CISC GOV.BR

Boletim de Vulnerabilidades

Centro Integrado de Segurança Cibernética do Governo Digital

Emissão: 06/10/2026

Vulnerabilidades em acompanhamento

Exploração ativa

PoC público confirmado

9.8

CVSS máximo

~0,0016

EPSS máximo (coletado)

Sumário Executivo

O destaque da semana são os zero-days em infraestrutura de borda e gestão de rede, todos no CISA KEV: Fortinet FortiMail (CVE-2026-104286, CVSS 9,8), com escrita arbitrária de arquivos por atacante não autenticado; Cisco Catalyst SD-WAN Manager (CVE-2026-76504, CVSS 9,8), com bypass de autenticação e acesso administrativo à API; e novo zero-day no Citrix NetScaler ADC/Gateway (CVE-2026-88779, CVSS 8,7), que afeta configurações SAML. Os prazos do KEV para FortiMail e Cisco já venceram.

O MikroTik RouterOS (CVE-2026-67279, CVSS 6,9) teve bypass de autenticação SSH incluído no KEV em 25/09/2026, explorado em cadeia com a CVE-2026-86060 (CVSS 9,2, já publicada) em ataques registrados desde 02/09/2026.

O WordPress tem PoC público da cadeia “Comment2Shell” (CVE-2026-93485, CVSS 7,1), sem exploração conhecida até o momento. Como contexto, as CVE-2026-88771/88772 do NetScaler, já publicadas, evoluíram para exploração em massa após a liberação de PoC público para a primeira.

Vulnerabilidades Identificadas

CVE	Produto / Descrição	Score CVSS	EPSS	CISA KEV	Exploração Ativa	PoC Público
CVE-2026-104286	Fortinet FortiMail: Escrita Arbitrária de Arquivos Não Autenticada (Zero-Day, Exploração Ativa)	9.8 Crítico	N/D	SIM	SIM	NÃO
CVE-2026-76504	Cisco Catalyst SD-WAN Manager: Bypass de Autenticação com Acesso Administrativo à API (Exploração Ativa)	9.8 Crítico	N/D	SIM	SIM	NÃO
CVE-2026-88779	Citrix NetScaler ADC/Gateway: Estouro de Memória em SAML (Zero-Day, Negação de Serviço)	8.7 Alto	N/D	SIM	SIM	NÃO
CVE-2026-67279	MikroTik RouterOS: Bypass de Autenticação SSH (Campanha “MikroTrick”)	6.9 Médio	N/D	SIM	SIM	NÃO
CVE-2026-93485	WordPress Core (“Comment2Shell”): XSS Armazenado Encadeado a RCE por Comentário Anônimo, PoC Público	7.1 Alto	0,0016	NÃO	NÃO	SIM

EPSS (FIRST.org). Valores dinâmicos; N/D = não disponível ou não coletado de forma confiável. Recomendamos reconsultar first.org/epss.

Detalhamento das Vulnerabilidades

CVE-2026-104286

Fortinet · FortiMail — zero-day explorado, correção em liberação

9.8 Crítico

Produto

FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 e 7.2.0 a 7.2.9.

CVSS	9,8 (Crítico). Advisory FG-IR-26-175. Vetor completo não confirmado; recomenda-se verificar no PSIRT da Fortinet.

EPSS	Não coletado de forma confiável no FIRST.org (CVE muito recente).

CISA KEV

SIM. Adicionada em 01/10/2026, com prazo de correção em 04/10/2026 (já vencido).

Exploração

Confirmada em ambiente real. A Fortinet divulgou arquivos, endereços IP e entradas de log para avaliação de comprometimento, sem detalhar período, escopo ou atribuição da campanha.

PoC	Não identificado como público nas fontes consultadas.

Descrição

Combinação de path traversal e neutralização inadequada de byte nulo permite que atacante não autenticado grave arquivos arbitrários no sistema por meio de requisições HTTP/HTTPS especialmente construídas.

