Vulnerabilidades perigosas recentemente identificadas que permitem obter acesso root ao sistema ou realizar a execução remota de código:
- 20 vulnerabilidades no Apache httpd, incluindo um estouro de buffer no mod_vhost_alias (CVE-2026-63292), que potencialmente permite a execução remota de código através do envio de uma requisição HTTP com um cabeçalho Host grande. A vulnerabilidade se manifesta ao especificar um identificador de substituição do nome do host na diretiva VirtualDocumentRoot e aumentar o limite do LimitRequestFieldSize.
Entre os outros problemas perigosos: acesso à memória após sua liberação no mod_rewrite ao usar a construção %{LA-U:HTTP:…} (CVE-2026-56154); estouro de buffer no mod_charset_lite (CVE-2026-56153); acesso à memória já liberada no mod_http2 (CVE-2026-57941); estouro de buffer ao analisar caminhos de arquivo no Windows (CVE-2026-59685); estouro inteiro no mod_dav_fs (CVE-2026-93546). Os problemas foram resolvidos na versão 2.4.69.
- 9 vulnerabilidades no FreeBSD. Entre os problemas identificados estão: estouro de buffer que leva à execução de código no nível do kernel ao manipular a chamada de sistema semop (CVE-2026-58098); elevação de privilégios devido ao acesso à memória após sua liberação no kqueue (CVE-2026-58099); saída dos limites do diretório raiz do ambiente jail isolado (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); falha do kernel ao enviar um pacote de rede especialmente formatado ao ativar o KTLS (CVE-2026-101302); contornar mecanismos de isolamento de rede em jail (CVE-2026-101303). As vulnerabilidades foram corrigidas nas atualizações do FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 e 14.4-RELEASE-p10.
- 6 vulnerabilidades no LibreOffice, ao abrir documentos especialmente formatados, levando à execução de código (CVE-2026-63277, exploit), escrita em arquivos arbitrários (CVE-2026-63266) ou vazamento do conteúdo de arquivos locais (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Os problemas foram corrigidos no LibreOffice 26.2.5 e 26.8.0.
- Uma vulnerabilidade (CVE-2026-59265, exploit) no Apache OpenOffice, que leva à execução de código ao abrir um documento especialmente formatado devido a um erro nas funções de integração com Java. O problema será resolvido na versão 4.1.17, que está em fase de teste para lançamento.
- Vulnerabilidades em servidor vulnerabilidades do CUPS. Até agora, apenas informações sobre 14 problemas com nível de severidade abaixo de 7 (CVSS) foram divulgadas, e uma lista de problemas mais perigosos será publicada após o término do embargo, que dá tempo para a correção nos distribuições. As vulnerabilidades mais graves divulgadas permitem elevação de privilégios (CVE ainda não atribuído) e execução remota de código com direitos do usuário lp (CVE-2026-55453) ao acessar uma impressora IPP controlada por um invasor. Os problemas foram corrigidos na versão do CUPS 2.4.20.
- A vulnerabilidade (CVE-2026-80521, exploit) no núcleo do Linux permite o acesso ao sistema host a partir de um container isolado. A vulnerabilidade é causada por uma condição de corrida na implementação de soquetes AF_UNIX, resultando em acesso à memória após a liberação, que pode ser explorado para executar código arbitrário no nível do núcleo. O problema foi corrigido nas atualizações de agosto do núcleo.
- Para o Debian GNU/Linux 13, foi publicada uma atualização do pacote com o núcleo Linux 6.12.111-1, que corrige 1313 vulnerabilidades.
- A vulnerabilidade (CVE-2026-94545) na plataforma Next.js permite a execução remota de código no servidor sem autenticação, através do envio de uma solicitação para gerar uma imagem SVG, na presença de um manipulador de pré-visualização de cartões OG (Open Graph) no servidor. O problema está relacionado a uma vulnerabilidade na biblioteca Satori, usada para converter HTML e CSS em SVG. A vulnerabilidade é causada pela falta de verificação adequada de caracteres de escape antes de serem inseridos no arquivo SVG, o que poderia ser explorado para adicionar uma tag na marcação SVG, que foi executada no servidor durante a conversão de SVG para formato rasterizado. O problema foi corrigido na Satori 0.33.5 e Next.js 15.5.26, 16.3.6 e 16.4.0.
