Doçura ou Travessura? Será que pode dormir descansado? 72 812 vulnerabilidades em 2026
72 812 vulnerabilidades até setembro, 47 por hora de trabalho. Os sustos de outubro e o trabalho que deixa os nossos parceiros dormir descansados.
Doçura
ou
Travessura?
Será que pode dormir descansado?
Nunca se publicaram tantas vulnerabilidades como este ano. O problema é nunca saber ao certo o que já existe, o que está para vir e se a sua equipa, ou a empresa de hosting e serviços geridos que contratou, fez o que devia ter feito. A sua infraestrutura está em risco?
JANEIRO A SETEMBRO
A curva não para de subir
Foram publicadas 72 812 vulnerabilidades em 2026, mais do dobro das cerca de 35 400 de 2025. Setembro bateu o recorde: 14 943 num só mês.
CADA VULNERABILIDADE, UMA AÇÃO
São 47 vulnerabilidades novas por hora de trabalho. Em dezembro podem ser 111: quase 2 por minuto.
Por trás de cada vulnerabilidade publicada há trabalho nosso. Primeiro, verificar se o software afetado existe em alguma das contas, servidores ou plataformas que gerimos. Depois, avaliar o risco, aplicar a atualização, o patch ou a medida de mitigação e confirmar que tudo continua a funcionar.
Raramente uma falha se resolve com uma só intervenção. Uma vulnerabilidade no PHP, por exemplo, obriga a intervir, um a um, em todos os servidores, sites, aplicações… enfim, em todas as plataformas onde o PHP possa estar a ser usado. Podem ser dezenas, centenas… listas a perder de vista.
Os nossos parceiros não veem este trabalho, e assim deve ser! É aquele tipo de trabalho que só se nota pela negativa, quando não é feito. Só nessa altura se dá valor a quem o faz.
Um serviço de manutenção e segurança eficaz é silencioso, e é por isso que os nossos parceiros podem dormir descansados!
OUTUBRO EM QUATRO SUSTOS
As travessuras deste mês
PHP · CVSS 9.2
PHP2Shell
Qualquer pessoa executa código no servidor, sem autenticação. Atacado no próprio dia da correção, 21 de outubro.
KERNEL LINUX
Infinity Core
Cinco exploits públicos para chegar a root. Num servidor partilhado, um site comprometido chega a todas as contas.
NODE.JS · 4 FALHAS ALTAS
Node.js
10 falhas corrigidas a 21 de outubro. A mais grave, nos dados comprimidos (Brotli), pode permitir executar código à distância. Versões fora de suporte ficam sem correção.
WEBMAIL
Roundcube
20 falhas corrigidas de uma vez, o maior lote desde maio. Instalações autónomas têm de ser atualizadas à mão.
Quantos continuam expostos, e quantos nem sabem
32,5 M
serviços PHP ainda vulneráveis uma semana após a correção
+60 M
serviços PHP que nem indicam a versão: ninguém sabe se estão expostos
59%
dos sites verificados ainda sem a correção, dias depois
1 em 3
sites em PHP ainda corre PHP 7 ou 5, já sem suporte
1 DE NOVEMBRO · DIA DE TODOS OS SANTOS
Depois do Dia das Bruxas, vem o de Todos os Santos.
Com 267 vulnerabilidades novas por dia, todos os dias podem ser Dia das Bruxas. Nós tratamos de cada uma, para que a sua infraestrutura fique do lado dos Santos e possa dormir descansado.
E o seu fornecedor, tem a certeza que mantém os seus servidores atualizados?
