Firefox, Chrome, Adobe e VMware corrigem falhas críticas com risco de execução de código

Mozilla, Google, Adobe e Broadcom lançaram uma série de atualizações para corrigir vulnerabilidades críticas em navegadores, plataformas de comércio eletrônico, servidores de aplicações, ferramentas de criação e componentes de infraestrutura corporativa.

Entre os problemas mais graves estão duas falhas no Firefox com códigos de exploração já disponíveis publicamente, vulnerabilidades de corrupção de memória no Chrome, oito brechas críticas no Adobe ColdFusion e uma falha de autenticação no VMware Avi Load Balancer com pontuação CVSS 9,8.

Embora nenhum dos fabricantes tenha confirmado exploração ativa das vulnerabilidades em ataques reais, a publicação de códigos de prova de conceito e detalhes técnicos aumenta o risco de que invasores adaptem rapidamente essas falhas para campanhas maliciosas.

A Mozilla corrigiu duas vulnerabilidades críticas no Firefox 152.0.6. A empresa informou que códigos capazes de explorar os problemas já estão disponíveis publicamente, mas afirmou não ter conhecimento de ataques que estejam utilizando as falhas.

A CVE-2026-15718 envolve um ponteiro inválido no componente JavaScript: WebAssembly do navegador. Erros dessa natureza podem fazer com que o software tente acessar uma região incorreta da memória, provocando falhas, corrupção de dados ou, em determinadas circunstâncias, execução de código controlado pelo invasor.

O WebAssembly permite executar código de alto desempenho dentro do navegador e é utilizado por aplicações web, jogos, ferramentas de edição e outros serviços. Por operar próximo às camadas de memória e execução, vulnerabilidades nesse componente podem representar risco elevado.

A segunda falha, identificada como CVE-2026-15719, está relacionada ao isolamento de sites no componente DOM: Navigation.

O isolamento de sites é uma proteção criada para manter conteúdos de diferentes domínios separados em processos ou contextos de segurança distintos. Uma falha nesse mecanismo pode permitir que uma página maliciosa ultrapasse limites de segurança definidos pelo navegador e interfira em dados ou recursos pertencentes a outro site.

A Mozilla classificou as duas vulnerabilidades como críticas e recomenda a atualização para o Firefox 152.0.6. O boletim foi publicado em 14 de julho de 2026.

A disponibilidade pública de código de exploração torna a correção especialmente urgente. Mesmo que não existam ataques conhecidos, a publicação de uma prova de conceito reduz o trabalho necessário para que grupos criminosos transformem a falha em uma ferramenta operacional.

O Google lançou atualizações para corrigir 15 vulnerabilidades no Chrome, incluindo dois problemas críticos de uso de memória após liberação, conhecidos como use-after-free.

As falhas CVE-2026-15764 e CVE-2026-15765 afetam o Ozone, uma camada de abstração utilizada pelo navegador para interagir com servidores gráficos, sistemas de janelas e outros componentes nativos de diferentes plataformas.

O Ozone oferece suporte a ambientes como Linux, ChromeOS e Fuchsia. Ele permite que o Chrome funcione sobre diferentes arquiteturas gráficas sem que toda a lógica do navegador precise ser adaptada individualmente para cada sistema.

Uma vulnerabilidade use-after-free ocorre quando um programa continua utilizando uma área de memória depois que ela já foi liberada. Um invasor pode tentar controlar o conteúdo que passa a ocupar esse espaço e manipular o comportamento do aplicativo.

De acordo com a descrição da CVE-2026-15764, um atacante remoto poderia criar uma página HTML maliciosa e convencer a vítima a executar gestos específicos na interface. A interação poderia provocar corrupção da memória heap no Chrome para Linux.

A necessidade de interação não elimina o risco, pois os gestos podem ser induzidos por botões, caixas de diálogo, jogos, verificações falsas ou outros elementos visuais preparados para enganar o usuário.

As correções foram disponibilizadas nas versões 150.0.7871.124 e 150.0.7871.125 para Windows e macOS, além da versão 150.0.7871.124 para Linux.

O Google confirmou que a atualização contém 15 correções de segurança, incluindo as duas falhas críticas no Ozone e problemas de alta gravidade no Skia, libyuv, GPU, Media, Core e no mecanismo JavaScript V8.

Como ocorre normalmente durante a distribuição de atualizações do Chrome, o fabricante pode restringir detalhes técnicos até que a maior parte dos usuários esteja protegida. Essa prática busca reduzir a possibilidade de exploração durante o período em que os patches ainda estão sendo instalados.

