CVE Intelligence
Análise Assistido por IA

CVE-2026-25776: Injeção de Código (CWE-94) no Movable Type da Six Apart Permitindo Execução de Script Perl Arbitrário

O Movable Type, da Six Apart Ltd., contém uma falha de injeção de código classificada como CWE-94 que pode permitir a execução de script Perl arbitrário por um atacante. A JPCERT/CC atribui pontuação base CVSS 3.0 de 9.8 (Crítica), e o CISA KEV não lista esta CVE. Produtos afetados e versões corrigidas devem ser confirmados no aviso do fornecedor.

Publicada em 24/10/2026 · Atualizada em 24/10/2026 · Read in English

Visão geral

O Movable Type, plataforma de publicação da Six Apart Ltd., apresenta uma falha de injeção de código (CWE-94) que pode permitir que um atacante execute script Perl arbitrário. O registro foi publicado em 2026-04-08 e analisado pela JPCERT/CC como CNA.

Impacto

  • A JPCERT/CC atribui pontuação base CVSS 3.0 de 9.8 (Crítica), com vetor CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
  • Também consta no registro uma pontuação CVSS 4.0 de 9.3.
  • A avaliação SSVC indica impacto técnico total e automação possível (sim).

Produtos afetados e versões

  • Estão listados Movable Type, Movable Type Advanced, Movable Type Premium, Movable Type Premium (Advanced Edition) e Movable Type Premium (MT8-based).
  • O registro inclui faixas de versões que chegam até 9.1.0, 9.0.6, 8.8.2, 8.0.9 e 2.14 (inclusive), conforme o produto.
  • As entradas são mistas e parcialmente sobrepostas, portanto o aviso do fornecedor deve ser usado como referência oficial.

Status de exploração

  • Esta CVE não consta no CISA KEV. Não há exploração confirmada nas fontes consultadas.
  • A avaliação SSVC registra exploração como none.
  • O registro informa probabilidade EPSS de 0.01004 e percentil de 0.62633.

Correção e mitigação

  • O registro não traz campo de versão corrigida. Consulte o aviso da Six Apart e a nota de lançamento do Movable Type.
  • Priorize a atualização para uma versão que o fornecedor marque como corrigida. A URL da nota de lançamento menciona 9.0.7, mas seu conteúdo não foi verificado aqui.
  • Até a correção, restrinja o acesso às interfaces administrativas e mantenha backups verificados conforme a política da sua organização.

Orientações de detecção

  • Revise os logs do servidor web e da aplicação em busca de requisições incomuns aos endpoints administrativos e dinâmicos do Movable Type.
  • Monitore alterações inesperadas em templates, plugins ou scripts no servidor.
  • Inventarie todas as instâncias do Movable Type, incluindo as edições Premium, pois são listadas como produtos separados.

Limitações das informações disponíveis

  • O registro não informa a versão corrigida nem as condições detalhadas de exploração.
  • O aviso do fornecedor e a página da JVN não foram consultados, portanto seu conteúdo não foi verificado.
  • A data do EPSS no registro (2026-10-23) é posterior à data de publicação e deve ser interpretada com cautela.

Perguntas frequentes

O que é a CVE-2026-25776?

É uma vulnerabilidade de injeção de código (CWE-94) no Movable Type, da Six Apart, que pode permitir a execução de script Perl arbitrário.

Qual é a gravidade?

A JPCERT/CC atribui pontuação CVSS 3.0 base de 9.8 (Crítica). O registro também informa pontuação CVSS 4.0 de 9.3.

Há exploração ativa?

O CISA KEV não lista esta CVE e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.