CVE-2026-22585: Salesforce Marketing Cloud Engagement - Algoritmo Criptográfico Arriscado (CWE-327)
A CVE-2026-22585 afeta o Salesforce Marketing Cloud Engagement antes de 2026-01-21 e está classificada como CWE-327, fraqueza relacionada a algoritmo criptográfico arriscado. A CNA e a CISA-ADP atribuem nota 9.8 no CVSS 3.1, mas o registro não indica inclusão no KEV nem exploração confirmada nas fontes consultadas. Versões corrigidas não constam no registro disponível, por isso o aviso do fornecedor deve ser consultado.
Visão geral
A CVE-2026-22585 é uma falha crítica no Salesforce Marketing Cloud Engagement, classificada como CWE-327 (Uso de Algoritmo Criptográfico Quebrado ou Arriscado). Segundo o registro, a falha afeta os módulos CloudPages, Forward to a Friend, Profile Center, Subscription Center, Unsub Center e View As Webpage e permite Manipulação de Protocolo de Serviços Web.
Impacto
A CNA e a CISA-ADP atribuem nota 9.8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve falha acessível pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Os dados SSVC do registro classificam o impacto técnico como total e a automatização como sim. Esses valores vêm do registro e não foram verificados de forma independente em relação ao aviso do fornecedor.
Produtos e versões afetadas
- Produto: Salesforce Marketing Cloud Engagement
- Afetado: antes de 2026-01-21, conforme a lista de afetados do registro
- Versões corrigidas: não constam no registro disponível
O registro expressa o limite afetado como data. Verifique no aviso do fornecedor o escopo exato da correção para o seu ambiente.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA no registro, e a exploração no SSVC está indicada como nenhuma. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00425, com percentil 0.35771, datada de 2026-10-23 no registro. O EPSS estima probabilidade e não confirma atividade.
Correção e mitigação
- Revise o aviso do fornecedor vinculado no registro e confirme se o seu ambiente do Marketing Cloud Engagement está dentro do escopo informado.
- Confirme com o fornecedor que a alteração da plataforma que trata este problema foi aplicada ao seu ambiente, já que nenhuma versão corrigida consta no registro.
- Quando as necessidades do negócio permitirem, limite a exposição dos módulos listados e revise quem pode acessá-los e configurá-los.
- Acompanhe o aviso para atualizações.
Orientações de detecção
- Revise os logs de acesso a serviços web e módulos em busca de padrões de requisição incomuns direcionados aos módulos listados, em nível geral.
- Observe alterações de configuração inesperadas em CloudPages e recursos ligados a assinaturas.
- Encaminhe anomalias ao canal de suporte do fornecedor e à sua equipe de resposta a incidentes.
Limitações das informações disponíveis
O registro não inclui versão corrigida, descrição técnica detalhada da fraqueza criptográfica nem medidas alternativas além do link do aviso. O nome da CWE descreve a classe da fraqueza, não o algoritmo específico envolvido. O título estava ausente na fonte e foi escrito a partir da descrição. Não é possível saber, pelo registro, se os clientes precisam tomar medidas além das alterações da plataforma.
Perguntas frequentes
A CVE-2026-22585 está confirmada como explorada ativamente?
Não. O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões do Salesforce Marketing Cloud Engagement são afetadas?
O registro indica produto afetado antes de 2026-01-21. Não há versão corrigida informada no registro disponível, por isso o aviso do fornecedor deve ser consultado.
Qual é a gravidade desta vulnerabilidade?
A CNA e a CISA-ADP atribuem pontuação base CVSS 3.1 de 9.8, classificada como crítica no registro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.