Alertas e recomendações
Alertas de segurança e recomendações técnicas
Esta página reúne alertas sobre vulnerabilidades e ameaças que afetam produtos e serviços utilizados pelas instituições da Rede GigaCandanga. Cada publicação apresenta, quando disponível, identificadores CVE, severidade, versões afetadas e corrigidas, status de exploração, sinais de detecção e ações recomendadas, com referências às fontes primárias.
Request Tracker e RTIR: XSS armazenado nos tickets (CVE-2026-105454, CVE-2026-105455 e CVE-2026-105456)
Três falhas de XSS armazenado no RT e no RTIR permitem que um remetente de e-mail não autenticado insira script em um ticket que roda na sessão de quem o visualiza. O vetor usa filas abertas ao público e, no RTIR, a criação de Incident Reports liberada por padrão. Correção em RT 5.0.11 e 6.0.4 e RTIR 6.0.4.
- CVSS 5.3
- XSS armazenado
- Request Tracker / RTIR
- correção disponível
Atualize para RT 5.0.11 ou 6.0.4 e RTIR 6.0.4 e revise os direitos de
Everyone nas filas que recebem e-mail externo.
Windows Shell: bypass de Mark of the Web explorado em ambiente real (CVE-2026-96951)
Uma falha de injeção de comando no Windows Shell permite que um arquivo especialmente criado contorne o Mark of the Web. A Microsoft confirmou exploração em ambiente real antes da correção, publicada em 13 de outubro de 2026. Afeta Windows 10, Windows 11, edições de servidor desde o 2012 R2, Outlook.com e o Edge.
- CVSS 8.8
- bypass de MOTW
- Windows
- explorado em ambiente real
Aplique as atualizações de outubro de 2026 e atualize o Edge para 154.0.4258.62 ou posterior. A falha está no catálogo KEV da CISA.
Ler alerta completoPHP: execução remota de código condicionada à configuração de sessão (CVE-2026-115560)
O PHP publicou um advisory informativo sobre um vetor de RCE que exige uma combinação
incomum de configuração e código: session.serialize_handler em
php_binary ou php_serialize, alterado em runtime para
php com ini_set() antes de session_start(), com
upload progress habilitado. Não há correção emergencial; o PHP recomenda
session.upload_progress.enabled=0 até o próximo release regular.
- sem CVSS
- RCE condicionada
- PHP
- mitigação disponível
O PHP considera o vetor improvável na prática e tratará a correção no ciclo regular. Não há lista de versões afetadas nem correção divulgada.
Ler alerta completoGitLab: execução remota de código no compilador de expressões regulares (CVE-2026-110264)
Uma falha de integer overflow no compilador de expressões regulares do GitLab CE/EE permite execução remota de código sem autenticação em instâncias self-managed. Afeta versões desde 7.0; a correção está disponível em 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 e 19.5.1.
- CVSS 10.0
- RCE
- GitLab
- self-managed
Atualize a instância para a versão corrigida da linha em uso. Não há workaround oficial; GitLab.com e GitLab Dedicated já estão corrigidos.
Ler alerta completoPHP2Shell: execução remota de código no PHP (CVE-2026-109618 e CVE-2026-109619)
Duas vulnerabilidades críticas no núcleo do PHP permitem execução remota de código sem
autenticação. Há caminhos explorados antes de o código da aplicação ser executado;
servidores com mod_php expostos à internet são a prioridade. Correção
disponível nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
- CVSS 9.2
- RCE
- PHP
- exploração em ambiente real
Atualize o PHP e reinicie todos os workers. Não há mitigação de configuração que substitua a correção.
Ler alerta completoEscopo e estrutura dos alertas
Os alertas são publicados quando uma vulnerabilidade ou ameaça apresenta exposição relevante para a rede, correção disponível ou mitigação aplicável, ou exploração confirmada. Cada publicação contém, quando aplicável:
- identificadores CVE e pontuação CVSS atribuída pelo fornecedor;
- produtos e versões afetadas, e a primeira versão corrigida de cada linha;
- status de exploração conhecido e inclusão em catálogos de exploração;
- sinais de detecção em logs, processos, arquivos e rede;
- ações recomendadas, separando correção definitiva de mitigação temporária;
- referências aos advisories e às fontes primárias consultadas.
As fontes primárias são os comunicados do fornecedor e das equipes de resposta a incidentes. Quando o cenário muda, o alerta é revisado e a data de atualização é registrada no próprio documento.
A classificação de severidade segue as faixas do CVSS v4.0: Crítica (9.0–10.0), Alta (7.0–8.9), Média (4.0–6.9) e Baixa (0.1–3.9).
Os alertas têm caráter informativo e não substituem os comunicados oficiais dos fornecedores nem a avaliação da equipe responsável por cada ambiente.