CISC GOV.BR Boletim de Vulnerabilidades

Centro Integrado de Segurança Cibernética do Governo Digital

Emissão: 20/07/2026

CVEs em acompanhamento

Exploração ativa

PoC público confirmado

9.9

CVSS máximo

Sumário Executivo

⚠ Atenção: este ciclo concentrou uma falha crítica em Oracle E-Business Suite / Oracle Payments (CVE-2026-46817, CVSS 9.8, KEV) com prazo federal CISA já vencido, um possível sandbox escape em exploração no ServiceNow AI Platform (CVE-2026-6875, relatado por fonte de inteligência de ameaças, não confirmado pelo fabricante), uma cadeia de execução remota de código pré-autenticada no núcleo do WordPress ("wp2shell") com exploit público, e quatro vulnerabilidades críticas adicionais do Patch Tuesday de julho/2026 da Microsoft em Windows VMSwitch/Hyper-V, DHCP Server, RDP e SharePoint, com destaque para o CVE-2026-57092 (CVSS 9.9), a maior pontuação deste boletim. Recomendamos tratamento prioritário para órgãos SISP com essas soluções em produção.

A CISA incluiu no catálogo KEV o CVE-2026-46817 no componente Oracle Payments do Oracle E-Business Suite (CVSS 9.8), com exploração confirmada desde 27/06/2026 contra o endpoint /OA_HTML/ibytransmit e cerca de 950 instâncias expostas rastreadas pela Shadowserver.

A ServiceNow corrigiu o CVE-2026-6875 (CVSS 9.5), falha de sandbox escape na plataforma de IA que pode levar a execução remota de código não autenticada. A empresa de inteligência de ameaças Defused relatou tentativas de exploração recentes, embora a ServiceNow, em seu comunicado oficial, ainda declare não ter conhecimento de exploração confirmada contra instâncias de clientes; tratamos essa divergência como possível exploração ativa não confirmada pelo fabricante.

A Zoom corrigiu o CVE-2026-53412 (CVSS 9.8) no cliente Windows, falha de account takeover sem necessidade de credenciais, sem exploração confirmada até o fechamento desta edição. Pesquisadores da Searchlight Cyber divulgaram a cadeia "wp2shell" no núcleo do WordPress (CVE-2026-60137 e CVE-2026-63030), que combina confusão de rota na API REST com injeção SQL para produzir execução remota de código pré-autenticada em instalação padrão; um exploit funcional foi publicado no GitHub e há sinais iniciais de exploração real.

Complementando o Patch Tuesday de julho/2026 da Microsoft, cujos zero-days em SharePoint e AD FS já foram tratados na edição anterior, identificamos quatro vulnerabilidades críticas adicionais do mesmo ciclo: CVE-2026-57092 (Windows VMSwitch/Hyper-V, CVSS 9.9, fuga de VM para o host), CVE-2026-50518 (Windows DHCP Server, CVSS 9.8, RCE não autenticado), CVE-2026-56190 (RDP Server, CVSS 9.8, RCE não autenticado) e CVE-2026-50522 (SharePoint Server, CVSS 9.8, RCE por desserialização, demonstrado publicamente no concurso Pwn2Own Berlin). Nenhuma delas consta no catálogo CISA KEV nem possui exploração confirmada em produção até o fechamento desta edição.

ℹ Os scores CVSS indicados seguem NVD, CISA KEV e comunicados oficiais dos fabricantes, quando disponíveis. Para a cadeia "wp2shell" há divergência entre fontes: o NVD pontua os dois CVEs separadamente (9.1 e 7.5), enquanto parte da cobertura de mercado (Rapid7 e outras) classifica a cadeia combinada como CVSS 9.8; sinalizamos ambas as leituras. Para o CVE-2026-50522 (SharePoint), a Microsoft classifica a maturidade do exploit como "desconhecida", apesar de uma prova de conceito ter sido demonstrada publicamente no concurso Pwn2Own Berlin; tratamos essa demonstração controlada como distinta de exploração confirmada em produção.

