Na edição 02, as falhas do PHP tinham código de ataque público, mas nenhuma invasão confirmada. Dez dias depois, a pergunta mudou: não é mais “vão atacar?”, e sim “já entraram?”. Esta edição traz o que corrigir — e o que conferir depois de corrigir, porque nesta semana três casos mostraram que atualizar, sozinho, não basta.
Resumo em 30 segundos
- Urgente
Site em PHP (WordPress, Joomla, loja virtual)? As falhas PHP2Shell já são usadas em ataques. Se a hospedagem ainda não confirmou a correção por escrito, cobre hoje — e peça uma busca por invasão desde 21/10.
- Urgente
Servidor Linux próprio (VPS ou nuvem)? Uma falha do Linux, corrigida em maio, transforma a invasão pelo PHP em controle total do servidor. Atualize o kernel e reinicie.
- Urgente
Loja em Magento ou Adobe Commerce? A falha PolyShell, explorada desde março, entrou no catálogo da CISA. Aplique a correção de julho e procure arquivos plantados antes da Black Friday.
- Alta
VPN Ivanti ou Cisco, ou GitLab instalado na empresa: novas falhas exploradas. Na Ivanti, a correção de 13/10 não fecha o ataque inteiro.
- Prazo
Black Friday (27/11): lojas e perfis falsos usam o nome de empresas reais. A consulta da ANPD sobre o cálculo de multas vai até 30/11.
Atualize agora
Entre 24 e 30 de outubro, a CISA, agência de cibersegurança dos EUA, incluiu dez falhas no seu catálogo de vulnerabilidades exploradas. Oito delas atingem sistemas comuns em empresas brasileiras: o site, o servidor, a loja virtual, a VPN e o repositório de código.
PHP2Shell: do código público ao ataque — e, com uma falha do Linux, ao controle total do servidor
Quem deve se preocuparToda empresa com site, loja virtual ou sistema web em PHP — WordPress, Joomla, Drupal, Magento. E quem tem firewall Palo Alto com a tela de administração acessível pela internet.
Em 26 de outubro, a CISA incluiu as duas falhas do PHP no catálogo de falhas exploradas. A watchTowr, empresa de segurança, diz que a sua rede de armadilhas para atacantes (honeypots) registrou exploração já em 21 de outubro — o mesmo dia das correções. Elas permitem, sem login, executar código no servidor com o usuário do site.
Dois dias depois, em 28 de outubro, a CISA incluiu também uma falha do kernel do Linux, apelidada de Fragnesia. Sozinha, ela só serve a quem já está dentro do servidor. Combinada com o PHP2Shell, segundo a CISA, permite instalar webshells — portas dos fundos escondidas no site — e executar comandos como root, o administrador máximo do servidor. As principais distribuições Linux corrigiram essa falha em maio.
O próprio firewall também entrou na lista: a interface de administração do sistema da Palo Alto (PAN-OS) usa PHP. O fabricante confirmou ataques contra interfaces de administração expostas na internet e publicou correções entre 25 e 29 de outubro.
- Se a hospedagem ou a agência ainda não confirmou por escrito a correção do PHP — versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, ou o pacote corrigido da distribuição —, cobre hoje. Depois de atualizar, os processos do PHP precisam ser reiniciados.
- Em servidor próprio (VPS ou nuvem), atualize também o kernel do Linux e reinicie: o pacote novo só protege depois da reinicialização. Quem administra confere a versão em uso com o comando
uname -r. Em hospedagem compartilhada, pergunte se o kernel recebeu a correção de maio. - Firewall Palo Alto: aplique o hotfix indicado pelo fabricante e deixe a interface de administração acessível só a endereços internos.
- Como os ataques começaram em 21/10, atualizar fecha a porta, mas não expulsa quem já entrou. Peça uma busca por webshells, arquivos novos na pasta do site, tarefas agendadas (cron) e usuários novos criados desde essa data.
