CVE-2026-27588: Caddy: contorno por diferença de maiúsculas e minúsculas no host matcher com listas grandes

Visão geral

O Caddy é uma plataforma de servidor extensível que usa TLS por padrão. Segundo o registro, o matcher de requisições HTTP por host é documentado como sem distinção de maiúsculas e minúsculas, mas, com mais de 100 entradas de host, passa a se comportar como sensível a elas por causa de um caminho de correspondência otimizado. A falha é identificada como CVE-2026-27588 e classificada como CWE-178.

Impacto

O registro informa que um atacante pode contornar o roteamento baseado em host e quaisquer controles de acesso ligados à rota afetada alterando a grafia do cabeçalho Host. O vetor CVSS 3.1 da NVD é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, que indica acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade.

Produtos e versões afetadas

• Produto listado no registro: Caddyserver Caddy.
• Intervalo afetado: de 2.10.2 até antes de 2.11.1, e o registro também traz a condição de versões anteriores a 2.11.1.
• Correção: 2.11.1, conforme a descrição e a referência de lançamento.

O campo de correções do registro está vazio, então a correção foi identificada pela descrição e pela tag de lançamento, e não por uma entrada estruturada.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro, portanto não há exploração ativa confirmada nas fontes consultadas. Os campos SSVC indicam exploração em estágio de prova de conceito (poc) e automatizável (yes), e a probabilidade EPSS é 0,00604. A referência de aviso do GitHub traz a tag Exploit nos metadados, mas essa tag, sozinha, não confirma exploração na prática.

Correção e mitigação

• Atualize o Caddy para a versão 2.11.1 ou posterior, que o registro identifica como a versão com a correção.
• Verifique se alguma rota depende apenas do matcher de host para restringir acesso e adote defesa em profundidade, como autenticação na camada da aplicação.
• O registro não descreve um contorno confirmado pelo fornecedor. Qualquer mudança no tamanho da lista de hosts deve ser validada com o fornecedor antes de ser usada.

Orientação para detecção

• Revise os logs de acesso em busca de requisições a rotas protegidas cuja grafia do cabeçalho Host difira dos nomes configurados.
• Correlacione acessos inesperados a rotas restritas com variações do cabeçalho Host em nível geral, sem construir testes a partir deste registro.

Limitações das informações disponíveis

O registro não traz a descrição técnica detalhada do fornecedor sobre o caminho de correspondência otimizado, nem um nome para o CWE, nem uma entrada estruturada de versão corrigida. A pontuação CVSS 4.0 de 7.7 do GitHub difere da pontuação CVSS 3.1 de 9.1 da NVD, e o registro não explica a diferença. A data EPSS do registro deve ser considerada como fornecida pela fonte, sem verificação independente.

Perguntas frequentes

Qual é o problema central do CVE-2026-27588?

Segundo o registro, o matcher de host do Caddy é documentado como sem distinção de maiúsculas e minúsculas, mas passa a diferenciá-las com mais de 100 entradas de host, o que pode permitir contornar o roteamento e os controles de acesso baseados em host.

Qual versão corrige o problema?

O registro identifica a versão 2.11.1 como a que contém a correção. As versões de 2.10.2 até antes de 2.11.1 aparecem como afetadas.

Há exploração ativa conhecida?

Não. O catálogo KEV da CISA não lista o problema no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Por que as pontuações CVSS diferem?

O registro mostra CVSS 3.1 de 9.1 pela NVD e CVSS 4.0 de 7.7 pelo GitHub. O registro não explica a diferença entre as duas avaliações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.