Vulnerabilidades Identificadas

CVE	Produto / Versões	Score CVSS	CISA KEV	Exploração Ativa	PoC Público
CVE-2026-46817	Oracle E-Business Suite (Oracle Payments): Gestão Inadequada de Privilégio / Falha de Autenticação	9.8 Crítico	SIM	SIM	NÃO
CVE-2026-6875	ServiceNow AI Platform: Sandbox Escape levando a RCE não autenticado	9.5 Crítico	NÃO	SIM (não confirm. pelo fabricante)	NÃO
CVE-2026-53412	Zoom Workplace / VDI Client para Windows: Account Takeover não autenticado	9.8 Crítico	NÃO	NÃO	NÃO
CVE-2026-60137	WordPress Core ("wp2shell"): Injeção SQL em WP_Query (author__not_in)	9.1 Crítico	NÃO	SIM (sinais iniciais)	SIM
CVE-2026-63030	WordPress Core ("wp2shell"): Confusão de Rota na API REST (/wp-json/batch/v1)	7.5 Alto	NÃO	SIM (sinais iniciais)	SIM
CVE-2026-57092	Windows VMSwitch (Hyper-V): Elevação de Privilégio / Fuga de VM para o Host	9.9 Crítico	NÃO	NÃO	NÃO
CVE-2026-50518	Windows DHCP Server: Execução Remota de Código não autenticado	9.8 Crítico	NÃO	NÃO	NÃO
CVE-2026-56190	Windows Remote Desktop Protocol (RDP Server): Execução Remota de Código não autenticado	9.8 Crítico	NÃO	NÃO	NÃO
CVE-2026-50522	Microsoft SharePoint Server: Execução Remota de Código por Desserialização	9.8 Crítico	NÃO	DEMO PWN2OWN	NÃO

Critério de inclusão: CISA KEV (Oracle E-Business Suite) ou CVSS ≥ 8,5 em produto com presença relevante ou plausível no SISP (ServiceNow, Zoom, Windows Server/Hyper-V/RDP/SharePoint) ou CVSS ≥ 7,0 combinado a exploit público funcional confirmado (WordPress "wp2shell").

Detalhamento das Vulnerabilidades

CVE-2026-46817

Oracle E-Business Suite (Oracle Payments / File Transmission): Gestão Inadequada de Privilégio · CWE-269 / CWE-306

Score CVSS: 9.8 : Crítico

Produto

Oracle E-Business Suite, componente Oracle Payments (File Transmission), versões 12.2.3 a 12.2.15.

CVSS	Score: 9.8 · Severidade: Crítico · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (CVSS 3.1).

CISA KEV

SIM Adicionado ao catálogo CISA KEV em 15/07/2026, prazo federal CISA 18/07/2026 (vencido).

Exploração

Confirmada. Primeira exploração observada em 27/06/2026, cerca de seis semanas após o patch de maio/2026, sem PoC público prévio conhecido; possivelmente por engenharia reversa do patch. Shadowserver rastreou aproximadamente 950 instâncias Oracle E-Business Suite expostas na internet.

POC	Não identificado PoC público até o fechamento desta edição, segundo as fontes consultadas.

Descrição

Falha no endpoint /OA_HTML/ibytransmit do componente File Transmission do Oracle Payments, que aceita requisições HTTP POST não autenticadas com payload XML, permitindo a atacante remoto sem credenciais assumir o controle do módulo Oracle Payments.

Impacto

Exposição de fluxos de pagamento, dados financeiros, registros de negócio e sistemas corporativos conectados ao Oracle E-Business Suite. Oracle Database Enterprise Edition consta no Mapa de Fabricantes do SISP; a presença específica de Oracle E-Business Suite não foi confirmada nesta pesquisa, mas trata-se de ERP de uso conhecido no setor público.

Correção

Aplicar o Critical Patch Update de maio/2026 da Oracle, reforçado por atualização suplementar de 16/06/2026. Restringir exposição do endpoint ibytransmit à internet quando não estritamente necessário.

Prazo Imediato (0 a 72h): prazo federal CISA já expirado (18/07/2026); órgãos SISP com Oracle E-Business Suite devem tratar como incidente ativo até confirmar ausência de comprometimento.

