CVE-2026-27960: OpenCTI escalonamento de privilégios e acesso não autenticado à API via conta admin padrão
Uma falha de escalonamento de privilégios no OpenCTI permite que atacantes não autenticados consultem a API como qualquer usuário existente, incluindo a conta admin padrão. O registro informa pontuação CVSS crítica de 9.8 e lista versões afetadas de 6.6.0 até antes de 6.9.13. A correção indicada é a versão 6.9.13, e a desativação da conta admin padrão é apresentada como solução de contorno.
Visão geral
A CVE-2026-27960 afeta o OpenCTI, uma plataforma de código aberto para gestão de conhecimento sobre inteligência de ameaças cibernéticas e observáveis. Segundo o registro, uma falha de escalonamento de privilégios permite que um atacante não autenticado consulte a API como qualquer usuário existente, incluindo a conta admin padrão. O registro classifica a fraqueza como CWE-287 (Autenticação Imprópria).
Impacto
- O registro descreve acesso à API sem autenticação, atuando como usuários existentes, inclusive a conta admin padrão.
- O vetor CVSS indica impacto alto em confidencialidade, integridade e disponibilidade, com pontuação base de 9.8 informada pelo GitHub.
- Os dados SSVC do registro indicam impacto técnico total e automatizável como sim.
Produtos e versões afetadas
- OpenCTI-Platform Opencti: listado como de 6.6.0 até antes de 6.9.13.
- Citeum Opencti: listado como de 6.9.0 até antes de 6.9.13.
- A descrição informa que as versões 6.6.0 até 6.9.12 são afetadas e que o problema foi corrigido na versão 6.9.13.
Status de exploração
Esta CVE não consta como listada no catálogo CISA KEV no registro, e o campo de exploração SSVC está definido como none. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Planeje a atualização para a versão 6.9.13, a versão corrigida indicada no registro.
- Como solução de contorno descrita no registro, desative a conta admin padrão usando a opção de configuração APP__ADMIN__EXTERNALLY_MANAGED.
- Consulte o aviso do fornecedor para detalhes completos: Aviso de segurança GitHub GHSA-6vvv-vmfr-xhrx.
Orientações de detecção
- Revise os logs de autenticação e de acesso à API em busca de atividade atribuída à conta admin padrão ou a outros usuários que não possam ser associados a sessões legítimas.
- Verifique acessos às instâncias do OpenCTI a partir de origens de rede inesperadas, especialmente instâncias acessíveis fora da rede interna.
- Confirme a versão implantada e a configuração da conta admin em cada instância, inclusive as que não são gerenciadas centralmente.
Limitações das informações disponíveis
- O registro não descreve em detalhes as condições técnicas da falha, e esta análise não tenta reproduzi-las.
- A entrada de correção no registro é do tipo mitigação, e nenhum commit de correção separado é listado.
- O registro informa pontuação CVSS de 9.8 por dois provedores, e valores EPSS são incluídos sem contexto adicional.
- A única referência no registro é o aviso do fornecedor.
Perguntas frequentes
O que é a CVE-2026-27960?
É uma vulnerabilidade de escalonamento de privilégios no OpenCTI que, segundo o registro, permite a um atacante não autenticado consultar a API como qualquer usuário existente, incluindo a conta admin padrão.
Quais versões do OpenCTI são afetadas?
O registro lista o OpenCTI-Platform Opencti de 6.6.0 até antes de 6.9.13, e o Citeum Opencti de 6.9.0 até antes de 6.9.13.
Existe correção ou solução de contorno?
O registro indica que o problema foi corrigido na versão 6.9.13. Também descreve a desativação da conta admin padrão com a configuração APP__ADMIN__EXTERNALLY_MANAGED como solução de contorno.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.