CVE-2026-26190: Milvus: acesso não autenticado à API REST na porta de métricas 9091

Visão geral

O Milvus é um banco de dados vetorial de código aberto criado para aplicações de IA generativa. Segundo o aviso do GitHub referenciado no registro, as versões anteriores a 2.5.27 e a partir de 2.6.0 até antes de 2.6.10 expõem por padrão a porta TCP 9091, e a API REST completa é servida na porta de métricas e gerenciamento sem autenticação. O registro classifica a fraqueza como CWE-306 (ausência de autenticação em função crítica).

Impacto

O registro indica que o acesso não autenticado permite executar operações de negócio, incluindo manipulação de dados e gerenciamento de credenciais.
Um endpoint de depuração de expressões usa um token padrão que o registro descreve como fraco e previsível, derivado de etcd.rootPath (padrão: by-dev), o que, segundo o registro, permite a avaliação arbitrária de expressões.
O vetor CVSS 9.8 associado (rede, baixa complexidade, sem privilégios, sem interação do usuário, alto impacto em confidencialidade, integridade e disponibilidade) indica um potencial de consequências severo.

Produtos e versões afetadas

Milvus (Milvus Milvus): anteriores a 2.5.27 e a partir de 2.6.0 até antes de 2.6.10.
Milvus-io Milvus: listado no registro com as mesmas faixas, anteriores a 2.5.27 e a partir de 2.6.0 até antes de 2.6.10.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não há exploração ativa confirmada nas fontes consultadas.
Os dados SSVC do registro classificam a exploração como prova de conceito e a automatização como possível. Trata-se de indicador de risco, não de confirmação de ataques em ambiente real.

Correção e mitigação

Atualize o Milvus para 2.5.27 ou 2.6.10 (ou release posterior na linha aplicável), conforme as notas de versão do fabricante.
Consulte o aviso do fabricante para as orientações de mitigação; o registro não inclui o texto completo.
Até concluir a correção, restrinja o acesso de rede à porta de métricas e gerenciamento, permitindo apenas hosts administrativos confiáveis, e evite expô-la a redes não confiáveis.

Orientações de detecção

Faça o inventário das implantações do Milvus e identifique versões abaixo das releases corrigidas.
Revise a exposição de rede da porta 9091 e sinalize instâncias acessíveis inesperadamente.
Analise os logs de acesso das interfaces de métricas e gerenciamento em busca de requisições de origens inesperadas.

Limitações das informações disponíveis

O registro não traz detalhes técnicos além da descrição e não confirma o comportamento exato da mitigação do fabricante.
O valor EPSS é uma estimativa estatística, não evidência de exploração.
A afetação de uma implantação específica depende da configuração, inclusive de a porta 9091 estar acessível.

Perguntas frequentes

Qual é o problema central da CVE-2026-26190?

Segundo o registro, o Milvus serve a API REST completa na porta de métricas e gerenciamento sem autenticação, então quem alcançar essa porta pode acessar operações de negócio.

Quais versões estão corrigidas?

O registro indica correção em 2.5.27 e 2.6.10. As faixas afetadas são anteriores a 2.5.27 e a partir de 2.6.0 até antes de 2.6.10.

Há exploração ativa conhecida?

O catálogo KEV da CISA não a lista no registro, portanto não há exploração ativa confirmada nas fontes consultadas. Os dados SSVC indicam que existe prova de conceito.

O que os administradores devem fazer primeiro?

Atualizar para uma versão corrigida e, até lá, restringir o acesso de rede à porta de métricas e gerenciamento a hosts administrativos confiáveis.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.