CVE-2026-6875

ServiceNow AI Platform: Sandbox Escape · CWE-693 (Proteção Inadequada)

Score CVSS: 9.5 : Crítico

Produto

ServiceNow AI Platform, releases Brazil, Australia, Zurich e Yokohama (instâncias hospedadas e self-hosted).

CVSS	Score: 9.5 (CVSS 4.0) · Severidade: Crítico · Vetor completo não confirmado integralmente nesta pesquisa; recomendamos consultar o KB oficial da ServiceNow (KB3137947). Nota: score publicado em CVSS 4.0, metodologia distinta das demais pontuações CVSS 3.1 deste boletim; não diretamente comparável.

CISA KEV

NÃO Não presente no catálogo CISA KEV até o fechamento desta edição.

Exploração

Divergência entre fontes: a empresa de inteligência de ameaças Defused relatou tentativas de exploração observadas a partir de 17/07/2026, poucos dias após o patch de 13/07/2026, direcionadas ao mesmo endpoint pré-autenticação documentado publicamente (/assessment_thanks.do), embora o gadget de sandbox escape alcance a mesma primitiva de execução de código por rota distinta da do PoC publicado. A ServiceNow, no entanto, declara em seu advisory oficial não ter conhecimento de exploração contra instâncias de clientes. Tratamos como possível exploração ativa, não confirmada pelo fabricante.

POC	Não identificado exploit completo publicado. Há descrição técnica parcial do sink pré-autenticado documentada por pesquisadores.

Descrição

Escape do sandbox que isola a execução de código relacionado a inteligência artificial na plataforma ServiceNow, permitindo, em condições de ataque de alta complexidade, execução de código não autenticada dentro da plataforma.

Impacto

Execução remota de código na instância ServiceNow. Risco elevado dado o uso do ServiceNow para ITSM/ITOM/SecOps em múltiplos órgãos do SISP, conforme consta no Mapa de Fabricantes (ServiceNow Security Operations / SecOps module).

Correção

Instâncias hospedadas (hosted) já receberam correção automática. Instâncias self-hosted devem aplicar os patches publicados em 13/07/2026 (Brazil EA/GA, Australia Patch 2, Zurich Patch 7b/9, Yokohama Patch 12 Hot Fix 1b/13).

Prazo Imediato (0 a 72h) para instâncias self-hosted não corrigidas, dado relato de exploração por fonte de inteligência de ameaças de mercado, mesmo sem confirmação do fabricante ou inclusão em KEV.

CVE-2026-53412

Zoom Workplace / Zoom Workplace VDI Client para Windows: Account Takeover · CWE-20 (Validação Inadequada de Entrada)

Score CVSS: 9.8 : Crítico

Produto

Zoom Workplace para Windows anterior à versão 7.0.0; Zoom Workplace VDI Client para Windows anterior a 7.0.10, 6.6.15 e 6.5.18 (respectivas branches). Zoom Meeting SDK para Windows foi excluído do escopo em revisão de 15/07/2026.

CVSS

Score: 9.8 · Severidade: Crítico · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (CVSS 3.1).
O mesmo advisory corrigiu ainda CVE-2026-53411 (VDI Plugin, CVSS 7.8), CVE-2026-53410 (TOCTOU em instalação/desinstalação, CVSS 7.0) e CVE-2026-53409 (Zoom Rooms para Windows, CVSS 7.8), não detalhados individualmente por não atingirem o critério de inclusão deste boletim.

CISA KEV

NÃO Não presente no catálogo CISA KEV até o fechamento desta edição.

Exploração

Sem indícios de exploração ativa até o fechamento desta edição, segundo as fontes consultadas.

POC	Sem PoC público conhecido.

Descrição

Validação inadequada de entrada permite que atacante não autenticado, com acesso de rede e sem necessidade de conta Zoom, credenciais válidas, acesso local ou interação da vítima, realize account takeover.

Impacto

Impersonação do usuário afetado, com potencial acesso a reuniões, comunicações, conteúdo compartilhado e recursos vinculados à conta. Zoom consta no Mapa de Fabricantes (Tecnologia Geral / Colaboração) como ferramenta de videoconferência de uso plausível no SISP.

