Boletim diário · 19 de julho de 2026
Dia calmo em CVEs, mas Brasil enfrenta onda intensa de ransomware
Resumo automatizado Vexday · fontes: NVD, CISA KEV, EPSS
Veredito do dia — calmo
O dia 19 de julho de 2026 registrou atividade moderada no front de vulnerabilidades — sem explorações ativas confirmadas e nenhuma falha armada — mas o cenário de ransomware no Brasil permanece alarmante, com múltiplas vítimas em setores variados. As vulnerabilidades em destaque concentram riscos em projetos de código aberto e ferramentas de desenvolvimento, exigindo atenção especial de equipes de DevSecOps. O contexto global pode parecer calmo em exploits, mas a pressão sobre organizações brasileiras é real e crescente.
Resumo do dia
- CVE-2026-44359 é a mais crítica do dia: falha CVSS 10.0 em workflow do Meshtastic expõe segredos de repositório via pull_request_target sem aprovação
- Keras (CVE-2026-12484) permite desserialização insegura de dados PyTorch, risco alto para pipelines de ML/IA
- Brasil sofreu nova onda de ataques de ransomware: lockbit5, nova, qilin e Doommageddon entre os grupos ativos recentemente
- Múltiplas provas de conceito públicas em sistemas de código aberto (Gerapy, django-jet, simpleui) ampliam superfície de ataque remoto sem autenticação
Destaques críticos
1
Falha crítica CVSS 10.0 no workflow de CI/CD do Meshtastic: o gatilho pull_request_target executa código de forks externos com acesso a segredos do repositório e permissões elevadas do GITHUB_TOKEN sem nenhuma barreira de aprovação. Qualquer contribuidor externo mal-intencionado pode comprometer toda a pipeline de build e segredos do projeto.
2
O método público keras.layers.TorchModuleWrapper.from_config no Keras 3.15.0 invoca torch.load com weights_only=False, permitindo desserialização insegura de dados pickle controlados pelo atacante. Pipelines de ML/IA que carregam modelos de fontes externas estão sujeitos à execução arbitrária de código.
3
Um único nó Meshtastic com long_name em codificação malformada pode travar outros rádios via BLE ao interagir com o app iOS, causando negação de serviço distribuída na malha. O problema pode surgir naturalmente por truncamento de buffer, sem intenção maliciosa.
4
Versões da biblioteca fast-uri não reconhecem barras invertidas como delimitadores de autoridade, permitindo que URLs maliciosas iludam validações e redirecionem requisições via Node.js fetch, undici e clientes HTTP/HTTPS. O risco prático é o bypass de controles de acesso baseados em parsing de URL.
5
Injeção SQL via parâmetro ID no arquivo edit_schoolyr.php do SourceCodester Class and Exam Timetabling System 1.0, com exploit público disponível. Atacantes remotos podem extrair ou manipular dados do banco sem autenticação prévia.
6
Segunda falha de injeção SQL no mesmo sistema SourceCodester, desta vez no endpoint edit_subject.php, com prova de conceito pública. A combinação de duas SQLi exploráveis remotamente no mesmo produto eleva o risco para qualquer instância exposta.
7
Endpoint de upload de projetos do Gerapy (até 0.9.13) não exige autenticação, e o exploit já é público. Um atacante remoto pode enviar projetos arbitrários ao servidor, potencialmente escalando para execução de código no contexto da aplicação.
8
O endpoint AJAX AjaxAdmin do simpleui 2026.01.13 não valida autenticação antes de executar ações administrativas. Com o exploit público, qualquer usuário não autenticado pode acionar funções privilegiadas remotamente.
9
O handler de revogação de credenciais OAuth do django-jet (até 1.0.8) não aplica verificação de autorização adequada, permitindo que usuários não autorizados revoguem credenciais de outros. O exploit já foi divulgado publicamente.
10
No CI4MS, a regra de validação html_purify não sanitiza efetivamente o conteúdo de posts de blog porque o CodeIgniter 4 passa uma cópia local do valor, descartando silenciosamente a sanitização. O resultado é que conteúdo malicioso pode ser persistido e exibido a usuários finais.
