CVE-2026-26030: Vulnerabilidade de execução remota de código no filtro InMemoryVectorStore do Microsoft Semantic Kernel
A CVE-2026-26030 é uma falha crítica de execução remota de código na funcionalidade de filtro do InMemoryVectorStore no SDK Python Microsoft Semantic Kernel, classificada como CWE-94 (Injeção de Código). O registro indica que versões anteriores à 1.39.4 são afetadas e que o problema foi corrigido na 1.39.4. As fontes disponíveis recomendam a atualização e, como medida provisória, evitar o uso do InMemoryVectorStore em produção.
Visão geral
A CVE-2026-26030 afeta o SDK Python Microsoft Semantic Kernel. De acordo com o registro, a falha está na funcionalidade de filtro do componente InMemoryVectorStore e pode levar à execução remota de código. O registro a classifica como CWE-94 (Injeção de Código) e a marca como crítica.
Impacto
As métricas CVSS do registro descrevem vetor de ataque pela rede, baixa complexidade, privilégios baixos exigidos, nenhuma interação do usuário e mudança de escopo, com alto impacto na confidencialidade, integridade e disponibilidade. Constam no registro pontuações de 9,9 e 10, ambas atribuídas por fontes do GitHub. Não há pontuação atribuída pelo NVD no registro.
Produtos e versões afetados
- Microsoft Semantic Kernel (SDK Python): versões anteriores à 1.39.4.
- O registro indica o intervalo afetado como inferior à 1.39.4. O limite inferior do intervalo não é informado.
Status de exploração
O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como nenhuma e automatizável como não. A probabilidade EPSS é 0,04134, com percentil de 0,90794.
Correção e mitigação
- Atualize os pacotes Python do Microsoft Semantic Kernel para a versão 1.39.4 ou posterior, conforme recomendado pelo aviso do fornecedor.
- Como solução alternativa indicada no aviso, evite usar o InMemoryVectorStore em cenários de produção até que a atualização seja aplicada.
- Revise as notas de versão e o pull request vinculado para confirmar o escopo da correção.
Orientações de detecção
- Faça o inventário das aplicações e ambientes que utilizam o SDK Python do Semantic Kernel e registre a versão instalada.
- Identifique serviços que utilizam o InMemoryVectorStore, especialmente aqueles que expõem a funcionalidade de filtro a entradas externas ou não confiáveis.
- Monitore processos de aplicação em busca de processos filhos, conexões de rede ou alterações de arquivos incomuns para o serviço.
Limitações das informações disponíveis
As fontes não descrevem os detalhes técnicos da falha, as condições exatas de entrada nem a lista completa de configurações afetadas. Não é possível determinar pelo registro se existe material público de prova de conceito. O limite inferior exato das versões afetadas não é informado. A data do EPSS no registro deve ser considerada com cautela ao avaliar a atualidade da pontuação.
Perguntas frequentes
Quais versões do Semantic Kernel são afetadas pela CVE-2026-26030?
De acordo com o registro, são afetadas as versões do SDK Python Microsoft Semantic Kernel anteriores à 1.39.4. O limite inferior do intervalo afetado não é informado nos dados disponíveis.
A CVE-2026-26030 é conhecida por ser explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer diante desta vulnerabilidade?
O aviso do fornecedor recomenda atualizar para a versão 1.39.4 ou superior. Como solução provisória, evite usar o InMemoryVectorStore em produção até que a atualização seja aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.