Impacto

FortiMail é gateway de e-mail na borda. A escrita arbitrária de arquivos, aliada aos artefatos observados (liblog.so e ld.so.preload), indica persistência em nível de sistema operacional e pode permitir acesso a e-mails institucionais.

IoC

Arquivos: /data/etc/ld.so.preload, /data/lib/liblog.so e /data/bin/webconsole; cron jobs referenciando /migadmin; contas de arquivamento (archive) com destino remoto; registros de eventos do sistema com comandos cron e logouts de administrador; entradas de log criptografadas com “Invalid Base64 Encoding”; IPs 79.141.169[.]187 e 45.129.0[.]192. Recomenda-se validar os valores no comunicado da Fortinet.

Correção

Fixes anunciados: 8.0.2, 7.6.7 e 7.4.9. Em 05/10/2026 as notas de versão da 7.6.7 e da 7.4.9 já haviam surgido (02 e 03/10), mas o advisory ainda as listava como futuras; recomenda-se verificar a disponibilidade no portal da Fortinet. A branch 7.2 não tem correção anunciada: migrar para 7.4.9 ou superior. Mitigação: desabilitar o IBE (Identity-Based Encryption), restringir o acesso à interface web (webmail) a redes confiáveis e bloquear em WAF requisições POST a /ibe contendo “../”.

Prazo

Imediato. Prazo do KEV vencido em 04/10/2026; tratar equipamentos expostos como potencialmente comprometidos.

CVE-2026-76504

Cisco · Catalyst SD-WAN Manager (ex-vManage) — bypass de autenticação explorado

9.8 Crítico

Produto

Cisco Catalyst SD-WAN Manager, incluindo o serviço gerenciado SD-WAN Cloud. Releases vulneráveis e primeira versão corrigida, advisory cisco-sa-sdwan-webauth-xr8beuuU: 20.9 (corrigida em 20.9.10.1), 20.12 (20.12.8.2), 20.15 (20.15.6.1), 20.18 (20.18.4.1), 26.1 (26.1.2.1) e 26.2 (26.2.1). Releases anteriores exigem migração para uma versão corrigida.

CVSS	9,8 (Crítico).

EPSS	Não coletado de forma confiável no FIRST.org (CVE muito recente).

CISA KEV

SIM. Adicionada em 30/09/2026, mesma data do advisory, com prazo de correção em 03/10/2026 (já vencido).

Exploração

Confirmada, com exploração anterior à publicação do advisory (30/09/2026).

PoC	Não identificado como público nas fontes consultadas. A técnica de contorno é conhecida (codificação de caracteres na URL de j_security_check).

Descrição

Tratamento inadequado de codificação de URI em requisição HTTP (por exemplo, %6a no lugar de “j” em j_security_check) permite que atacante remoto não autenticado contorne a verificação de autenticação e obtenha acesso administrativo à API.

Impacto

O SD-WAN Manager é o plano de gerenciamento da malha SD-WAN. Acesso administrativo permite alterar políticas, rotas e configurações dos dispositivos gerenciados.

IoC	Requisições POST a variantes URL-encoded de /j_security_check em /var/log/nms/containers/service-proxy/serviceproxy-access.log e entradas j_security_check em /var/log/nms/vmanage-server.log originadas de IPs desconhecidos, especialmente com usuários iniciados por “viptela-reserved-”.

Correção

Atualizar para a release corrigida da respectiva trilha. Não há workaround efetivo; o Live Protect Shield da Cisco é mitigação temporária que faz falhar logins legítimos com URI codificada. Restringir o acesso à interface do Manager a hosts confiáveis e segmentar a rede.

Prazo

Imediato. Prazo do KEV vencido em 03/10/2026.

CVE-2026-88779

Citrix · NetScaler ADC/Gateway — zero-day em configurações SAML

8.7 Alto

Produto

NetScaler ADC e Gateway configurados como SAML Service Provider (add authentication samlAction) ou Identity Provider (add authentication samlIdPProfile).

CVSS	8,7 (Alto), CVSS 4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N. Advisory CTX697174.

EPSS	Não coletado de forma confiável no FIRST.org (CVE muito recente).

