Esta edição reúne as últimas três semanas — e chega a tempo da notícia mais urgente do período: duas falhas críticas no PHP, corrigidas às pressas em 21 de outubro. Para uma PME, cinco pontos merecem atenção já: o site, o Windows de todos os computadores, o filtro de e-mail, a VPN e o firewall, e a ferramenta que o seu prestador de TI usa para acessar as suas máquinas.
Resumo em 30 segundos
- Urgente
Seu site roda em PHP (WordPress, Joomla, loja virtual)? Duas falhas críticas permitem assumir o site sem login, e já há código de ataque público. Peça a atualização à hospedagem hoje.
- Urgente
Windows: instale a atualização de outubro. Ela corrige uma falha já explorada que desativa o alerta do Windows para arquivos baixados da internet — e foi a última atualização para o Windows 11 24H2 Home e Pro.
- Urgente
Usa FortiMail? Uma falha crítica, explorada antes da correção, permite gravar arquivos no equipamento sem login. Atualize para 8.0.2, 7.6.7 ou 7.4.9.
- Alta
VPN Ivanti, firewall Palo Alto e suporte remoto BeyondTrust: falhas exploradas. Pergunte ao seu prestador de TI se a empresa usa algum deles e se já corrigiu.
- Prazo
ANPD: a consulta sobre fiscalização fecha em 26/10; a nova consulta sobre o cálculo de multas vai até 30/11.
Atualize agora
No topo, as falhas do PHP: ainda fora do catálogo da CISA, mas com código de ataque público e tentativas já registradas. Depois, o que importa para empresas brasileiras entre as 27 falhas que a CISA, agência de cibersegurança dos EUA, incluiu no seu catálogo de vulnerabilidades exploradas entre 30 de setembro e 23 de outubro.
PHP: duas falhas críticas atingem a linguagem mais usada em sites
Quem deve se preocuparToda empresa com site, loja virtual ou sistema web em PHP — o que inclui WordPress, Joomla, Drupal e Magento. Se o site está em hospedagem compartilhada ou é mantido por uma agência, a pergunta é para eles.
Em 21 de outubro, o projeto PHP publicou correções de emergência para duas falhas que permitem a um atacante, sem login, executar código no servidor — na prática, assumir o site. Informações sobre as falhas vazaram antes da data prevista de divulgação, e os desenvolvedores do PHP alertam que todas as instalações que atendem requisições web estão em risco.
A Cloudflare informou ter visto as primeiras tentativas de ataque e publicou regras de proteção; já circula código de exploração público. Até 22 de outubro, a Sophos registrava varreduras e poucas tentativas fracassadas, sem invasões confirmadas, e a CISA ainda não havia incluído as falhas no catálogo de falhas exploradas. É a janela para corrigir antes que as tentativas virem invasões.
- Peça à hospedagem ou à agência, por escrito, a versão do PHP do site. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (ou superiores). Em servidores Linux, a correção pode chegar pelo pacote da distribuição sem mudar o número da versão — peça a confirmação.
- Se o site ainda roda PHP 8.1 ou anterior, não há versão corrigida do projeto PHP — só patches de código-fonte para quem compila o próprio PHP. Algumas distribuições oferecem correção: confirme com a hospedagem e planeje a migração para o PHP 8.3 ou superior. É uma situação comum em sites antigos que “ninguém mexe há anos”.
- Até atualizar, há medidas parciais — desligar a opção
session.upload_progress.enabled(o PHP recomenda mantê-la desligada mesmo depois de atualizar, até a próxima versão regular) e usar um firewall de aplicação web (WAF), como o da Cloudflare. Os desenvolvedores do PHP são claros: só a atualização resolve. - Firewalls como pfSense e OPNsense também usam PHP: pergunte ao prestador de TI se há atualização — e mantenha a interface de administração fora da internet.
- Peça uma verificação dos logs do servidor desde 20/10, em busca de comandos estranhos, como
curl,wgetou abertura de shells.
Fontes: PHP · Kaspersky · BleepingComputer · SANS ISC · Sophos · W3Techs
Windows: falha explorada desarma o alerta de arquivos vindos da internet
Quem deve se preocuparToda empresa com computadores Windows — ou seja, quase todas.
O pacote de atualizações de 13 de outubro corrigiu 1.411 falhas — um recorde, segundo o BleepingComputer. Uma delas já estava sendo usada em ataques. Ela permite driblar a Mark of the Web, a marca que identifica arquivos vindos da internet e aciona os avisos de segurança do Windows. Segundo a Microsoft, o ataque chega como um arquivo preparado, enviado por e-mail ou mensagem; basta a vítima abrir o anexo ou clicar no link.
