CVE-2026-26138: Vulnerabilidade de SSRF com Elevação de Privilégio no Microsoft Purview
A CVE-2026-26138 é uma falha de server-side request forgery no Microsoft Purview que, segundo a descrição, permite a um atacante não autorizado elevar privilégios pela rede. A NVD atribui nota 10 (crítica), enquanto provedores associados à Microsoft listam 8.6. Nenhuma exploração confirmada aparece nas fontes consultadas, e a CVE não consta no catálogo CISA KEV.
Visão geral
A CVE-2026-26138 está registrada como um problema de server-side request forgery (SSRF, CWE-918) no Microsoft Purview. O registro indica que um atacante não autorizado na rede pode elevar privilégios. O aviso do fabricante está publicado pelo Microsoft Security Response Center.
Impacto
- A nota base da NVD é 10 (crítica), com vetor que indica alto impacto em confidencialidade, integridade e disponibilidade, sem exigência de privilégios ou interação do usuário.
- Provedores associados à Microsoft listam nota 8.6 para o mesmo registro, portanto a avaliação de severidade difere entre fontes.
- O impacto real em cada ambiente depende da configuração, que as fontes consultadas não descrevem.
Produtos e versões afetadas
- Produto: Microsoft Purview.
- As fontes não especificam faixas de versões afetadas, e o registro não lista versões corrigidas. Consulte o aviso do fabricante para a lista oficial de compilações afetadas.
Status de exploração
O CISA KEV não lista esta CVE, e o campo de exploração do SSVC está registrado como none. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. Esta avaliação pode mudar conforme novas informações forem publicadas.
Correção e mitigação
- Revise o aviso da Microsoft e aplique a atualização fornecida pelo fabricante em sua implantação do Microsoft Purview assim que a aplicabilidade for confirmada.
- Limite a exposição de rede dos componentes do Purview a segmentos confiáveis até que as correções sejam validadas.
- Restrinja o acesso de saída dos serviços do Purview apenas aos destinos necessários, o que reduz o alcance de abusos do tipo SSRF.
Orientação para detecção
- Monitore os logs dos serviços do Purview em busca de requisições de saída inesperadas para endereços internos ou endpoints de metadados.
- Gere alertas para alterações de privilégios ou novas atribuições administrativas ligadas às contas de serviço do Purview.
- Correlacione fluxos de rede incomuns originados de hosts do Purview com eventos de identidade e auditoria.
Limitações das informações disponíveis
O registro não lista faixas de versões afetadas, versões corrigidas ou condições técnicas detalhadas. As notas diferem entre a NVD e provedores associados à Microsoft. Os valores de EPSS constam no registro, mas são probabilísticos e não confirmam exploração.
Perguntas frequentes
Que tipo de falha é a CVE-2026-26138?
O registro a classifica como server-side request forgery, associada ao CWE-918, no Microsoft Purview.
Há exploração ativa conhecida desta CVE?
Não. Ela não consta no CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
As fontes consultadas não especificam versões afetadas, e o registro não lista versões corrigidas. Consulte o aviso da Microsoft para detalhes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.