CVE-2026-26125: Microsoft Payment Orchestrator Service - Elevação de Privilégio (CWE-306)
A CVE-2026-26125 é uma vulnerabilidade de elevação de privilégio no Microsoft Payment Orchestrator Service, classificada como ausência de autenticação em função crítica. O NVD a classifica como crítica, com pontuação base 9,8, enquanto as pontuações fornecidas pela Microsoft no registro são 8,6. O registro não indica exploração confirmada nem versões corrigidas.
Visão geral
A Microsoft publicou a CVE-2026-26125, um problema de elevação de privilégio no Payment Orchestrator Service. O registro classifica a fraqueza como CWE-306 (ausência de autenticação em função crítica). A CVE foi publicada em 05/03/2026 e a Microsoft atua como CNA.
Impacto
A pontuação base do NVD é 9,8 (crítica). O vetor do NVD descreve um ataque acessível pela rede, que não exige privilégios nem interação do usuário, com alto impacto na confidencialidade, na integridade e na disponibilidade. As pontuações fornecidas pela Microsoft no registro são 8,6. O registro não explica a diferença entre elas.
Produtos e versões afetadas
- Produto listado: Microsoft Payment Orchestrator Service.
- Faixas de versões afetadas: não especificadas pelas fontes consultadas.
- O registro não contém versões corrigidas.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Não há exploração confirmada nas fontes consultadas.
- O registro informa probabilidade EPSS de 0,01151 (percentil 0,66695) e valor SSVC de exploração igual a none.
Remediação e mitigação
- Consulte o aviso do Microsoft Security Response Center para orientações do fabricante: aviso MSRC.
- Faça o inventário de todas as implantações do Payment Orchestrator Service e compare-as com o aviso.
- Como a fraqueza envolve ausência de autenticação, limite o alcance de rede do serviço a componentes confiáveis até que haja orientação do fabricante.
- Priorize a análise, pois a pontuação base é crítica e os fluxos de pagamento são alvos de alto valor.
Orientações de detecção
- Analise os logs do serviço em busca de requisições a funções privilegiadas ou administrativas sem contexto de autenticação.
- Monitore alterações inesperadas na configuração de orquestração de pagamentos ou na atribuição de papéis.
Limitações das informações disponíveis
- Faixas de versões afetadas, builds corrigidos e detalhes técnicos não constam no registro.
- O conteúdo do aviso não foi analisado; apenas sua URL está registrada.
- O título fala em elevação de privilégio, enquanto a CWE fala em ausência de autenticação; a relação entre os dois é uma inferência.
Perguntas frequentes
O que é a CVE-2026-26125?
É uma vulnerabilidade de elevação de privilégio no Microsoft Payment Orchestrator Service, classificada como CWE-306, ausência de autenticação em função crítica.
Há registro de exploração desta CVE?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais versões são afetadas?
As fontes consultadas não especificam faixas de versões afetadas, e o registro não contém versões corrigidas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.