A Adobe publicou atualizações para 88 vulnerabilidades distribuídas por diferentes produtos. Os boletins incluem falhas críticas no ColdFusion, Adobe Commerce, Magento Open Source, Adobe Experience Manager e Illustrator.

O ColdFusion concentra alguns dos problemas de maior gravidade. A plataforma é utilizada para desenvolver e executar aplicações web, inclusive em ambientes empresariais e governamentais, o que torna servidores expostos um alvo relevante para invasores.

A Adobe corrigiu oito vulnerabilidades críticas no ColdFusion:

• CVE-2026-48318, com CVSS 9,9, é uma falha de travessia de diretórios que pode levar à execução arbitrária de código.

• CVE-2026-48322, com CVSS 9,6, permite injeção de código e possível execução de comandos controlados pelo atacante.

• CVE-2026-48284, com CVSS 9,6, decorre de validação inadequada de entrada e pode resultar em execução arbitrária de código.

• CVE-2026-48321, com CVSS 9,3, envolve autorização incorreta e pode permitir elevação de privilégios.

• CVE-2026-48325, com CVSS 9,3, está relacionada à ausência de autenticação em uma função crítica e pode permitir execução arbitrária de código.

• CVE-2026-48319, com CVSS 9,1, é outra vulnerabilidade de travessia de diretórios capaz de levar à execução de código.

• CVE-2026-48324, com CVSS 9,1, consiste em uma injeção de SQL que pode resultar em execução arbitrária de código.

• CVE-2026-48327, com CVSS 9,0, decorre de autorização incorreta e também pode permitir execução de código.

As vulnerabilidades foram corrigidas no ColdFusion 2025 Update 11 e no ColdFusion 2023 Update 22. O boletim oficial informa que as atualizações resolvem problemas críticos, importantes e moderados nas versões 2025 e 2023 da plataforma.

Uma falha de travessia de diretórios permite manipular caminhos de arquivos para acessar locais fora da pasta originalmente autorizada. Dependendo da implementação, o atacante pode ler configurações, obter credenciais, sobrescrever arquivos ou posicionar conteúdo malicioso em diretórios executáveis.

A injeção de SQL ocorre quando dados fornecidos pelo usuário são incorporados de forma insegura a comandos enviados a um banco de dados. O problema pode permitir leitura, alteração ou exclusão de informações e, em determinados ambientes, evoluir para execução de comandos no servidor.

As vulnerabilidades do ColdFusion são particularmente relevantes porque servidores de aplicações costumam manter acesso a bancos de dados, sistemas internos, arquivos de configuração e credenciais de serviços.

O comprometimento de uma dessas plataformas pode servir como ponto inicial para roubo de dados, instalação de web shells, movimentação lateral e persistência na infraestrutura.

A Adobe também corrigiu duas falhas críticas no Adobe Commerce e no Magento Open Source, plataformas utilizadas para operar lojas virtuais e processar transações online.

A CVE-2026-48356, com pontuação CVSS 9,6, é uma vulnerabilidade de upload de arquivos que pode permitir elevação de privilégios.

Falhas de upload podem permitir que um invasor envie conteúdo não autorizado ao servidor. Quando os controles de extensão, tipo, localização e execução são insuficientes, o arquivo pode ser utilizado para instalar código malicioso ou assumir funções administrativas.

A CVE-2026-48358, com CVSS 9,1, decorre de codificação ou escape inadequado de saída e pode permitir execução arbitrária de código.

Em plataformas de comércio eletrônico, o impacto de um comprometimento pode incluir alteração de páginas, captura de dados de pagamento, roubo de credenciais, criação de contas administrativas e interrupção das operações de venda.

Ataques contra lojas virtuais também podem ser utilizados para implantar skimmers digitais, códigos maliciosos inseridos nas páginas de pagamento para capturar informações fornecidas pelos clientes.

Duas vulnerabilidades críticas foram corrigidas no Adobe Experience Manager, plataforma utilizada por empresas para administrar sites, conteúdos digitais e experiências de clientes.

A CVE-2026-48259, com pontuação CVSS 9,6, é uma falha de falsificação de requisições do lado do servidor, conhecida como SSRF.

Em um ataque SSRF, o invasor induz o servidor vulnerável a realizar conexões em seu nome. Isso pode permitir acesso a serviços internos, interfaces administrativas, APIs que não estão expostas diretamente à internet ou metadados de ambientes em nuvem.