Fontes: CISA KEV · watchTowr · BleepingComputer · CSO Online · Palo Alto Networks · Huntress
Loja em Magento: falha explorada desde março entra no catálogo da CISA a um mês da Black Friday
Quem deve se preocuparLojas virtuais em Adobe Commerce ou Magento Open Source — plataforma comum no e-commerce de médio porte. Se a loja é mantida por uma agência, a pergunta é para ela.
A falha permite enviar arquivos para a loja disfarçados de imagem, pela própria API de carrinho. Dependendo da configuração do servidor, o arquivo vira uma porta dos fundos. A Sansec, especializada em segurança de e-commerce, registrou ataques desde meados de março, antes de haver correção para as versões em produção. A Adobe corrigiu as versões em uso no boletim APSB26-73, de 14 de julho. Em 27 de outubro, a CISA incluiu a falha no catálogo de falhas exploradas.
Para uma loja, o risco não para no site fora do ar: quem controla a loja pode inserir código no checkout para copiar dados de cartão dos clientes — justamente na semana de maior movimento do ano.
- Aplique o APSB26-73 (a versão de julho de 2026 da sua linha, ou o patch isolado depois de chegar ao último nível de atualização da linha) e confirme com a ferramenta de versão da Adobe.
- A correção não remove arquivos já enviados: peça uma verificação da pasta
pub/media/custom_options/em busca de imagens com código PHP e bloqueie o acesso web a essa pasta. - Peça uma revisão dos blocos e páginas do CMS da loja em busca de scripts que ninguém reconhece, e das contas de administrador.
- Se algo for encontrado, troque as senhas do painel, do banco de dados e das integrações (pagamento, ERP, marketplaces) depois da limpeza.
Fontes: Adobe · The Hacker News (Sansec, março) · CISA KEV
VPN Ivanti: a correção de outubro não fechava o ataque inteiro
Quem deve se preocuparEmpresas com VPN Ivanti Connect Secure — inclusive as que já aplicaram a correção de 13 de outubro.
Na edição 02, contamos que uma falha da VPN Ivanti era explorada e que uma segunda falha usada no mesmo ataque ainda não tinha correção. Em 29 de outubro, a Ivanti atualizou o seu aviso com a correção de mais duas falhas da mesma cadeia; a CISA as incluiu no catálogo no dia seguinte. Segundo a Rapid7, que cita a Volexity, o ataque dá acesso de administrador máximo ao equipamento sem login. Os atacantes então consultaram o Active Directory em busca de senhas de administrador local (LAPS) e de chaves de recuperação do BitLocker, a criptografia de disco do Windows.
Recomendamos rodar a Integrity Checker Tool da Ivanti. A Rapid7 informa agora que a atividade observada escapa dessa ferramenta: um resultado limpo não garante que o equipamento está seguro.
- Atualize para 25.1.1.3 ou 22.8R2.6 (ou superior). As versões de 13 de outubro (25.1.1.2 e 22.8R2.5) não corrigem as duas falhas novas.
- Peça uma investigação de invasão, preservando os registros (logs) antes de reiniciar. A Volexity encontrou sinais de logs apagados seletivamente.
- Se houver suspeita, troque as senhas que passaram pelo equipamento, incluindo as de LAPS e as chaves do BitLocker.
Firewall Cisco e GitLab: duas falhas exploradas para quem tem esses sistemas
Quem deve se preocuparEmpresas com firewall Cisco ASA ou FTD que oferecem VPN aos funcionários, e software houses ou equipes de desenvolvimento com GitLab instalado nos próprios servidores.
- Cisco ASA e FTD (VPN): um atacante sem login envia uma requisição preparada à tela de login da VPN SSL e faz o equipamento reiniciar. O resultado é a VPN fora do ar para toda a equipe. Afeta configurações com autenticação secundária. A Cisco confirmou ataques e publicou versões corrigidas e uma alternativa temporária.