Correção

Atualizar Zoom Workplace para Windows para a versão 7.0.0 ou superior; atualizar Zoom Workplace VDI Client conforme a branch (7.0.10, 6.6.15 ou 6.5.18).

Prazo 15 dias: sem exploração confirmada, mas CVSS crítico e ausência de necessidade de interação da vítima recomendam priorização.

CVE-2026-60137 e CVE-2026-63030 ("wp2shell")

WordPress Core: Injeção SQL encadeada com Confusão de Rota REST, RCE Pré-autenticado · CWE-89 / CWE-436

Score CVSS: 9.1 / 7.5 (cadeia: 9.8*)

Produto

WordPress Core, versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1 (cadeia completa). CVE-2026-60137 isoladamente também afeta a branch 6.8, corrigida em 6.8.6.

CVSS

CVE-2026-60137 (injeção SQL em WP_Query via author__not_in): 9.1 Crítico (NVD). CVE-2026-63030 (confusão de rota em WP_REST_Server::serve_batch_request_v1): 7.5 Alto (NVD).
*Parte da cobertura de mercado (Rapid7 e outras) classifica a cadeia combinada como CVSS 9.8. O NVD pontua os componentes separadamente; sinalizamos a divergência.

CISA KEV

NÃO Não presente no catálogo CISA KEV até o fechamento desta edição.

Exploração

Sinais iniciais de exploração em ambiente real relatados por pesquisadores logo após a divulgação em 17/07/2026, favorecidos pela disponibilidade de exploit completo publicado no GitHub.

POC	SIM Ferramenta de exploração completa publicada no GitHub (repositório NULL200OK/WP2Shell), demonstrando a cadeia de injeção SQL até execução de código.

Descrição

Encadeamento de uma falha de confusão de rota no endpoint REST padrão /wp-json/batch/v1 (sem necessidade de plugins) com injeção SQL no parâmetro author__not_in do WP_Query, permitindo que atacante não autenticado alcance execução remota de código em instalação padrão do WordPress. A cadeia não funciona em sites que utilizam cache de objeto persistente externo (Redis ou Memcached).

Impacto

Comprometimento total de sites WordPress, incluindo eventuais portais institucionais e páginas públicas de órgãos do SISP que utilizem a plataforma. WordPress não consta no Mapa de Fabricantes consultado, mas é CMS de uso amplamente conhecido em portais governamentais.

Correção

Atualizar para WordPress 6.9.5, 7.0.2 ou 6.8.6 (conforme branch). Atualizações automáticas forçadas foram habilitadas pelo WordPress.org a partir de 17/07/2026. Como mitigação temporária, bloquear via WAF o acesso a /wp-json/batch/v1 e rest_route=/batch/v1.

Prazo Imediato (0 a 72h): PoC público funcional e sinais de exploração real recomendam tratamento como incidente ativo em portais WordPress não atualizados.

Patch Tuesday de Julho/2026 (Microsoft)

Outras Vulnerabilidades Críticas do Mesmo Ciclo (resumo rápido, 4 CVEs)

CVSS 9.8 : 9.9 Crítico

Além dos CVE-2026-58644 e CVE-2026-56164 (SharePoint) e do CVE-2026-56155 (AD FS), já tratados na edição anterior, o Patch Tuesday de julho/2026 corrigiu outras quatro falhas críticas relevantes ao SISP. Nenhuma delas consta no catálogo CISA KEV nem possui exploração confirmada em produção até o fechamento desta edição; tratamento aqui é resumido, sem levantamento individual completo.

