Falhas críticas em PHP, Windows, Oracle e Cisco expõem dados de empresas

Uma série de falhas críticas em tecnologias amplamente utilizadas por empresas, incluindo PHP, Windows, Oracle, Cisco e Adobe Commerce, foi identificada em outubro pela consultoria brasileira Redbelt Security. O levantamento, divulgado nesta sexta-feira (13), abrange desde vulnerabilidades de dia zero (zero-days) no Windows até falhas de severidade máxima em produtos Oracle, com casos confirmados de exploração em firewalls e gateways de e-mail corporativos.

O caso de maior repercussão envolve duas vulnerabilidades de corrupção de memória no PHP, linguagem que sustenta grande parte dos sites e aplicações web. As falhas, que permitem execução remota de código sem autenticação, tiveram detalhes vazados antes do embargo oficial, em 20 de outubro de 2026. A Palo Alto Networks confirmou ataques contra interfaces de gerenciamento do PAN-OS expostas à internet.

Segundo a empresa de segurança Dream, um ator com suspeita de ligação com a China encadeou as falhas do PHP com uma vulnerabilidade do kernel do Linux, obtendo acesso root em 25 servidores, incluindo firewalls em ambientes governamentais dos Estados Unidos. Nesses equipamentos, os atacantes instalaram web shells, mantiveram acesso por túnel SSH reverso e tentaram avançar sobre o Active Directory.

O PHP lançou correções de emergência em 21 de outubro de 2026. Cinco dias depois, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu ambas no catálogo de vulnerabilidades exploradas. A Censys estima mais de 32 milhões de serviços PHP em versões vulneráveis, e a CISA lista dezenas de fornecedores que embutem a linguagem em seus produtos.

Patch Tuesday da Microsoft e falhas no Windows

A Microsoft liberou, em seu Patch Tuesday de 13 de outubro de 2026, mais de 1.400 correções. Entre elas, estava a de um zero-day já explorado no Windows Shell que contorna o Mark of the Web, recurso que avisa o usuário sobre arquivos vindos da internet. Um arquivo manipulado, recebido por e-mail, chat ou download, executa comandos sem os alertas habituais ao ser aberto, tornando-se uma porta de entrada para malware e ransomware em estações de trabalho. Este é o terceiro zero-day explorado no Windows Shell em 2026.

O pacote também corrige uma falha de execução remota no Exchange Server, acionada por e-mail e sem autenticação, segundo a Lansweeper. Outra correção trata de uma vulnerabilidade no Active Directory Domain Services que igualmente dispensa autenticação, embora a Microsoft a classifique como de alta complexidade de exploração. Não há exploração confirmada para essas duas falhas.

Seis falhas de severidade máxima na Oracle

A Oracle publicou, em 20 de outubro de 2026, um pacote com cerca de 1.200 vulnerabilidades corrigidas em 33 famílias de produtos, segundo a Tenable. Seis delas receberam nota 10, a máxima na escala de severidade, e podem ser exploradas remotamente, sem autenticação. Os produtos afetados incluem o E-Business Suite, o Access Manager e o SOA Suite, que gerenciam sistemas de gestão empresarial (ERP), autenticação corporativa e integração entre aplicações, com acesso a dados financeiros e de identidade.

Embora não haja exploração confirmada, a severidade máxima e a ausência de autenticação necessária para a exploração dessas falhas favorecem a criação rápida de exploits. A Oracle não detalhou quais versões específicas dos produtos foram afetadas.

Zero-day no gateway de e-mail da Cisco e Adobe Commerce

A Cisco enfrentou um segundo zero-day em cerca de um mês. Uma falha no recurso Advanced Malware Protection do Cisco Secure Email Gateway permite que um atacante remoto, sem autenticação, execute comandos como root por meio de um anexo de e-mail manipulado. A exploração ativa levou a CISA a incluir a vulnerabilidade em seu catálogo em 14 de outubro de 2026. Estão expostos os equipamentos com o serviço File Reputation habilitado e atribuído a uma política de e-mail, com Content Scanner Tools anterior à versão 25.3.0.5525.

A Cisco recomenda reconstruir os equipamentos comprometidos a partir de uma versão corrigida, pois a simples atualização apaga registros e evidências. O comprometimento do gateway coloca em risco as credenciais e toda a comunicação corporativa que passa por ele.

Batizada de PolyShell, uma vulnerabilidade de upload irrestrito de arquivos no Adobe Commerce e no Magento permite executar código arbitrário no servidor e infectou ao menos 953 lojas virtuais, segundo a Sansec, que registra atividade desde pelo menos julho de 2025. A CISA incluiu a falha em seu catálogo em 26 de outubro de 2026. Os atacantes inserem, por meio de um bloco de conteúdo do Magento, um loader que baixa e executa código hospedado na infraestrutura deles. O payload final não foi recuperado pelos pesquisadores. No varejo, o risco inclui roubo de dados de pagamento e de clientes, com impactos em custos de resposta a incidentes, notificação e fraude, além de implicações para a Lei Geral de Proteção de Dados (LGPD) e para o padrão de segurança PCI.