CVE-2026-25293: Autorização incorreta com estouro de buffer no firmware PLC da Qualcomm
A CVE-2026-25293 é uma falha crítica publicada pela Qualcomm como CNA, descrita como estouro de buffer causado por autorização incorreta no firmware PLC e classificada como CWE-863. O NVD atribui pontuação base 9,8 e outros provedores listados no registro indicam 9,6. O registro não mostra inclusão no catálogo KEV, nenhuma exploração confirmada nas fontes consultadas e nenhuma versão corrigida.
Visão geral
A CVE-2026-25293 foi publicada pela Qualcomm como CNA e é descrita como estouro de buffer devido a autorização incorreta no firmware PLC. A fraqueza está mapeada para a CWE-863 (Autorização Incorreta).
Impacto
- O NVD atribui pontuação base 9,8 (crítica), com vetor de ataque pela rede, sem necessidade de privilégios, sem interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
- Outros provedores listados no registro atribuem 9,6.
- Os dados SSVC do registro classificam o impacto técnico como total.
Produtos afetados e versões
- Qualcomm QCA7005 Firmware: a fonte não especifica as versões afetadas.
- Qualcomm Snapdragon: o registro lista o modelo QCA7005.
- O registro não contém versões corrigidas nem limites de versão.
Status de exploração
O registro mostra que esta CVE não consta no catálogo KEV da CISA. Não aparece exploração confirmada nas fontes consultadas. O SSVC indica exploração como nenhuma e automatizável como não. A probabilidade EPSS é 0,00182, com percentil de 0,07335.
Correção e mitigação
- Consulte o boletim de segurança da Qualcomm de maio de 2026 para orientações oficiais e eventuais atualizações de firmware.
- Faça o inventário de dispositivos que usam firmware QCA7005 ou produtos Snapdragon com esse modelo.
- Como medida defensiva geral, restrinja a exposição de rede das interfaces relacionadas a PLCs até que a orientação do fabricante seja confirmada.
Orientações de detecção
- Monitore dispositivos afetados quanto a travamentos, reinicializações ou comportamento inesperado do firmware.
- Analise registros em busca de tráfego incomum para interfaces de gerenciamento ou de comunicação do PLC.
Limitações das informações disponíveis
- O registro não lista versões afetadas ou corrigidas do firmware.
- A correspondência entre o firmware PLC mencionado na descrição e a entrada de firmware QCA7005 é uma inferência.
- O conteúdo do boletim do fabricante não estava disponível no registro, portanto os detalhes de correção não podem ser confirmados aqui.
Perguntas frequentes
A CVE-2026-25293 é conhecida por ser explorada ativamente?
O registro não a lista no catálogo KEV da CISA e não aparece exploração confirmada nas fontes consultadas. O SSVC indica exploração como nenhuma.
Quais versões são afetadas?
A fonte não especifica as versões afetadas do firmware Qualcomm QCA7005 e o registro não contém limites de versão para informar.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.