CVE-2026-27586: Caddy: autenticação mTLS de cliente falha aberta com arquivo CA ausente ou malformado

Visão geral

O Caddy é uma plataforma de servidor extensível que usa TLS por padrão. A CVE-2026-27586 descreve uma condição de falha aberta na autenticação de certificado de cliente mTLS. Quando o arquivo de certificado CA configurado está ausente, ilegível ou malformado, o servidor continua iniciando e aceita certificados de cliente assinados por qualquer CA confiável pelo sistema.

Impacto

O limite de confiança da CA privada, que o mTLS deve impor, pode ser contornado.
O servidor inicia sem erro, de modo que a configuração incorreta não fica visível na inicialização.
O registro classifica a falha como crítica, com pontuação base de 9.1 na NVD e 8.8 no GitHub.

Produtos e versões afetados

Produto: Caddy (Caddyserver Caddy).
Afetados: versões anteriores à 2.11.1.
Corrigido em: 2.11.1, conforme a descrição do registro e as notas de versão. O campo estruturado de correções do registro está vazio.

Status de exploração

O registro não lista esta CVE no catálogo CISA KEV, por isso não se afirma exploração ativa aqui.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A avaliação SSVC indica exploração em nível de prova de conceito e automatizável como sim, o que sugere a existência de material público de prova de conceito.
O registro inclui uma referência de terceiros marcada como relacionada a exploração. Seu conteúdo não foi usado nesta análise.

Correção e mitigação

Atualize o Caddy para a versão 2.11.1 ou posterior. O aviso do fornecedor é a fonte principal sobre este problema.
Até a atualização, confirme que todo arquivo CA referenciado nas diretivas mTLS existe, é legível e contém certificados válidos.
Valide a configuração do Caddy e os caminhos de arquivos nos pipelines de implantação, e verifique novamente após rotação de certificados ou alterações de permissão.
Restrinja as permissões dos pacotes de CA ao mínimo necessário e monitore alterações inesperadas.
Sempre que possível, adicione controles em nível de rede à frente dos serviços protegidos por mTLS como camada compensatória.

Orientações de detecção

Faça um inventário de todas as implantações que usam as opções trusted_ca_cert_file ou trusted_ca_certs_pem_files para mTLS.
Não dependa apenas dos logs de inicialização, pois o registro afirma que o servidor não indica a configuração incorreta.
Em um ambiente de teste controlado, confirme que clientes que apresentam certificados de CAs fora da cadeia de confiança pretendida são rejeitados.
Monitore a integridade e os eventos de acesso aos arquivos de certificados CA.

Limitações das informações disponíveis

O registro não descreve o caminho de código além dos dois erros suprimidos em ClientAuthentication.provision().
A lista estruturada de versões corrigidas está vazia, portanto a versão corrigida se baseia na descrição e na referência de versão.
A entrada CWE não tem nome no registro.
A data do EPSS no registro deve ser verificada antes do uso.
Não havia testes independentes nem dados de incidentes reais disponíveis para esta análise.

Perguntas frequentes

A CVE-2026-27586 é conhecida por ser explorada ativamente?

O registro não lista esta CVE no catálogo CISA KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados SSVC indicam status de prova de conceito, que é um nível diferente de evidência.

Qual versão do Caddy corrige o problema?

Segundo o registro, a versão 2.11.1 corrige a vulnerabilidade. As versões afetadas são as anteriores à 2.11.1, portanto a atualização para a 2.11.1 ou uma versão posterior é a correção recomendada.

Por que o problema é perigoso se o servidor inicia normalmente?

Como o servidor não informa a configuração incorreta, um arquivo CA ausente ou malformado pode permitir silenciosamente certificados de cliente de qualquer CA confiável pelo sistema. Os operadores podem não perceber até que o limite de confiança já tenha sido contornado.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.