CVE-2026-22906: Armazenamento de credenciais com AES-ECB e chave fixa no código, expondo usuários e senhas (CWE-321)

Visão geral

A CVE-2026-22906 descreve credenciais de usuários armazenadas com criptografia AES-ECB e uma chave fixa no código, classificada como CWE-321 (uso de chave criptográfica codificada). O registro foi publicado em 09/02/2026 pelo CNA info@cert.vde.com, com status de fonte registrado como Deferred. A principal referência do fornecedor é o aviso VDE-2026-004.

Impacto

Segundo o registro, um atacante remoto não autenticado que obtenha o arquivo de configuração consegue descriptografar e recuperar nomes de usuário e senhas em texto claro.
O registro afirma que a exposição é especialmente relevante quando combinada com um bypass de autenticação. Esse bypass é citado, mas não descrito nos dados disponíveis.
O CNA atribui pontuação base CVSS 3.1 de 9.8 (severidade crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Produtos e versões afetadas

O registro não contém lista de produtos, fornecedores ou versões afetadas. O escopo afetado não pode ser determinado com os dados consultados.
Nenhuma versão corrigida é listada. Isso não significa que não exista correção; significa que o dado está ausente. Consulte o aviso do fornecedor para detalhes por produto.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, portanto não há exploração ativa confirmada nas fontes consultadas.
O EPSS indica probabilidade de 0.00358 e percentil de 0.27722, com data 2026-10-13. Esses valores estimam a probabilidade de exploração, mas não a confirmam.

Correção e mitigação

Revise o aviso VDE-2026-004 para identificar os produtos afetados e a orientação oficial de correção.
Considere que credenciais armazenadas nos arquivos de configuração afetados podem estar comprometidas. Troque usuários e senhas após aplicar a atualização ou a medida de contorno do fornecedor.
Restrinja o acesso a arquivos de configuração e backups às contas mínimas necessárias, mantendo-os fora de sistemas acessíveis publicamente.
Limite a exposição de rede das interfaces de gerenciamento afetadas até que a orientação do fornecedor seja aplicada.
Planeje a migração para armazenamento com gestão de chaves e modo autenticado, em vez de chaves fixas e modo ECB, conforme orientação do fornecedor.

Orientações de detecção

Mapeie os sistemas que usam o produto afetado e monitore quem acessa ou baixa arquivos de configuração.
Revise logs em busca de requisições não autenticadas que alcancem recursos de configuração ou endpoints de autenticação.
Gere alertas para alterações inesperadas em arquivos de configuração e para anomalias de autenticação.

Limitações das informações disponíveis

Não há nomes de produtos, versões afetadas ou versões corrigidas no registro.
O campo de nome do CWE está vazio no registro; a classe CWE é conhecida apenas pelo identificador.
O bypass de autenticação mencionado na descrição não é identificado nem descrito.
Não há dados SSVC disponíveis.
A data do EPSS foi registrada como fornecida e não foi verificada de forma independente.

Perguntas frequentes

Qual é a principal fraqueza da CVE-2026-22906?

As credenciais de usuários são cifradas com AES-ECB usando uma chave fixa no código, então quem obtiver o arquivo de configuração pode conseguir recuperar nomes de usuário e senhas em texto claro.

Há confirmação de exploração ativa desta CVE?

Não. O catálogo KEV da CISA não a lista, portanto não há exploração ativa confirmada nas fontes consultadas.

Quais versões são afetadas e qual é a correção?

O registro não lista versões afetadas nem corrigidas. Consulte o aviso do fornecedor VDE-2026-004 para detalhes por produto e a correção oficial.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.