CVE-2026-25769: Wazuh Cluster: RCE por desserialização de dados não confiáveis

Visão geral

A CVE-2026-25769 é uma falha de desserialização de dados não confiáveis (CWE-502) no modo cluster do Wazuh, que usa arquitetura mestre/worker. O aviso do fabricante e o registro no NVD descrevem que ela permite execução remota de código no nó master quando um atacante alcança um nó worker.

Impacto

Segundo o registro, uma exploração bem-sucedida poderia conceder execução remota de código completa no nó master com privilégios de root.
Implantações que usam o modo cluster são descritas como afetadas, assim como organizações em que um nó worker seja comprometido por qualquer meio, como acesso inicial, ameaça interna ou ataque à cadeia de suprimentos.
O registro atribui pontuação CVSS base de 9.1 (crítica) e valor de impacto técnico total na avaliação SSVC.

Produtos e versões afetadas

Produto: Wazuh.
Faixa afetada segundo o registro: da versão 4.0.0 até a 4.14.2, inclusive.
Corrigida na versão 4.14.3 segundo a descrição do registro.
O registro não traz um campo separado de versão corrigida, por isso a informação de correção foi obtida da descrição e do aviso do fabricante.

Status de exploração

O registro indica kev.listed como falso, portanto não confirma exploração ativa nem exploração in the wild.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O valor de exploração SSVC no registro é poc, que interpretamos como indício de que já existe material de prova de conceito; trata-se de inferência e não de evidência de ataques.
A probabilidade EPSS no registro é 0.00972, com percentil de 0.61618.

Correção e mitigação

Atualize as implantações do Wazuh em modo cluster para a versão 4.14.3, conforme indicado no registro.
Até a correção, trate os nós worker como fronteira de confiança: restrinja quem pode acessá-los e administrá-los e verifique sua integridade.
Limite o impacto de um worker comprometido com privilégio mínimo e segmentação de rede entre workers e o master.
Consulte o aviso do fabricante para orientações completas.

Orientações de detecção

Monitore os nós worker quanto a atividade administrativa inesperada, software novo ou alterado e conexões de saída incomuns.
Revise os logs do nó master em busca de processos ou serviços inesperados relacionados à comunicação do cluster.
Audite a lista de nós worker registrados e investigue aqueles não reconhecidos.

Limitações das informações disponíveis

O registro não descreve em detalhes o caminho de código vulnerável, o ponto específico de desserialização nem os requisitos de autenticação.
O link do Google Drive no registro está marcado como quebrado e não foi utilizado como fonte.
A data do EPSS no registro (2026-10-23) é posterior à data de publicação e deve ser verificada na fonte.
O registro não informa se implantações fora do modo cluster são afetadas.

Perguntas frequentes

O que é a CVE-2026-25769?

É uma vulnerabilidade crítica de desserialização de dados não confiáveis (CWE-502) no modo cluster do Wazuh que, segundo o registro, pode levar à execução remota de código no nó master.

Quais versões são afetadas?

O registro descreve a faixa afetada como da versão 4.0.0 até a 4.14.2, inclusive, e informa que a versão 4.14.3 corrige o problema.

Esta vulnerabilidade está sendo explorada ativamente?

O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor poc do SSVC não é evidência de ataques reais.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.