Esse pacote foi também o último para o Windows 11 versão 24H2 nas edições Home e Pro: esses computadores recebem a correção acima, mas nenhuma das próximas.
- Em cada computador, abra Configurações › Windows Update e instale as atualizações de outubro. Comece pelo financeiro e pela diretoria, que recebem mais anexos.
- Confira a versão em Configurações › Sistema › Sobre. Se aparecer Windows 11 Home ou Pro versão 24H2, atualize para a 25H2 pelo próprio Windows Update. As edições Enterprise e Education da 24H2 seguem com suporte até outubro de 2027.
- Lembre a equipe: anexo inesperado continua suspeito, mesmo que o Windows não mostre nenhum aviso.
Fontes: Microsoft · BleepingComputer · BleepingComputer (fim do suporte ao 24H2)
FortiMail: falha crítica no filtro de e-mail, explorada antes da correção
Quem deve se preocuparEmpresas que usam o FortiMail, da Fortinet, instalado na própria rede ou em servidor próprio. No FortiMail Cloud, a Fortinet aplicou a correção em 5 de outubro: não é preciso fazer nada.
Em 1º de outubro, a Fortinet divulgou uma falha que permite a um atacante, sem login, gravar arquivos no equipamento por meio de requisições web preparadas — um caminho para assumir o controle do sistema que recebe e filtra o e-mail da empresa. A própria Fortinet confirmou ataques em andamento quando divulgou a falha; as versões corrigidas vieram dias depois.
Quem controla o filtro de e-mail pode ler mensagens, alterar faturas e boletos em trânsito e usar o domínio da empresa para aplicar golpes em clientes e fornecedores.
- Atualize para 8.0.2, 7.6.7 ou 7.4.9 (ou superior). Quem está no ramo 7.2 precisa migrar para o 7.4 ou superior: não há correção no 7.2.
- Até atualizar, siga a alternativa indicada pela Fortinet: desligar o serviço IBE (criptografia de e-mail baseada em identidade) ou limitar o acesso ao webmail a redes confiáveis.
- Peça uma verificação dos indícios de invasão publicados pela Fortinet. A falha foi explorada antes de haver correção: atualizar fecha a porta, mas não expulsa quem já entrou.
Fontes: Fortinet · Help Net Security · CISA KEV
VPN, firewall e suporte remoto: três portas de entrada, três alertas no mesmo mês
Quem deve se preocuparEmpresas com VPN Ivanti Connect Secure, firewall Palo Alto ou que recebem suporte remoto pelo BeyondTrust — muitas vezes sem saber, porque quem escolheu o produto foi o prestador de TI.
Em outubro, três fabricantes de equipamentos de borda — os que ficam entre a rede da empresa e a internet — confirmaram ataques:
- Ivanti Connect Secure (VPN): permite executar comandos no equipamento sem login. Segundo a Ivanti, um número limitado de clientes foi atacado; a Volexity, que descobriu os ataques, os observa desde pelo menos 3 de outubro. Corrigida nas versões 22.8R2.5, 25.1.1.2 e 25.1.3.0 (ou superior). Uma segunda falha usada no mesmo ataque ainda não tem correção: rode regularmente a Integrity Checker Tool da Ivanti.
- Palo Alto PAN-OS (firewall): quem tem uma credencial de administrador e alcança a interface de administração executa código com privilégio máximo. O fabricante fala em exploração “muito limitada” e recomenda restringir essa interface a endereços internos confiáveis.
- BeyondTrust Remote Support (suporte remoto): explorada desde o fim de agosto por um grupo de espionagem suspeito de ligação com a China, segundo a BeyondTrust e a Mandiant (Google). A versão em nuvem foi corrigida até 9 de outubro; instalações próprias precisam aplicar o patch BT26-05-RS — e versões anteriores à 24.3.1 precisam ser atualizadas antes.
O padrão se repete desde a edição 01: os atacantes preferem os equipamentos que ninguém olha todo dia. Quem entra pela VPN ou pela ferramenta de suporte remoto circula na rede como se fosse da casa.
- Pergunte ao seu prestador de TI, por escrito: usamos algum desses produtos? Em que versão? Quando foi atualizado?
- Peça a confirmação de que a interface de administração do firewall e da VPN não está aberta para a internet.
- Se o prestador acessa as suas máquinas por uma ferramenta de suporte remoto, peça a lista de quem tem esse acesso e como cada sessão fica registrada.