Ransomware do dia
Nos últimos dias, o Brasil foi alvo de uma onda expressiva de ataques de ransomware, com o grupo lockbit5 liderando em volume e atingindo organizações como guarnera.com.br, uniplaclages.edu.br, kenta.com.br, gruposelpe.com.br, grupoferrosider.com.br, limpebras.com.br e technicare.com.br em setores que vão de manufatura à educação. Outros grupos também registraram vítimas brasileiras: Doommageddon atingiu a Reni Farmácias Associadas no setor de saúde, o grupo nova comprometeu Jota Joias Premium e FMZ Tecnologia em Sistemas, qilin registrou a PP+K e o grupo unsafe comprometeu a CCR Solutions. Entre os mais ativos nos últimos 30 dias estão lockbit5 (49 vítimas), lockbit3 (39), ransomhub (35) e thegentlemen (20), todos com foco predominante no Brasil.
Reni Farmácias Associadas BRDoommageddon · Healthcare
Jota Joias Premium BRnova · Consumer Services
PP+K BRqilin
CCR Solutions BRunsafe · Business Services
FMZ Tecnologia em Sistemas BRnova · Technology
guarnera.com.br BRlockbit5 · Business Services
uniplaclages.edu.br BRlockbit5 · Education
kenta.com.br BRlockbit5 · Technology
gruposelpe.com.br BRlockbit5 · Business Services
grupoferrosider.com.br BRlockbit5 · Manufacturing
limpebras.com.br BRlockbit5 · Manufacturing
technicare.com.br BRlockbit5 · Technology
lockbit5 49lockbit3 39ransomhub 35thegentlemen 208base 20arcusmedia 19
Grupos e APTs ativos
Foram identificados como ativos ou atualizados os grupos blackshadow (de origem iraniana), coinbasecartel, kazu, kelvinsecurity, krybit e apt73, sem vítimas conhecidas registradas neste momento. A presença de um grupo de origem iraniana como blackshadow no radar, ainda que sem vítimas confirmadas, merece monitoramento contínuo dado o histórico de operações destrutivas atribuídas a atores iranianos. A atividade latente desses grupos indica capacidade operacional mesmo sem campanhas públicas visíveis.
Foco Brasil
O Brasil concentra uma proporção anormalmente alta das vítimas globais de ransomware no período recente, com setores como tecnologia, serviços empresariais, manufatura e saúde sendo os mais impactados. Empresas de médio porte aparecem com destaque entre as vítimas, sugerindo que grupos como lockbit5 e nova estão priorizando alvos com menor maturidade defensiva. A recorrência de ataques em domínios .com.br e .edu.br reforça a necessidade urgente de revisão de controles de backup, segmentação de rede e resposta a incidentes no ecossistema empresarial brasileiro.
Jota Joias Premiumnova · Consumer Services
PP+Kqilin
Reni Farmácias AssociadasDoommageddon · Healthcare
CCR Solutionsunsafe · Business Services
gruposelpe.com.brlockbit5 · Business Services
FMZ Tecnologia em Sistemasnova · Technology
guarnera.com.brlockbit5 · Business Services
kenta.com.brlockbit5 · Technology
Recomendação do dia: Priorize a revisão de workflows de CI/CD que utilizem pull_request_target com checkout de código externo, aplicando gates de aprovação obrigatórios e isolando o acesso a segredos. Equipes que usam Keras com integração PyTorch devem auditar qualquer uso de from_config com dados de origem não confiável e atualizar para versões corrigidas imediatamente.
Mesmo em dias de baixa atividade em exploits, a superfície de ataque real de cada organização pode já estar exposta — validar continuamente quais ativos são visíveis externamente e se estão alinhados com as correções disponíveis é o que separa uma postura reativa de uma verdadeiramente resiliente.Cada CVE acima é uma porta possível — descubra quais estão abertas no seu ambiente com um diagnóstico gratuito de superfície de ataque.Conheça o Agente de Pentest Autônomo com IA →