CVE-2026-25938: FUXA: Bypass de Autenticação com Execução Remota de Código pelo Plugin Node-RED
A CVE-2026-25938 é um bypass de autenticação no FUXA, uma aplicação web de visualização de processos (SCADA/HMI/dashboard), que permite a um atacante remoto não autenticado executar código arbitrário no servidor quando o plugin Node-RED está habilitado. Os problemas afetam versões a partir de 1.2.8 até antes de 1.2.11, e as fontes consultadas indicam correção na versão 1.2.11.
Visão geral
O FUXA é uma aplicação web de visualização de processos usada em contextos de SCADA, HMI e dashboards. Segundo o registro analisado, há um bypass de autenticação no FUXA, classificado como CWE-290 (Authentication Bypass by Spoofing), que pode ser explorado remotamente sem credenciais quando o plugin Node-RED está habilitado. O aviso do fornecedor e o commit de correção são citados no registro.
Impacto
- O registro descreve o possível resultado como execução de código arbitrário no servidor.
- A pontuação base da NVD é 9.8 (crítica). O registro do CNA do GitHub atribui 9.5 segundo o método de pontuação próprio dele.
- As métricas da NVD descrevem acesso pela rede, baixa complexidade de ataque, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- Os dados SSVC do registro classificam o impacto técnico como total e a vulnerabilidade como automatizável.
Produtos e versões afetados
- Produto: Frangoteam Fuxa.
- Faixa afetada: a partir de 1.2.8 até antes de 1.2.11.
- A exposição depende de o plugin Node-RED estar habilitado. O registro apenas informa essa condição como pré-requisito e não afirma que instalações sem o plugin estejam afetadas.
Status de exploração
- O registro indica que a vulnerabilidade não consta na lista KEV da CISA. Por isso, este relatório não afirma exploração ativa.
- Não aparece, nas fontes consultadas, nenhuma exploração confirmada no ambiente real.
- Os dados de EPSS do registro apontam probabilidade de 0.01483 e percentil de 0.73781.
- A exploração no SSVC está registrada como none.
Correção e mitigação
- Atualize o FUXA para a versão 1.2.11 ou superior, que é a versão ligada às notas de lançamento e ao commit de correção.
- Se a atualização imediata não for possível, avalie se o plugin Node-RED é necessário e desabilite-o onde não houver uso, como medida temporária de redução de risco.
- Restrinja o acesso de rede à interface do FUXA a redes confiáveis e segmentos de gestão, evitando exposição direta à internet.
- Consulte o aviso oficial para verificar orientações adicionais do fornecedor antes da implantação.
Orientações de detecção
- Faça o inventário de todas as instâncias do FUXA, registrando a versão e se o plugin Node-RED está habilitado.
- Revise os logs de acesso em busca de requisições inesperadas a funções administrativas ou relacionadas a plugins, vindas de origens desconhecidas.
- Monitore o host do FUXA quanto a processos filhos inesperados ou alterações em arquivos de configuração, que podem indicar atividade pós-comprometimento.
- Trate qualquer atividade de processo não explicada em um servidor FUXA como possível incidente e siga o processo de resposta interno.
Limitações das informações disponíveis
- O registro não fornece detalhes de prova de conceito, e este relatório não descreve passos de ataque.
- A existência de exploit público não é informada no registro e é desconhecida aqui.
- O registro traz uma data de EPSS de 2026-10-23, que deve ser verificada na fonte atual antes de uso na priorização.
- Não é informado no registro se versões anteriores fora da faixa indicada também são afetadas.
Perguntas frequentes
Quais versões do FUXA são afetadas pelo CVE-2026-25938?
Segundo o registro, as versões do FUXA a partir de 1.2.8 até antes de 1.2.11 são afetadas.
A vulnerabilidade é explorada no ambiente real?
O registro indica que a vulnerabilidade não consta na lista KEV da CISA, e não aparece nas fontes consultadas nenhuma exploração confirmada.
O problema se aplica se o plugin Node-RED estiver desabilitado?
O registro aponta o plugin Node-RED habilitado como condição para o impacto de execução remota de código. Instalações sem ele não são descritas como afetadas por essa condição.
Qual é a correção recomendada?
Atualize o FUXA para a versão 1.2.11 ou superior. Se isso não for possível de imediato, avalie a necessidade do plugin Node-RED e restrinja o acesso de rede à interface do FUXA.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.