Fontes: Rapid7 (Ivanti) · BleepingComputer (Ivanti) · Palo Alto Networks · BleepingComputer (Palo Alto) · BeyondTrust · BleepingComputer (BeyondTrust)
Também no radar
Outras falhas exploradas no período. Se a sua empresa usa algum destes produtos, confirme a correção com quem administra.
| Produto | O que está acontecendo | Ação |
|---|---|---|
| Jira, Confluence e Bitbucket (Data Center) | Falha da Atlassian permite a um atacante sem login acessar arquivos da aplicação. Na nuvem, a Atlassian já corrigiu; o risco está nas versões Data Center, instaladas pela própria empresa. | Atualize conforme o aviso da Atlassian. |
| Cisco Secure Email Gateway e Catalyst SD-WAN Manager | No filtro de e-mail, gravação de arquivos sem login. No SD-WAN, acesso com privilégios de administrador sem login. | Confirme com o parceiro Cisco que as correções foram aplicadas. |
| Citrix NetScaler | Mais uma falha explorada (CVE-2026-88779), desta vez para derrubar o serviço — a quarta desde 9 de setembro no catálogo da CISA. | Aplique a versão indicada pela Citrix. Veja também a edição 01. |
| AhsayCBS (backup) | Duas falhas encadeadas permitem executar comandos sem login no servidor de backup. | Confirme o patch com o fornecedor. Backup invadido deixa a empresa sem plano B contra ransomware. |
| Zammad (central de atendimento) | Duas falhas encadeadas levam ao controle total do servidor. | Atualize para a versão mais recente indicada pela Zammad. |
| Nextcloud com Collabora Online (servidor CODE embutido) | Falha permite executar comandos no servidor quando o servidor CODE embutido não está em execução. Entrou no catálogo da CISA em 23/10. | Atualize o app “Collabora Online – Built-in CODE Server”, como pede o próprio Nextcloud. |
| FortiOS, FortiProxy, FortiPAM e FortiSwitchManager | Quem já tem login de administrador consegue gravar ou apagar arquivos no equipamento. | Atualize e revise quem tem acesso de administrador. |
Lição do mês: falhas de 2015 ainda abrem portas
Em 8 de outubro, a CISA incluiu no catálogo cinco falhas antigas — duas delas de 2015 — em softwares como o servidor de arquivos ProFTPD, o Apache Struts e o servidor de DNS BIND. As inclusões acompanharam um alerta conjunto de sete países sobre ataques ligados à Integrity Technology Group, empresa chinesa; o The Hacker News associa a atividade ao grupo de espionagem Flax Typhoon.
Sistemas esquecidos — o FTP montado anos atrás para trocar arquivos com um cliente, o servidor antigo que “ainda funciona” — continuam servindo de porta de entrada. As falhas do PHP mostram o mesmo risco: sites antigos, em versões sem suporte, ficam sem correção. Saber o que a empresa expõe na internet vale mais do que qualquer ferramenta nova.
Fontes: The Hacker News · CISA KEV
Brasil em foco: a Febraban alerta para o golpe do QR Code
Em 20 de outubro, a Febraban alertou para golpes com QR Code adulterado: em lojas virtuais, em adesivos colados sobre o código verdadeiro em estabelecimentos e em boletos. O pagamento parece normal, mas o dinheiro vai para a conta do criminoso.
Para uma empresa, o risco tem dois lados:
- Quando a empresa paga: o boleto de um fornecedor pode chegar com o QR Code trocado. O nome do recebedor no aplicativo do banco é a última barreira.
- Quando a empresa recebe: um adesivo sobre o QR Code do seu balcão ou uma página falsa da sua loja desviam o pagamento do seu cliente — e a reclamação chega para você.
Uma regra para o financeiro: antes de confirmar qualquer Pix ou boleto, conferir no aplicativo do banco o nome do recebedor e o valor. Se não bater com o fornecedor ou com a compra, não pague — e ligue para o fornecedor num número já conhecido. Quem tem QR Code impresso no balcão deve conferi-lo todos os dias.
Dias antes (9/10), a Febraban avisou que criminosos usam o nome e o logotipo da entidade no WhatsApp, com mensagens sobre uma suposta “transação suspeita”. A Febraban diz que não contata ninguém por SMS, telefone, e-mail, WhatsApp ou redes sociais para procedimentos de segurança.
Fontes: Folha BV (alerta da Febraban, 20/10) · Correio Braziliense (09/10)
Radar regulatório: a ANPD revisa como calcula as multas
Em 15 de outubro, a ANPD abriu consulta pública para atualizar o Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4/2023) — a regra que define como a agência calcula as multas. As contribuições vão até 30 de novembro de 2026, na plataforma Brasil Participativo.