CVE-2026-57092 · Windows VMSwitch (Hyper-V) · CVSS 9.9: Use-after-free que permite a atacante com baixo privilégio dentro de uma VM convidada escalar para comprometimento total do host Hyper-V. Sem PoC público ou exploração confirmada. Correção: aplicar o pacote de julho/2026 em todo o parque Hyper-V com VMSwitch habilitado.
CVE-2026-50518 · Windows DHCP Server · CVSS 9.8: Estouro de buffer heap explorável remotamente e sem autenticação via requisição de rede manipulada. Microsoft classifica como "Exploitation More Likely". Sem exploração confirmada até o fechamento desta edição. Correção: aplicar o pacote de julho/2026 em todos os servidores DHCP.
CVE-2026-56190 · Windows Remote Desktop Protocol (RDP Server) · CVSS 9.8: Uso de recurso não inicializado explorável remotamente, sem autenticação nem interação do usuário, via tráfego RDP manipulado. Sem exploração confirmada. Correção: aplicar o pacote de julho/2026; restringir exposição de RDP à internet.
CVE-2026-50522 · Microsoft SharePoint Server · CVSS 9.8: Desserialização de dados não confiáveis, explorável sem autenticação. Demonstrada publicamente no concurso Pwn2Own Berlin (prova de conceito controlada); Microsoft classifica maturidade do exploit como "desconhecida". Correção: aplicar o pacote de julho/2026 para SharePoint Server on-premises, adicionalmente aos CVE-2026-58644 e 56164 já tratados na edição anterior.

Recomendações Gerais

1 Oracle E-Business Suite: confirmar aplicação do Critical Patch Update de maio/2026 (reforçado em 16/06/2026) em todas as instâncias que hospedam o módulo Oracle Payments (CVE-2026-46817). Verificar exposição do endpoint /OA_HTML/ibytransmit à internet e tratar como incidente ativo caso não haja confirmação de patch, dado o prazo federal CISA já vencido.
2 ServiceNow AI Platform: órgãos com instâncias self-hosted devem aplicar imediatamente os patches de 13/07/2026 (CVE-2026-6875), mesmo sem confirmação de exploração pelo fabricante, dado o relato independente de tentativas de exploração. Instâncias hospedadas devem confirmar recebimento automático da correção.
3 WordPress ("wp2shell"): órgãos com portais institucionais em WordPress devem atualizar imediatamente para 6.9.5, 7.0.2 ou 6.8.6 (CVE-2026-60137 e CVE-2026-63030). Havendo impossibilidade de atualização imediata, bloquear via WAF os endpoints /wp-json/batch/v1 e rest_route=/batch/v1 como mitigação temporária.
4 Zoom Workplace: atualizar clientes Windows para as versões corrigidas (7.0.0, 7.0.10, 6.6.15 ou 6.5.18 conforme branch) referentes ao CVE-2026-53412, priorizando estações que utilizem o cliente Windows do Zoom em funções de atendimento externo ou reuniões sensíveis.
5 Patch Tuesday de julho/2026 (Microsoft): aplicar os pacotes de segurança adicionais deste ciclo (CVE-2026-57092, 50518, 56190 e 50522) em toda a base Windows Server, com atenção especial a hosts Hyper-V com VMSwitch habilitado, servidores DHCP e serviços RDP expostos à internet.

Referências

Oracle E-Business Suite

THN: Oracle E-Business Suite Flaw CVE-2026-46817 Actively Exploited SecurityAffairs: Attackers actively exploit CVE-2026-46817 CISA: Adds Two KEV (15/07/2026)

ServiceNow

BleepingComputer: Critical ServiceNow flaw now exploited ServiceNow KB3137947: CVE-2026-6875 advisory oficial NVD: CVE-2026-6875

Zoom

BleepingComputer: Zoom warns of critical account takeover THN: Zoom Patches Critical Windows Flaw

WordPress "wp2shell"

THN: New wp2shell WordPress Core Flaw Rapid7: CVE-2026-63030 wp2shell RCE em WordPress Core VulnCheck: WP2Shell Vulnerabilities CVE-2026-60137/63030 GitHub: NULL200OK/WP2Shell (PoC público)

Patch Tuesday Julho/2026 (Microsoft)

Zero Day Initiative: The July 2026 Security Update Review Tenable: July 2026 Patch Tuesday Analysis DarkReading: Records Are Made to Be Broken (VMSwitch, DHCP, RDP) CISA KEV Catalog (fonte oficial)

CISC GOV.BR: Centro Integrado de Segurança Cibernética do Governo Digital
Boletim de Vulnerabilidades · Emitido em 20/07/2026

cisc.gov.br

Boletim do CISC de Vulnerabilidade

Links de compartilhamento em redes sociais