CVE-2026-106126: Injeção de Comando no SO no Active Directory Events Listener do Tenable Identity Exposure (SaaS)
Uma falha de injeção de comando (CWE-78) no Active Directory Events Listener do Tenable Identity Exposure (SaaS) permite que um usuário autenticado, com baixos privilégios, execute comandos arbitrários como SYSTEM no PDCe. O registro informa pontuação base CVSS de 9.9 e lista o produto como afetado antes de 3.126.0. Não há exploração confirmada nas fontes consultadas.
Visão geral
O CVE-2026-106126 é uma vulnerabilidade de injeção de comando no componente Active Directory Events Listener do Tenable Identity Exposure (SaaS). O registro a classifica como injeção de comando no sistema operacional (CWE-78). O aviso do fabricante citado no registro é o Tenable TNS-2026-27.
Impacto
Segundo a descrição, um atacante autenticado com baixos privilégios poderia executar comandos arbitrários como SYSTEM no PDCe (emulador de controlador de domínio primário). O vetor informado indica alto impacto na confidencialidade, integridade e disponibilidade, além de mudança de escopo. A CNA informa pontuação base de 9.9 (crítica).
Produtos e versões afetados
- Tenable Identity Exposure (SaaS): versões anteriores a 3.126.0, conforme listado no registro.
- O registro não lista versões corrigidas. O limite superior do intervalo afetado é 3.126.0, única string de versão disponível no registro.
Status de exploração
- A vulnerabilidade não consta no catálogo KEV da CISA no registro.
- A probabilidade EPSS é 0.02015 (percentil 0.80753) na data do registro.
- Os campos SSVC do registro indicam exploração 'none' e automatizável 'no'.
- Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Consulte o aviso do fabricante em Tenable TNS-2026-27 para orientações oficiais de correção e implantação.
- Por se tratar de produto SaaS, confirme com o fabricante ou com a administração do seu tenant se o ambiente já está na versão 3.126.0 ou posterior.
- Limite quem possui contas autenticadas no serviço e revise a higiene das contas, já que o ataque exige autenticação.
- Restrinja a exposição administrativa de componentes integrados ao diretório e monitore a atividade privilegiada em controladores de domínio.
Orientações de detecção
- Revise os logs do Active Directory Events Listener e da plataforma Identity Exposure em busca de atividade de processos incomum ou comandos inesperados.
- Observe, em nível geral, processos filhos inesperados iniciados pelo serviço do listener em controladores de domínio, bem como alterações em serviços ou tarefas agendadas.
- Correlacione eventos de autenticação de contas com baixos privilégios com ações privilegiadas posteriores.
Limitações das informações disponíveis
- O registro não descreve o gatilho exato, detalhes internos do componente afetado nem provas de conceito, e esta análise não os fornece.
- O registro tem status 'Awaiting Analysis' e o campo de versão corrigida não está preenchido.
- Não é possível saber, pelo registro, se os tenants SaaS já foram atualizados.
- A segunda pontuação CVSS de 9.4 presente no registro é informada pelos mesmos provedores; sua base não é descrita no registro.
Perguntas frequentes
O que é o CVE-2026-106126?
É uma vulnerabilidade de injeção de comando (CWE-78) no Active Directory Events Listener do Tenable Identity Exposure (SaaS). O registro indica que um atacante autenticado, com baixos privilégios, poderia executar comandos arbitrários como SYSTEM no PDCe.
Quais versões são afetadas?
O registro lista o produto como afetado antes de 3.126.0. Não há campo separado de versão corrigida, então confirme no aviso do fabricante.
Esta vulnerabilidade está sendo explorada?
O registro não a lista no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.