Nove CVEs recentes: três com PoC público verificável

Resumo executivo

PoC público não é o mesmo que exploração observada, mas muda a economia do ataque: reduz o custo de teste, acelera a criação de variantes e aumenta a chance de uso oportunista contra ativos esquecidos. Quando a falha também está no KEV, a CISA já registrou exploração em campo — nesse caso, a pergunta deixa de ser "alguém vai explorar?" e passa a ser "quando este ativo foi corrigido e o que aconteceu antes disso?".

As nove CVEs abaixo foram selecionadas por combinação de severidade, exposição típica e disponibilidade de material público. A auditoria inspecionou a árvore de cada repositório, não apenas a descrição: três têm código de exploração verificável, quatro anunciam PoC sem publicar código e duas não têm PoC localizado. Todos os links de PoC desta página apontam para repositórios com código inspecionado; são projetos de terceiros, não auditados pela Vulcan Defense. Use-os apenas em laboratório autorizado e nunca contra sistemas sem permissão escrita.

As nove CVEs e o status de PoC

CVEs e datas do KEV conferidos em 26 de outubro de 2026. CVSS conforme o fornecedor (CNA) ou o NVD; quando as pontuações divergem, a maior é exibida. O status de PoC é uma fotografia dessa data e pode mudar a qualquer momento.

Como classificamos o PoC

A verificação combina busca em repositórios públicos, bases agregadoras de PoC e inspeção da árvore de arquivos de cada projeto. Quatro cuidados importantes:

• Lemos o repositório, não apenas o README. Quatro CVEs têm descrição detalhada da exploração em repositórios que entregam apenas documentação, um arquivo .docx ou links de pagamento e contato privado. Sem código auditável, eles não entram como PoC público.
• Anúncio não reduz o risco, mas muda a classificação. CVE-2026-102764, CVE-2026-76519, CVE-2026-104935 e CVE-2026-0322 têm material público apenas anunciado. Para a CVE-2026-104935 existe um verificador de detecção aberto, não um exploit.
• Ausência de PoC não reduz a urgência quando há KEV. CVE-2026-114625 e CVE-2026-106931 não tinham PoC localizado, mas ambas foram exploradas em campo segundo a CISA.
• PoC público não significa que a cadeia completa funciona em todas as versões. CVE-2026-105133 e CVE-2026-105134 só entregam execução de código quando encadeadas; uma correção parcial do fornecedor deixou a cadeia aberta.

Correção por produto

CVE-2026-114625 — Arista VeloCloud Orchestrator

Injeção de SQL (CWE-89) no VCO on-premises: um usuário autenticado pode obter privilégios de operador e se passar por um superusuário local. A correção está em 5.2.3.18 (linha 5.2), 6.1.3.10 (6.1) e 6.4.2.12 (6.4). Como a falha exige autenticação, revise contas locais, mudanças de papel e atividade administrativa inesperada; restrinja a interface do VCO a redes de administração confiáveis.

CVE-2026-106931 — SiteGuard Server Edition

Injeção de comandos no recurso de estatísticas do WAF, habilitado por padrão. A execução ocorre com privilégios de root ou SYSTEM. Corrija para 8.00 Update 5 (Apache, Nginx e IIS) ou 7.00 Update 6 (FreeBSD); o fornecedor também oferece patch para versões fora de suporte. Verifique integridade dos arquivos do produto, processos filhos incomuns e alterações de configuração do WAF.

CVE-2026-102764 — BeyondTrust Remote Support

Bypass de autenticação por falsificação (CWE-290) que permite operações de arquivo no appliance, com risco de execução de código. Versões até 26.2.3 são afetadas; aplique a atualização indicada no KB0024066 do fornecedor. Os repositórios públicos associados contêm apenas README e oferecem acesso mediante contato ou pagamento — não são PoC verificável. Restrinja a exposição do appliance, revise arquivos criados ou alterados e procure sessões administrativas não reconhecidas.

CVE-2026-21589 — Atlassian Data Center

Leitura de arquivos específicos dentro do diretório da aplicação sem autenticação (CWE-552). A exploração exige conhecer o caminho exato do arquivo, mas não permite enumerar o sistema. O fornecedor classifica a falha como crítica (CVSS 4.0 9,3); o NVD publica 7,5 na métrica 3.1. Correções principais: Bitbucket 10.5.1, 10.2.8 ou 9.4.26; Confluence 10.2.19 ou 9.2.26; Jira Software 11.3.12, 10.3.26 ou 9.12.40; Jira Service Management 11.3.12, 10.3.26 ou 5.12.40; Bamboo 12.1.12 ou 10.2.24; Crowd 7.2.4, 7.1.7, 7.0.3 ou 6.3.7; Crucible e Fisheye 4.9.15. O PoC do watchTowr é o código de referência; há também uma implementação independente em tc4dy/CVE-2026-21589-PoC-Exploit.

CVE-2026-105133 e CVE-2026-105134 — AhsayCBS

A primeira falha é um bypass de autenticação no checkSysPwd da API; a segunda é uma injeção de comandos no endpoint /rps/api/json/UpdateReceivers.do. Juntas, permitem execução remota sem autenticação. Os patches iniciais 9.15.2.59 e 10.3.4.0 não resolveram o problema: atualize para 9.15.2.70 ou 10.3.4.45. Investigue chamadas a /rps/api, processos filhos do serviço de backup e alterações em jobs e destinos de replicação.

CVE-2026-76519 — Cisco Secure Email Gateway

Path traversal no tratamento de anexos quando o File Reputation (AMP) está habilitado, permitindo escrita arbitrária de arquivos e execução de comandos como root. O repositório público localizado até esta verificação contém apenas README com descrição detalhada e link externo, sem exploit. Não há workaround: atualize para AsyncOS 15.5.5-014 ou 16.5.0-780, ou garanta Content Scanner Tools 25.3.0.5525 ou posterior — a atualização do scanner não exige reinício. Procure mensagens System Security em system_logs e arquivos inesperados no appliance.

CVE-2026-104935 — Ivanti Connect Secure

Bypass de autenticação por falsificação que permite executar comandos sem autenticação. Corrija para 25.1.3.0 ou posterior; o registro CVE indica 22.7R2.14 e 22.8R2.5 como não afetadas. O material público localizado é um README de "proof of concept" sem exploit e um verificador de detecção — não há código de exploração aberto. Use a ferramenta de integridade do próprio produto, revise tarefas agendadas, sessões administrativas e conexões de saída, e considere reconstruir o appliance se houver sinal de comprometimento.

CVE-2026-0322 — Palo Alto Networks PAN-OS

Injeção de código na interface de gerenciamento que permite execução como root, mas exige um administrador autenticado com acesso de rede à interface. Corrija para 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 ou 10.2.18-h12. O repositório público associado entrega apenas um documento .docx, sem código verificável. Sem correção imediata, restrinja o acesso à interface de gerenciamento e avalie as Threat IDs 510046 e 510047, que exigem descriptografia de TLS para inspecionar o tráfego.

Triagem e inventário

Antes de fechar a correção, responda a quatro perguntas para cada produto encontrado:

1. Qual versão está realmente em execução — não a versão do pacote instalado, mas a do processo e do binário carregado?
2. O ativo esteve acessível pela internet no período entre a divulgação e a correção?
3. Existem evidências de exploração nos logs do produto, do sistema operacional e do proxy reverso?
4. Quais credenciais e sistemas eram alcançáveis a partir desse ativo?