- GitLab (instalado na empresa): uma expressão regular preparada num arquivo de CI/CD permite executar código no servidor sem login. Nota máxima: CVSS 10. Corrigida em 12 de outubro nas versões 19.4.2, 19.3.5 e 19.2.8; a CISA a incluiu no catálogo em 29 de outubro. O GitLab.com já está corrigido.
O GitLab guarda o código e as senhas usadas para publicar o software. Quem o invade pode alterar o produto que chega aos seus clientes — o ataque à cadeia de suprimentos que explicamos neste artigo.
- Cisco: pergunte ao prestador de TI se o firewall usa autenticação secundária na VPN e aplique a versão indicada pela Cisco.
- GitLab: atualize para a versão corrigida do seu ramo. Se o servidor ficou exposto sem correção, troque os tokens de CI/CD, dos runners e de acesso, e revise os pipelines recentes.
Fontes: Cisco · The Hacker News (Cisco) · GitLab · CISA KEV
Também no radar
As outras falhas exploradas no período. Se a sua empresa usa algum destes produtos, confirme a correção com quem administra.
| Produto | O que está acontecendo | Ação |
|---|---|---|
| VMware ESX (Broadcom) | Quem já tem acesso de administrador consegue fazer certas operações sem deixar registro. O rastro de um invasor some dos logs. | Atualize conforme o aviso da Broadcom e revise quem tem acesso de administrador. |
| Google Brotli (“Broccoli2Shell”) | Falha crítica no componente de compressão embutido no Node.js, no .NET, no PowerShell, no proxy Envoy e em pacotes Python, entre outros. Dados comprimidos preparados, enviados sem login, podem corromper a memória e executar código. | Peça à equipe de desenvolvimento ou ao fornecedor dos seus sistemas web a atualização para o Brotli 1.0.10, 1.1.1 ou 1.2.1, ou para a versão corrigida da plataforma. |
Fontes: Broadcom · Centro Canadense de Cibersegurança (Brotli) · CISA KEV
Lição da semana: atualizado não é o mesmo que seguro
Três casos desta edição contam a mesma história:
- Linux: a correção existe desde maio, mas o servidor continua vulnerável até ser reiniciado.
- Magento: a correção de julho fecha a falha, mas não apaga os arquivos plantados desde março.
- Ivanti: a correção de 13 de outubro parecia suficiente, e a ferramenta de verificação do fabricante não detecta o ataque.
“Já atualizamos” é o começo da resposta, não o fim. A pergunta útil para o prestador de TI tem três partes: qual versão está rodando agora, quando foi reiniciado e se alguém procurou sinais de invasão depois da correção. É esse registro que clientes, seguradoras e auditorias pedem — e que mostra se a empresa gerencia o risco ou só torce.
Brasil em foco: Black Friday é temporada de lojas falsas — com o nome da sua empresa
A Black Friday cai em 27 de novembro. Em levantamento divulgado em outubro, a Serasa Experian contou 604 anúncios falsos na semana da Black Friday de 2025 — 147% acima da média semanal das três semanas anteriores —, além de 625 perfis falsos e 103 sites falsos.
Os golpes seguem um padrão conhecido: endereço com uma letra trocada, vitrine copiada da loja verdadeira, link enviado por WhatsApp, pressão para fechar rápido e pagamento só por Pix. O Procon de São João da Boa Vista (SP), citado pelo Olhar Digital, recomenda desconfiar de lojas que aceitam apenas Pix ou boleto.
Para uma empresa, o risco tem três lados:
- A sua marca: um site ou perfil falso com o seu nome vende o que não existe — e a reclamação chega para você.
- A sua loja: é a época em que uma loja invadida mais rende ao atacante, como mostra o caso do Magento acima.
- A sua equipe: quem compra pelo computador ou celular do trabalho leva o link falso para dentro da empresa.