- As vulnerabilidades (CVE-2026-33937, CVE-2026-106445) na biblioteca JavaScript handlebars.js, que conta com 50 milhões de downloads por semana e 17 mil projetos dependentes. As vulnerabilidades permitem a execução remota de código JavaScript no servidor (ao usar a biblioteca com Node.js) através da injeção de objetos AST (Árvore de Sintaxe Abstrata) já formados no template, além de templates de string. Os problemas foram corrigidos na versão 4.7.10.
- Na biblioteca de criptografia wolfSSL 5.9.4, 11 vulnerabilidades foram corrigidas, sendo as mais graves aquelas que permitem contornar a autenticação através do uso de certificados falsificados.
- Seis vulnerabilidades no sistema de pacotes autossuficientes Flatpak, incluindo problemas que permitem excluir (CVE-2026-97023) e gravar (CVE-2026-97024) arquivos no sistema principal com privilégios de root, bem como enviar sinais a processos fora do ambiente isolado (CVE-2026-97029). As questões foram corrigidas na versão Flatpak 1.18.4.
- Uma vulnerabilidade na biblioteca PCRE2, causada por um estouro de buffer no compilador JIT de expressões regulares. Um exploit foi desenvolvido, permitindo a execução remota de código em projetos PHP, como o phpMyAdmin, ao processar uma expressão regular fornecida pelo atacante nas funções baseadas em PCRE2. O problema foi resolvido na versão libpcre2 10.49.
- Catorze vulnerabilidades na biblioteca criptográfica OpenSSL, das quais as mais perigosas podem levar ao vazamento do conteúdo da memória do processo ao manipular o handshake de conexão DTLS (CVE-2026-84782), acessando memória após a liberação ao acessar um mesmo certificado X.509 de diferentes threads (CVE-2026-84783), e à reconstrução de chaves privadas através da análise do tempo de execução de operações por canais laterais durante a geração de assinaturas SM2 e brainpoolP384r1 (CVE-2026-54872, CVE-2026-77696). Os problemas foram corrigidos nas versões OpenSSL 4.0.3, 3.6.5, 3.5.9 e 3.4.8.
- Um exploit foi publicado para uma vulnerabilidade no sistema de gerenciamento de banco de dados PostgreSQL (CVE-2026-15742), permitindo a execução de código no servidor com os privilégios do usuário sob o qual o SGBD é executado, enviando valores especialmente formatados nas funções SQL levenshtein() e levenshtein_less_equal(). A vulnerabilidade foi corrigida nas versões PostgreSQL 18.6, 17.11, 16.15, 15.19 e 14.24.
- Nos updates das plataformas de desenvolvimento colaborativo Gitea 28.0.0 e 28.1.0, foram corrigidas várias dezenas de vulnerabilidades, incluindo a possibilidade de enviar um pull request contornando o mecanismo de confirmação de alterações (CVE-2026-104632), execução de código no CI a partir de um fork (CVE-2026-94205) e contorno da autenticação no servidor SSH embutido devido à ignorância de letras maiúsculas e minúsculas ao consultar o banco de dados (CVE-2026-103059).
- Um estouro de buffer (CVE-2026-102633) na biblioteca libexpat, ocorrendo em plataformas de 32 bits ao processar arquivos XML especialmente formatados. O problema foi resolvido na versão 2.9.0.
- Duas vulnerabilidades no pacote FreeIPMI para gerenciar servidores, suportando a interface IPMI (Intelligent Platform Management Interface). Uma das vulnerabilidades leva ao estouro de buffer ao processar um nome de host especialmente formatado. Os problemas foram corrigidos na versão FreeIPMI 1.6.20.
- No contexto do projeto Lightwell, a IBM e a Red Hat identificaram e prepararam correções para mais de 400 vulnerabilidades em bibliotecas open source escritas em Java.
Fonte: opennet.ru