CISA KEV

SIM. Adicionada em 04/10/2026, com prazo de correção em 07/10/2026.

Exploração

Confirmada pela inclusão no CISA KEV, com relatos de ataques direcionados a implantações não mitigadas. Pesquisadores reproduziram a falha em poucas horas após detectar atividade em honeypot e ainda investigam possível capacidade de RCE.

PoC	Não identificado como público nas fontes consultadas.

Descrição

Estouro de memória que afeta a disponibilidade; condição disparada repetidamente pode manter o serviço indisponível. Nenhum comprometimento de integridade foi identificado até o momento.

Impacto

Negação de serviço em gateway de autenticação/VPN pode interromper acesso remoto e logins federados (SAML). Este CVE é distinto das CVE-2026-88771/88772, já publicadas, que evoluíram para exploração em massa após a liberação de PoC público para a CVE-2026-88771.

IoC	Não há indicadores públicos específicos identificados nesta pesquisa. Monitorar falhas e reinicializações recorrentes do serviço de autenticação.

Correção

Atualizar para NetScaler ADC/Gateway 14.1-73.41 ou superior ou 13.1-64.28 ou superior; ADC FIPS para 14.1-73.41 ou superior; ADC FIPS/NDcPP para 13.1-37.282 ou superior. Não há workaround documentado.

Prazo

Até 07/10/2026 (prazo do KEV).

CVE-2026-67279

MikroTik · RouterOS — bypass de autenticação SSH explorado

6.9 Médio

Produto

MikroTik RouterOS 6.0 a 6.49.20, 7.0 a 7.23.3 e 7.24.0 a 7.24.1.

CVSS	6,9 (Médio) em CVSS 4.0 e 6,5 (Médio) em CVSS 3.1. A severidade isolada é média, mas a falha é explorada em cadeia com a CVE-2026-86060 (CVSS 9,2, já publicada), o que resulta em acesso administrativo completo. Inclusão pelo critério KEV.

EPSS	Não coletado de forma confiável no FIRST.org.

CISA KEV

SIM. Adicionada em 25/09/2026, com prazo de correção em 28/09/2026 (vencido).

Exploração

Confirmada. A exploração em cadeia com a CVE-2026-86060 (escalonamento de privilégio) está registrada desde 02/09/2026, antes da divulgação pública (05/09/2026) e da existência de patches.

PoC	Não identificado como público nas fontes consultadas.

Descrição

O serviço SSH do RouterOS entra no protocolo de conexão após um rekey solicitado pelo cliente mesmo sem que a autenticação tenha sido tentada (CWE-841), permitindo a atacante não autenticado abrir canais de sessão e manipular arquivos no namespace gerenciado do dispositivo. Combinada com a CVE-2026-86060, em que um usuário iniciado por caractere inválido (por exemplo, “-2”) é tratado como argumento por um auxiliar de login legado, resulta em acesso administrativo.

Impacto

Equipamentos expostos antes das correções podem conter backdoors: a aplicação do patch não elimina um comprometimento prévio.

IoC	Usuário “-2” em /system history; IPs 82.192.72[.]4 e 103.102.31[.]18 (recomenda-se validar); contas de usuário não autorizadas, scripts e alterações de configuração no RouterOS; acessos SSH externos.

Correção

Atualizar para 6.49.21, 7.23.4 ou 7.24.2, ou versões superiores das respectivas branches. Restringir o SSH a IPs confiáveis e desabilitar os serviços bandwidth-test e WebFig quando não utilizados.

Prazo

Imediato. Prazo do KEV vencido em 28/09/2026; auditar dispositivos já expostos.

CVE-2026-93485

WordPress · Core — Comment2Shell, cadeia XSS para RCE com PoC

7.1 Alto

Produto

WordPress Core de 4.7 a 7.1.0. Versões corrigidas: 7.1.1, 7.0.5 e 6.9.8, com backports para as branches mais antigas suportadas (até a 4.7).

