CVE-2026-105278: Grid Protection Alliance openPDC (imagem Docker) - Credenciais codificadas no código
A CVE-2026-105278 afeta a imagem Docker publicada do openPDC, da Grid Protection Alliance, que traz uma credencial administrativa fixa sem exigência de troca no primeiro uso. O registro classifica a severidade como crítica (CVSS 3.1 9.8) e a fraqueza como CWE-798 (uso de credenciais codificadas no código). Nas fontes consultadas não há exploração confirmada, e o registro não informa uma versão corrigida específica.
Visão geral
A imagem Docker publicada para o openPDC, da Grid Protection Alliance, inclui uma credencial administrativa fixa. A aplicação não exige a troca dessa credencial no primeiro uso, e por isso a fraqueza é classificada como CWE-798, uso de credenciais codificadas no código. O registro associa o problema à CNA ICS-CERT e ao aviso ICSA-26-281-02.
Impacto
Conforme a descrição do registro, um atacante com acesso de rede à interface de gerenciamento pode autenticar com a credencial fixa e obter controle administrativo total da aplicação. O vetor CVSS 3.1 informado (AV:N, AC:L, PR:N, UI:N, S:U, C:H, I:H, A:H) descreve um problema acessível pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. O registro indica pontuação base CVSS 3.1 de 9.8 e pontuação CVSS 4.0 de 9.3.
Produtos e versões afetadas
- Grid Protection Alliance openPDC, imagem Docker publicada, versões inferiores a 2.9.477.
- Grid Protection Alliance openPDC, imagem Docker publicada, versões inferiores a 2.9.482.
O registro lista essas duas faixas sem indicar qual se aplica a cada linha de lançamento. Implantações construídas a partir de imagens dentro dessas faixas devem ser tratadas como potencialmente afetadas até que o aviso do fornecedor ou da CISA seja consultado.
Status de exploração
O registro mostra que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. O valor SSVC de exploração é none e o de automatização é no. A probabilidade EPSS é 0.00342 (percentil 0.25868) em 2026-10-13. Nas fontes consultadas para esta análise não aparece exploração confirmada.
Correção e mitigação
- Identifique todas as implantações da imagem Docker do openPDC e compare a versão em execução com as faixas listadas acima.
- O registro não informa uma versão corrigida. Consulte o aviso da CISA e a orientação do fornecedor para encontrar a versão exata que remove a credencial fixa, e não presuma que uma versão está segura sem essa confirmação.
- Se a credencial fixa não puder ser removida de imediato, restrinja o acesso à interface de gerenciamento a redes administrativas confiáveis, com segmentação ou VPN.
- Troque qualquer credencial administrativa que possa ter permanecido com o valor de fábrica e exija a troca no primeiro uso.
- Verifique se a interface de gerenciamento é acessível a partir de redes não confiáveis, já que o registro descreve o acesso pela rede como caminho de ataque.
Orientação para detecção
- Revise os registros de autenticação da interface de gerenciamento em busca de logins administrativos bem-sucedidos que não correspondam à atividade conhecida dos operadores, especialmente de origens inesperadas.
- Verifique se a configuração da conta administrativa foi alterada em relação ao estado de fábrica.
- Monitore alterações inesperadas de configuração ou novas contas administrativas nas implantações do openPDC.
- Confirme que a exposição da interface de gerenciamento está inventariada e que alcance externo inesperado é sinalizado.
Limitações das informações disponíveis
O registro não inclui versão corrigida, identificador de correção do fornecedor nem descrição da credencial exata ou do seu valor padrão, e esta análise não fornece esses detalhes. A relação entre as duas faixas de versões e as linhas de lançamento específicas não é informada. A pontuação CVSS 4.0 vem de entradas da ICS-CERT no registro e não foi verificada de forma independente contra o aviso do fornecedor.
Perguntas frequentes
Qual é a vulnerabilidade da CVE-2026-105278?
A imagem Docker publicada do openPDC, da Grid Protection Alliance, inclui uma credencial administrativa fixa que não precisa ser trocada no primeiro uso, classificada como CWE-798.
Quais versões são listadas como afetadas?
O registro indica a imagem Docker do openPDC como afetada nas faixas inferiores a 2.9.477 e inferiores a 2.9.482, sem dizer qual se aplica a cada linha de lançamento.
Existe uma versão corrigida?
O registro não informa uma versão corrigida. Consulte o aviso da CISA ICSA-26-281-02 e a orientação do fornecedor para a versão exata com a correção.
Esta vulnerabilidade está sendo explorada?
O registro mostra que ela não consta no catálogo KEV da CISA, e nas fontes consultadas não aparece exploração confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.