Security notices de outubro de 2026: o que corrigir primeiro
Um Patch Tuesday recorde, falhas de PHP com execução remota de código e novos alertas da CISA. Resumo das vulnerabilidades do mês e o que priorizar.
· Josué Juca
- O Patch Tuesday de outubro corrigiu 1.413 vulnerabilidades, um recorde, com 1 zero-day explorado no Windows Shell.
- O PHP corrigiu duas falhas de execução remota sem autenticação, já exploradas. Leia o artigo completo sobre o PHP2Shell.
- A CISA incluiu quatro falhas exploradas no catálogo KEV em 14 de outubro, em PAN-OS, Cisco e AhsayCBS.
- Prioridade: atualizar o Windows e o PHP, começando pelo que está exposto à internet.
Este é o nosso resumo mensal das vulnerabilidades que mais merecem atenção de quem cuida de computadores e servidores de empresas. Ele se baseia em fontes públicas, listadas no fim do artigo. Avisos de segurança mudam rápido, então confirme sempre nos comunicados oficiais dos fabricantes antes de agir.
Patch Tuesday recorde da Microsoft
A atualização de outubro corrigiu 1.413 vulnerabilidades, segundo o CyberScoop e o Malwarebytes, superando até o total de um ano inteiro: o recorde anterior era de 1.261 CVEs, em 2020. O Windows concentra 1.102 delas.
- CVEs corrigidas no Patch Tuesday, um recorde
- 1.413
- zero-day explorado no Windows Shell
- 1
- nota CVSS v4.0 das falhas do PHP, segundo o watchTowr
- 9,2
Patch Tuesday de outubro de 2026: CVEs corrigidas por produto
- Windows: 1102
- Office: 134
- Ferramentas de desenvolvimento: 61
- SharePoint Server: 36
- Demais*: 80
Fonte: CyberScoop. *Diferença entre o total de 1.413 e a soma dos produtos detalhados, que a reportagem não explica.
Os destaques do mês:
- Zero-day explorado: CVE-2026-96951, no Windows Shell. É um bypass de recurso de segurança que contorna o Mark of the Web, a proteção que avisa sobre arquivos baixados da internet. Tem nota CVSS 8.8 e exige que a pessoa abra um arquivo ou clique em um link. A Tenable lembra que é o terceiro problema do Windows Shell explorado neste ano.
- Divulgada publicamente: CVE-2026-108398, no .NET Framework, que permite a um atacante local contornar o WDAC, o controle de aplicativos do Windows Defender (CVSS 8.8).
- Divulgada publicamente: CVE-2026-92707, no MessagePack-CSharp, que pode esgotar a memória de aplicações que processam dados especialmente montados (CVSS 5.3).
Só a primeira tem exploração confirmada. Dustin Childs, da ZDI, resume o conselho: priorize o que é comprovado e público, em vez de se perder contando CVEs.
PHP: execução remota de código sem autenticação
A CISA publicou um alerta para as falhas CVE-2026-109618 e CVE-2026-109619, apelidadas de "php2shell". Elas permitem execução remota de código sem autenticação e afetam instalações de PHP que atendem requisições web, incluindo Apache com mod_php (considerado o maior risco), PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. As duas foram adicionadas ao catálogo KEV em 26 de outubro. Escrevemos um artigo completo sobre o PHP2Shell.
As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A orientação da CISA é:
- Inventariar os sistemas com PHP, lembrando que ele costuma ser componente de outros softwares, como sites e sistemas prontos.
- Aplicar a atualização imediatamente, começando pelos sistemas expostos à internet.
- Se não for possível atualizar, ou se a versão for a 8.1 ou anterior (sem suporte), tirar o sistema do ar até a correção.
- Usar um firewall de aplicação web (WAF) como proteção parcial enquanto isso.
- Monitorar processos do PHP que abram shells ou baixem ferramentas.
Outras falhas exploradas no catálogo da CISA
Em 14 de outubro a CISA incluiu quatro vulnerabilidades com exploração ativa:
| CVE | Produto | Tipo da falha |
|---|
| CVE-2026-0322 | Palo Alto Networks PAN-OS | Injeção de código |
| CVE-2026-76519 | Cisco Secure Email Gateway | Path traversal relativo |
| CVE-2026-105133 | AhsayCBS | Autenticação indevida |
| CVE-2026-105134 | AhsayCBS | Injeção de comando |
A CISA não informou versões afetadas no alerta, então consulte os avisos de cada fabricante.
O catálogo KEV da CISA lista apenas falhas com exploração comprovada. É um dos melhores filtros para decidir o que corrigir primeiro.
Checklist rápido
- Rode o Windows Update nas estações e servidores e reinicie quando pedido.
- Descubra onde o PHP está rodando, inclusive dentro de outros sistemas, e confira a versão.
- Priorize tudo o que está exposto à internet: firewalls, e-mail, painéis e servidores web.
- Mantenha backups testados e autenticação em dois fatores nos acessos administrativos.
Se a sua empresa precisa de ajuda para inventariar, atualizar e monitorar o ambiente, nosso suporte técnico pode fazer isso por você.
Fontes