CVSS	7,1 (Alto), CVSS 3.1: AV:N/AC:L/PR:N/UI:R, atribuído pela Patchstack. O score reflete o XSS; a cadeia com RCE é demonstrada pelo PoC.

EPSS	0,16% (0,0016); valor dinâmico.

CISA KEV

NÃO, até o momento.

Exploração

Sem exploração ativa documentada nas fontes consultadas; não consta no CISA KEV. Correção publicada em 17/09/2026 e detalhes técnicos divulgados em 21/09/2026.

PoC	SIM, público. Repositório “Comment2Shell” no GitHub (DeathShotXD) inclui scanner, shell interativo, template Nuclei e ambiente Docker, funcionamento não validado de forma independente.

Descrição

Falha no tratamento de atributos entre aspas pela função wpautop() permite que um comentário anônimo com HTML especialmente construído gere XSS armazenado, executado quando um administrador autenticado acessa a página. Com a sessão do administrador, o código instala um plugin malicioso e obtém execução remota. O comentário precisa ser aprovado e exibido, e comentários de usuários com comentário previamente aprovado são aprovados automaticamente por padrão. O tema deve ser de blocos ou determinados temas clássicos.

Impacto

Critério de inclusão: CVSS igual ou superior a 7,0 com PoC público funcional. A exploração requer que um administrador logado visualize a página com o comentário.

IoC	Revisar comentários recentes com HTML/JavaScript incomum, instalação de plugin ou tema por contas administrativas fora de janela de manutenção e arquivos PHP novos em wp-content.

Correção

Atualizar para a versão corrigida da branch em uso (7.1.1, 7.0.5 ou 6.9.8, ou superior). Mitigação temporária: desabilitar comentários no site ou por post, ou aplicar regras de WAF; a moderação de comentários isoladamente não impede a exploração.

Prazo

Curto prazo, até 7 dias.

Ações Recomendadas aos Órgãos do SISP

1. Prioridade máxima, prazo vencido. Tratar Fortinet FortiMail (CVE-2026-104286, prazo 04/10), Cisco Catalyst SD-WAN Manager (CVE-2026-76504, prazo 03/10) e MikroTik RouterOS (CVE-2026-67279, prazo 28/09). No FortiMail, enquanto a correção não estiver confirmada no ambiente, desabilitar o IBE e restringir o acesso à interface web; verificar os IoCs divulgados pela Fortinet.

2. Prazo em 07/10/2026. Atualizar o Citrix NetScaler para as versões que corrigem o CVE-2026-88779 e, na mesma janela, confirmar a correção das CVE-2026-88771/88772, sob exploração em massa.

3. Curto prazo, até 7 dias. Atualizar o WordPress (CVE-2026-93485) para a versão corrigida da branch em uso.

Fontes Consultadas

Fabricantes, Órgãos e Bases de Dados

Cisco: advisory cisco-sa-sdwan-webauth-xr8beuuU (CVE-2026-76504)CERT Polska: vulnerabilidades do MikroTik RouterOS CISA: boletim de inclusões no KEV CVEFeed: espelho do catálogo CISA KEV (a página oficial retornou erro 403)Feedly: CVE-2026-93485 (CVSS, EPSS)Fortinet PSIRT: FG-IR-26-175 (CVE-2026-104286)Citrix: advisory CTX697174 (CVE-2026-88779)CSA: nota de pesquisa sobre a cadeia MikroTrick

Notícias e Inteligência de Ameaças

The Hacker News: zero-day crítico no FortiMail Hard2bit: FortiMail CVE-2026-104286, status de patch e IoCs Help Net Security: FortiMail CVE-2026-104286 The Hacker News: novo zero-day do NetScaler (CVE-2026-88779)Help Net Security: exploração em massa do NetScaler Reca Tools: correção da cadeia MikroTrick (CVE-2026-67279)GitHub: repositório Comment2Shell (PoC público)

CISC GOV.BR
Centro Integrado de Segurança Cibernética do Governo Digital
Boletim de Vulnerabilidades · Emitido em 06/10/2026

cisc.gov.br

Boletim de Vulnerabilidades

Links de compartilhamento em redes sociais