CVE-2026-10789: Vulnerabilidade de injeção de código na extensão MCP do Autodesk Fusion
A Autodesk divulgou uma falha crítica de injeção de código na extensão MCP do Autodesk Fusion. Segundo o registro, uma página web maliciosamente elaborada, acessada por um usuário com o Fusion Desktop em execução e a extensão habilitada, pode levar à execução arbitrária de código com os privilégios desse usuário. As versões anteriores à 2703.1.20 aparecem como afetadas e há uma correção do fornecedor referenciada.
Visão geral
A CVE-2026-10789 é uma fraqueza de injeção de código (CWE-94) na extensão MCP do Autodesk Fusion. Segundo o registro, o gatilho é uma página web maliciosamente elaborada que o usuário visita enquanto o Fusion Desktop está em execução com a extensão MCP habilitada. O CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.6.
Impacto
- O registro afirma que a execução arbitrária de código pode ser possível.
- O código seria executado com os privilégios do usuário atual.
- As métricas CVSS do registro descrevem vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, interação do usuário exigida, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- O Autodesk Fusion em versões anteriores à 2703.1.20 aparece como afetado.
- O registro não detalha outras compilações, plataformas ou edições.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há evidência confirmada de exploração ativa nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Autodesk Fusion para a versão 2703.1.20 ou posterior, seguindo o aviso do fornecedor ADSK-SA-2026-0008.
- Confirme no aviso a compilação exata corrigida, pois o registro informa apenas a faixa afetada.
- Até a atualização, evite abrir sites não confiáveis em sistemas onde o Fusion roda com a extensão MCP habilitada.
- Se a extensão MCP não for necessária, considere desabilitá-la como medida temporária (inferência com base no gatilho descrito).
Orientações de detecção
- Inventarie as instalações do Autodesk Fusion e registre suas versões para identificar as anteriores à 2703.1.20.
- Revise a telemetria dos endpoints em busca de processos filhos inesperados iniciados pelo Fusion ou por sessões do navegador que interajam com ele.
- Trate execução de código inexplicada no contexto do usuário nesses sistemas como prioridade de investigação.
Limitações das informações disponíveis
O registro não possui título, pontuação EPSS, dados SSVC nem pontuação CVSS de outros provedores. Ele não descreve o componente vulnerável em detalhes técnicos, e não há evidência de exploração nas fontes consultadas. Detalhes de correção além da faixa afetada devem ser confirmados no aviso do fornecedor.
Perguntas frequentes
A CVE-2026-10789 está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada no mundo real nas fontes consultadas.
Quais versões do Autodesk Fusion são afetadas?
O registro indica que as versões anteriores à 2703.1.20 são afetadas. Consulte o aviso do fornecedor para confirmar a compilação corrigida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.