- A minuta estende as sanções às novas atribuições da agência, como o ECA Digital e os Decretos nº 12.975 e 12.976, que atualizaram a regulamentação do Marco Civil da Internet. Até agora, as sanções estavam ligadas apenas à LGPD.
- A minuta define valores de multa, agravantes e atenuantes para cada tipo de infração.
- Haverá audiência pública virtual em 29 de outubro, às 14h30, no canal da ANPD no YouTube. As inscrições para falar terminam em 24 de outubro.
Lembrete da edição 01: a consulta sobre o Regulamento de Fiscalização recebe contribuições só até 26 de outubro.
A ANPD está revendo, ao mesmo tempo, como fiscaliza e quanto cobra. A LGPD (art. 52, § 1º) já manda considerar, no cálculo da sanção, a cooperação do infrator, a adoção reiterada e demonstrada de mecanismos internos para minimizar o dano e a adoção de política de boas práticas e governança. Na prática: o que a empresa consegue provar que faz pesa no valor da multa.
Fontes: ANPD (15/10/2026) · LGPD, art. 52
AUTOAVALIAÇÃO
Checklist de 15 minutos
Marque o que você consegue afirmar com segurança hoje. Nada é enviado — é só para você.
Itens marcados: de 7
Cada item sem marcação é um ponto cego — e é justamente por aí que os ataques deste mês entram.
Sete de sete: ótimo sinal. O próximo passo é ter evidências disso para clientes, seguradoras e a ANPD.
FALTOU MARCAR ALGUM ITEM?
Em uma conversa inicial, mapeamos onde a sua empresa está exposta e o que resolver primeiro.
RADAR POR E-MAIL
Receba o Radar toda semana.
As ameaças que importam para a sua empresa e o que fazer — no seu e-mail, em cinco minutos de leitura. Gratuito, sem spam, com cancelamento em um clique.
Conhece alguém que precisa ler isto? Encaminhe para quem cuida do site, da TI e do financeiro da sua empresa.
Como este Radar é feito
Toda semana, reunimos alertas de fontes públicas — o catálogo de vulnerabilidades exploradas da CISA, o CERT.br, o CTIR Gov, a ANPD e os comunicados dos fabricantes — e selecionamos o que afeta pequenas e médias empresas no Brasil. Priorizamos falhas com exploração confirmada e não publicamos nomes de empresas atacadas.
- CISA — Known Exploited Vulnerabilities Catalog
- PHP — aviso de segurança sobre as falhas críticas de execução remota de código (21/10/2026)
- Kaspersky — CVE-2026-109618 e CVE-2026-109619 no PHP (21/10/2026)
- BleepingComputer — PHP alerta para duas falhas críticas (20/10/2026, atualizado em 21/10)
- SANS Internet Storm Center — falhas críticas no PHP (21/10/2026)
- Sophos — código de exploração público para as falhas do PHP (atualizado em 22/10/2026)
- W3Techs — uso do PHP como linguagem de servidor (23/10/2026)
- Microsoft — CVE-2026-96951 (Windows Shell)
- BleepingComputer — Patch Tuesday de outubro de 2026 (13/10/2026)
- BleepingComputer — fim do suporte ao Windows 11 24H2 Home e Pro (17/09/2026)
- Fortinet — FG-IR-26-175, FortiMail (01/10/2026, atualizado em 07/10)
- Help Net Security — zero-day no FortiMail (02/10/2026)
- Rapid7 — Ivanti Connect Secure CVE-2026-104935 (13/10/2026)
- BleepingComputer — Ivanti alerta para zero-day no Connect Secure (13/10/2026)
- Palo Alto Networks — aviso CVE-2026-0322
- BleepingComputer — Palo Alto PAN-OS CVE-2026-0322 (14/10/2026)
- BeyondTrust — aviso BT26-05 (15/10/2026)
- BleepingComputer — BeyondTrust corrige zero-day explorado desde agosto (16/10/2026)
- The Hacker News — Flax Typhoon e as cinco falhas antigas (09/10/2026)
- Folha BV — Febraban alerta para golpe com QR Code falso (20/10/2026)
- Correio Braziliense — Febraban alerta para golpes com o seu nome (09/10/2026)
- ANPD — consulta pública sobre o Regulamento de Dosimetria (15/10/2026)
- Brasil Participativo — consulta sobre o Regulamento de Dosimetria
- Lei nº 13.709/2018 (LGPD), art. 52
Conteúdo informativo, que não substitui a análise do seu ambiente nem aconselhamento jurídico. Se suspeitar de invasão, acione seu prestador de TI e preserve as evidências antes de qualquer mudança.