CVE-2026-26339: Injeção de argumento com execução remota de código no Hyland Alfresco Transformation Service

Visão geral

O Hyland Alfresco Transformation Service é afetado pela CVE-2026-26339, uma vulnerabilidade de injeção de argumento na funcionalidade de processamento de documentos. Segundo o registro, atacantes não autenticados podem alcançar execução remota de código. A CNA é a VulnCheck, e o comunicado de segurança do fornecedor cita esta CVE junto com a CVE-2026-26337 e a CVE-2026-26338.

Impacto

Confirmado pelo registro: a falha permite execução remota de código sem autenticação.
O registro indica pontuação CVSS base de 9,8 (crítica), com vetor que descreve alcance pela rede, baixa complexidade, nenhum privilégio ou interação do usuário exigidos e alto impacto em confidencialidade, integridade e disponibilidade.
Há ainda uma pontuação de 9,3 registrada em uma versão mais recente do CVSS.
Os dados SSVC indicam impacto técnico total e que o problema é automatizável.

Produtos e versões afetadas

Hyland Alfresco Community (Transform Core) e Hyland Alfresco Transform Core: versões anteriores à 5.2.4.
Hyland Alfresco Transform Service e Hyland Alfresco Transformation Service (Enterprise): versões anteriores à 4.2.3.
O campo de correções do registro está vazio. Os limites de correção acima são inferidos a partir dos intervalos afetados; confirme as builds exatas no comunicado do fornecedor.

Status de exploração

A CVE não consta no catálogo KEV da CISA; portanto, não se afirma exploração ativa aqui.
Não aparece exploração confirmada nas fontes consultadas.
A exploração no SSVC está registrada como none. A probabilidade EPSS é 0,01179, com percentil de 0,67454.

Correção e mitigação

Planeje a atualização para as versões corrigidas da sua linha de produto, em 5.2.4 ou superior para o Transform Core, ou 4.2.3 ou superior para o Transform Service, seguindo o comunicado do fornecedor.
Limite o acesso de rede aos serviços de transformação para que não sejam alcançáveis a partir de redes não confiáveis.
Até a aplicação da correção, reduza a exposição restringindo quais sistemas podem enviar documentos para processamento.

Orientações de detecção

Revise os logs de requisições de transformação de documentos em busca de parâmetros incomuns ou malformados vindos de origens inesperadas.
Observe processos filhos inesperados ou conexões de saída originadas pelo serviço de transformação.
Correlacione alertas com o inventário de ativos para confirmar quais instâncias executam versões afetadas.

Limitações das informações disponíveis

O CWE do registro é CWE-918 (Server-Side Request Forgery), o que difere da descrição de injeção de argumento; a classificação técnica permanece não resolvida.
Não há detalhes técnicos do vetor de injeção, e esta análise não os descreve.
Esta análise baseia-se no registro e não verifica o conteúdo do comunicado do fornecedor.

Perguntas frequentes

Esta falha exige autenticação para ser explorada?

O registro descreve a falha como permitindo que atacantes não autenticados alcancem execução remota de código, e o vetor CVSS indica que nenhum privilégio é necessário. Confirme isso no comunicado do fornecedor.

Quais versões são afetadas?

Segundo o registro, o Alfresco Community (Transform Core) e o Alfresco Transform Core são afetados em versões anteriores à 5.2.4, e o Alfresco Transform Service e o Alfresco Transformation Service (Enterprise) são afetados em versões anteriores à 4.2.3.

Há exploração conhecida desta vulnerabilidade na natureza?

A CVE não consta no catálogo KEV da CISA, e não aparece exploração confirmada nas fontes consultadas. A exploração no SSVC está registrada como none.

O que os administradores devem fazer agora?

Planejar a atualização para as versões corrigidas conforme o comunicado do fornecedor, restringir o acesso de rede aos serviços de transformação e revisar logs em busca de requisições incomuns enquanto a correção está pendente.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.