CVE-2026-100730: Desserialização de dados não confiáveis no openPDC e openHistorian (Grid Protection Alliance)
A CVE-2026-100730 é uma falha crítica de desserialização de dados não confiáveis (CWE-502) em uma interface de console de serviço do Grid Protection Alliance openPDC e openHistorian. O registro informa CVSS 3.1 9.8 e CVSS 4.0 9.3, e descreve possível execução remota de código com os privilégios da conta de serviço. As fontes consultadas não mostram exploração confirmada, e o registro não lista versões corrigidas, então os operadores devem consultar a orientação do fornecedor e da CISA.
Visão geral
O registro descreve uma fraqueza de desserialização de dados não confiáveis (CWE-502) em uma interface de console de serviço usada pelo Grid Protection Alliance openPDC e openHistorian. O console desserializa uma estrutura de dados enviada pelo cliente, por isso a aplicação pode reconstruir um grafo de objetos que o operador não pretendia aceitar.
Impacto
- O registro informa que a falha pode permitir execução remota de código com os privilégios da conta de serviço afetada.
- Quando a Autenticação do Windows é usada, o atacante precisa já estar autenticado para acessar a função afetada.
- Quando a Autenticação do Windows não é usada, o registro informa que um atacante de rede não autenticado pode alcançar a função.
- O vetor CVSS 3.1 do registro é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base 9,8. O registro também lista pontuação CVSS 4.0 de 9,3, do mesmo CNA.
Produtos e versões afetadas
O registro lista as seguintes faixas:
- Grid Protection Alliance openHistorian: anteriores a 2.8.580 e anteriores a 2.8.585.
- Grid Protection Alliance openPDC: anteriores a 2.9.477 e anteriores a 2.9.482.
- Grid Protection Alliance openPDC (imagem Docker): anteriores a 2.9.477 e anteriores a 2.9.482.
O registro não lista versões corrigidas. Os limites superiores dessas faixas sugerem que versões posteriores podem não ser afetadas, mas isso é uma inferência e deve ser confirmado com o fornecedor ou com o aviso ICS da CISA ICSA-26-281-02.
Status de exploração
- O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA.
- Os dados SSVC do registro indicam exploração como none e automatizável como yes.
- Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
- A probabilidade EPSS é 0,00625 (percentil 0,48576), com data de 2026-10-13.
Correção e mitigação
- Identifique todas as instalações do openPDC e do openHistorian, incluindo implantações baseadas em Docker, e compare as versões com as faixas listadas acima.
- Siga a orientação do fornecedor e o aviso da CISA para atualizar as instalações afetadas para uma versão fora das faixas listadas.
- Até que as atualizações sejam aplicadas, restrinja o acesso de rede ao console de serviço a redes de gestão confiáveis e use segmentação de rede em ambientes de controle industrial.
- Quando o produto permitir, use a Autenticação do Windows e revise quem possui acesso às funções autenticadas.
- Execute os serviços com o mínimo de privilégios necessário, para que um comprometimento tenha efeito limitado.
Orientação para detecção
- Revise os logs de rede em busca de conexões inesperadas às portas do console de serviço vindas de hosts não confiáveis.
- Monitore as contas de serviço afetadas quanto a criação incomum de processos, gravação de arquivos ou eventos de autenticação.
- Gere alertas para reinicializações ou falhas inesperadas dos serviços openPDC e openHistorian, que podem indicar tratamento anormal de entradas.
Limitações das informações disponíveis
- O registro não identifica as versões corrigidas, por isso a versão segura deve ser confirmada com o fornecedor.
- As portas de rede exatas e os caminhos do console não são informados no registro.
- O registro não descreve nenhuma prova de conceito nem atividade de ataque observada.
- As pontuações CVSS 4.0 e 3.1 foram obtidas do registro e não foram verificadas de forma independente.
Perguntas frequentes
Qual é a fraqueza da CVE-2026-100730?
O registro descreve desserialização de dados não confiáveis (CWE-502) em uma interface de console de serviço, o que pode permitir a reconstrução de um grafo de objetos não pretendido.
A CVE-2026-100730 é conhecida por ser explorada?
O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Quais versões são listadas como afetadas?
O registro lista openHistorian anteriores a 2.8.580 e anteriores a 2.8.585, e openPDC, incluindo a imagem Docker, anteriores a 2.9.477 e anteriores a 2.9.482.
O que os operadores devem fazer agora?
Inventariar as instalações, seguir a orientação do fornecedor e da CISA para atualizar, restringir o acesso de rede ao console e aplicar o princípio do menor privilégio às contas de serviço.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.