Em infraestruturas cloud, uma SSRF mal explorada pode atingir endpoints de metadados associados a máquinas virtuais e, dependendo das proteções adotadas, expor tokens temporários ou credenciais de identidade.

A CVE-2026-48359, também com CVSS 9,6, envolve restrição inadequada de referências a entidades externas em documentos XML, uma condição conhecida como XXE.

Uma vulnerabilidade XXE pode ser explorada para ler arquivos locais, provocar requisições internas, causar indisponibilidade ou acessar outros recursos processados pelo servidor.

Segundo a página do Adobe Product Security Incident Response Team, o fabricante publicou em 14 de julho de 2026 uma atualização específica para o Adobe Experience Manager.

A Broadcom corrigiu uma vulnerabilidade crítica de bypass de autenticação no VMware Avi Load Balancer, também conhecido anteriormente como VMware NSX Advanced Load Balancer.

Identificada como CVE-2026-47865, a falha recebeu pontuação CVSS 9,8. Um invasor com acesso de rede pode contornar o mecanismo de autenticação e acessar o plano de controle do Avi.

O plano de controle administra configurações, políticas, aplicações, serviços virtuais, certificados e componentes relacionados ao balanceamento de carga. O acesso indevido a essa camada pode permitir manipular a distribuição de tráfego e afetar aplicações críticas.

A vulnerabilidade foi descoberta e reportada por Filip Waeytens, do NATO Cyber Security Centre.

O boletim VMSA-2026-0005 não apresenta nenhuma solução alternativa. A Broadcom orienta os clientes a instalar as versões corrigidas do Avi Controller.

Para ambientes da linha 31.1.1 até 31.2.2, a correção está disponível na versão 31.2.2-2p3. Sistemas das versões 30.1.1 até 30.2.6 devem ser atualizados para a 30.2.7.

Instalações da linha 22.1 devem migrar para pelo menos a versão 30.2.7. A Broadcom recomenda a versão 32.1.2, que era a versão mais recente disponível no momento da publicação do boletim.

A atualização do VMware Avi Load Balancer também resolve outras seis vulnerabilidades, com pontuações entre 7,1 e 8,8.

• A CVE-2026-47866 permite contornar controles de autorização e acessar uma parte limitada do plano de controle.

• As CVEs 2026-47867 e 2026-47869 podem permitir execução remota de código em diferentes condições de acesso e autenticação.

• A CVE-2026-47868 possibilita que um usuário com acesso local eleve seus privilégios e execute código como root.

• A CVE-2026-47870 permite que um usuário autenticado execute código remotamente por meio de uma falha de elevação de privilégios.

Por fim, a CVE-2026-47871 é uma vulnerabilidade de travessia de diretórios que pode ser explorada por um usuário autenticado com acesso de rede.

A Broadcom informou que todas as falhas foram reportadas de forma privada e que não existem soluções alternativas para os problemas. A instalação das versões corrigidas é, portanto, a principal medida de mitigação.

A urgência de aplicação dos patches depende da exposição e da função de cada produto.

Firefox e Chrome estão presentes em grande quantidade de estações corporativas e podem ser explorados por meio de páginas maliciosas, anúncios comprometidos, links de phishing ou sites legítimos invadidos.

O ColdFusion, o Adobe Commerce, o Magento e o Experience Manager costumam operar como serviços acessíveis pela internet. Servidores desatualizados podem ser localizados por varreduras automatizadas assim que detalhes técnicos ou códigos de exploração se tornam disponíveis.

Já o VMware Avi Load Balancer ocupa uma posição crítica na infraestrutura de aplicações. O equipamento pode controlar tráfego destinado a sistemas internos, APIs e serviços publicados, tornando uma falha no plano de controle especialmente sensível.

Organizações devem inventariar as versões instaladas, identificar sistemas expostos à internet, testar as atualizações quando necessário e aplicar primeiro as correções relacionadas a execução remota de código, bypass de autenticação e vulnerabilidades com exploits públicos.

Equipes de segurança também devem procurar atividades anormais em logs de navegadores, servidores web, plataformas Adobe e controladores Avi. A atualização elimina a vulnerabilidade, mas não remove automaticamente acessos persistentes caso um sistema já tenha sido comprometido.

Até a publicação dos boletins, nenhuma das vulnerabilidades havia sido oficialmente classificada como explorada em ataques reais. Ainda assim, o histórico de exploração de navegadores, ColdFusion, Magento e produtos VMware torna recomendável não adiar a instalação dos patches.