer pessoa na internet travar o servidor — ou, no pior caso, executar código nele.
LER ARTIGO
Microsoft bate recorde com mais de 1.400 falhas corrigidas em um mês — e uma delas, já explorada, faz o Windows esquecer de avisar
O pacote de outubro da Microsoft corrigiu mais de 1.400 vulnerabilidades, o maior volume da história da empresa. Só uma estava sendo explorada antes da correção: uma falha no Shell do Windows que dribla a marca que acompanha arquivos baixados da internet. A empresa também testou uma nova forma de agrupar as correções para ajudar a priorizar.
LER ARTIGO
Falha nota 10 no acesso remoto da SonicWall passa a ser explorada dois dias depois da correção
A SonicWall corrigiu em 6 de outubro uma falha de gravidade máxima no SMA1000, o gateway que dá acesso remoto a funcionários e parceiros de muitas empresas. Dois dias depois, armadilhas montadas por pesquisadores já registravam tentativas de exploração — que usam o próprio equipamento para falar com um banco de dados interno protegido por senha padrão.
LER ARTIGO
Jira e Confluence: falha de nota 9,3 deixa ler arquivos do servidor sem senha — e os ataques começaram duas horas depois de os detalhes virem a público
A Atlassian publicou em 5 de outubro um alerta crítico para oito produtos instalados no próprio servidor do cliente, entre eles Jira, Confluence e Bitbucket: sem login, um invasor consegue ler arquivos da pasta da aplicação. Um dia depois, pesquisadores mostraram como transformar isso em conta de administrador — e, em duas horas, já havia tentativas de exploração.
LER ARTIGO
Falha no Exchange deixa um funcionário ler a caixa de e-mail dos colegas — e a correção para 2016 e 2019 só chega a quem pagou suporte estendido
A Microsoft publicou em 2 de outubro uma atualização extra para o Exchange Server: uma falha de nota 8,8 permite que qualquer usuário com login leia mensagens e anexos de outras caixas da mesma organização. O Exchange Online já foi corrigido; servidores próprios precisam atualizar — e as versões 2016 e 2019 só recebem o pacote no programa pago de suporte estendido.
LER ARTIGO
Cisco confirma invasões pelo gerenciador de SD-WAN: uma letra codificada no endereço dá acesso de administrador sem senha
A Cisco publicou em 30 de setembro um aviso de nota 9,8 para o Catalyst SD-WAN Manager, o painel que controla a rede de filiais de muitas empresas: basta escrever uma letra do endereço de login em código para a verificação de senha deixar de valer. A exploração já estava em curso antes do aviso. Não há solução de contorno.
LER ARTIGO
Citrix confirma duas falhas exploradas no NetScaler antes da correção; CISA manda verificar invasão e atualizar
A Citrix publicou em 27 de setembro um boletim com oito falhas no NetScaler ADC e Gateway — o equipamento que muitas empresas usam como porta de entrada de VPN e acesso remoto. Duas delas, de nota 9.5, já estavam sendo exploradas antes de existir correção. A CISA orienta: verifique se já foi invadido antes de aplicar a atualização.
LER ARTIGO
Chave fixa no código: falha no SolarWinds Access Rights Manager permite execução remota sem senha
O SolarWinds corrigiu uma falha de nota 8.8 no Access Rights Manager, o software que controla quem tem acesso a quê dentro da rede. A causa é das mais antigas do manual: uma chave fixa escrita no próprio código. A correção está na versão 2026.2.1.
LER ARTIGO
Chrome tem o sexto zero-day do ano: atualize o navegador antes de fechar esta aba
O Google lançou uma correção de emergência para o Chrome depois de descobrir que uma falha já estava sendo usada em ataques reais — a sexta desse tipo em 2026. Atualizar leva 30 segundos e fecha uma porta que uma página maliciosa consegue abrir sozinha. Veja como conferir a sua versão.
LER ARTIGO
A falha no roteador que entrega a senha do Wi-Fi — e por que isso é problema do home office
Uma falha em um modelo de roteador D-Link permite que alguém na mesma rede troque a senha do administrador e recupere as credenciais do Wi-Fi, sem precisar de autenticação. O caso é pequeno; o princípio, não: a segurança da empresa hoje passa pelo roteador da casa do funcionário.
LER ARTIGO
TeamViewer: um clique num link do chat pode entregar o computador ao atacante
A TeamViewer corrigiu duas falhas nos seus programas de acesso remoto. Na mais grave, um link malicioso enviado pelo chat da ferramenta executa comandos na máquina da vítima. A correção existe — falta o clique em 'atualizar'.
LER ARTIGO
Atualize o Chrome: duas falhas críticas deixam um site malicioso fugir da jaula do navegador
O Google corrigiu 15 falhas no Chrome — e duas são do tipo mais raro e perigoso: permitem que uma simples página web maliciosa escape do isolamento do navegador e execute código no computador. Entenda o que é a 'sandbox', por que visitar um site basta, e como conferir em 10 segundos se o seu Chrome já está seguro.
LER ARTIGO