Antes de 27/11: publique no site e nas redes quais são os canais oficiais, o endereço da loja e as formas de pagamento aceitas. Combine com o atendimento o que responder a um cliente que caiu num site falso. E faça uma busca pelo nome da empresa nas redes e no Google para encontrar perfis e anúncios que não são seus.
Fontes: Serasa Experian · Olhar Digital (02/11)
Radar regulatório: últimas semanas da consulta sobre multas
A consulta pública da ANPD sobre o Regulamento de Dosimetria e Aplicação de Sanções — a regra que define como a agência calcula as multas — recebe contribuições até 30 de novembro de 2026, na plataforma Brasil Participativo. A audiência pública aconteceu em 29 de outubro. Detalhes na edição 02.
Fontes: ANPD (15/10/2026)
AUTOAVALIAÇÃO
Checklist de 15 minutos
Marque o que você consegue afirmar com segurança hoje. Nada é enviado — é só para você.
Itens marcados: de 7
Cada item sem marcação é um ponto cego — e é justamente por aí que os ataques desta semana entram.
Sete de sete: ótimo sinal. O próximo passo é ter evidências disso para clientes, seguradoras e auditorias.
FALTOU MARCAR ALGUM ITEM?
Em uma conversa inicial, mapeamos onde a sua empresa está exposta e o que resolver primeiro.
RADAR POR E-MAIL
Receba o Radar toda semana.
As ameaças que importam para a sua empresa e o que fazer — no seu e-mail, em cinco minutos de leitura. Gratuito, sem spam, com cancelamento em um clique.
Conhece alguém que precisa ler isto? Encaminhe para quem cuida do site, da TI e do financeiro da sua empresa.
Como este Radar é feito
Toda semana, reunimos alertas de fontes públicas — o catálogo de vulnerabilidades exploradas da CISA, o CERT.br, o CTIR Gov, a ANPD e os comunicados dos fabricantes — e selecionamos o que afeta pequenas e médias empresas no Brasil. Priorizamos falhas com exploração confirmada e não publicamos nomes de empresas atacadas.
- CISA — Known Exploited Vulnerabilities Catalog
- watchTowr — PHP2Shell explorado (CVE-2026-109618 e CVE-2026-109619)
- BleepingComputer — CISA alerta para a falha Fragnesia do Linux usada com o PHP2Shell (29/10/2026)
- CSO Online — PHP2Shell e Fragnesia: do servidor web ao root (29/10/2026)
- Palo Alto Networks — impacto das falhas do PHP nos produtos da empresa (atualizado em 29/10/2026)
- Huntress — resposta rápida ao PHP2Shell (21/10/2026)
- Adobe — boletim APSB26-73, Adobe Commerce e Magento (14/07/2026)
- The Hacker News — falha PolyShell no Magento (20/03/2026, atualizado em 23/03)
- Rapid7 — novos zero-days no Ivanti Connect Secure (02/11/2026)
- Ivanti — aviso de segurança do Connect Secure (atualizado em 29/10/2026)
- Cisco — aviso cisco-sa-asaftd-tunnel-dos (ASA e FTD)
- The Hacker News — Cisco corrige falha explorada no ASA e no FTD (29/10/2026)
- GitLab — patch release 19.4.2, 19.3.5 e 19.2.8 (12/10/2026)
- Broadcom — aviso de segurança do VMware ESX
- Centro Canadense de Cibersegurança — alerta AL26-027 sobre o Brotli (28/10/2026)
- Serasa Experian — anúncios falsos disparam 147% na semana da Black Friday
- Olhar Digital — golpes de Black Friday (02/11/2026)
- ANPD — consulta pública sobre o Regulamento de Dosimetria (15/10/2026)
- Brasil Participativo — consulta sobre o Regulamento de Dosimetria
Conteúdo informativo, que não substitui a análise do seu ambiente nem aconselhamento jurídico. Se suspeitar de invasão, acione seu prestador de TI e preserve as evidências antes de qualquer mudança.