CVE-2026-39938: Cacti: Inclusão de Arquivo Local (LFI) Não Autenticada
A CVE-2026-39938 afeta as versões 1.2.30 e anteriores do Cacti, descritas como vulneráveis a inclusão de arquivo local não autenticada por meio de graph_theme e do hardening de serialização IPC do rrdtool. O GitHub classifica a falha como Crítica, com pontuação base CVSS 3.1 de 9.8, e informa que ela foi resolvida na versão 1.2.31. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
O Cacti é um framework de código aberto para gerenciamento de desempenho e falhas. O registro descreve uma inclusão de arquivo local (LFI) não autenticada nas versões 1.2.30 e anteriores, associada ao parâmetro graph_theme e ao hardening de serialização IPC do rrdtool. O registro classifica a fraqueza como CWE-22 (Path Traversal), e o fornecedor informa que o problema foi resolvido na versão 1.2.31.
Impacto
- O vetor CVSS 3.1 divulgado pelo GitHub classifica confidencialidade, integridade e disponibilidade como Altas, com pontuação base de 9,8 (Crítica).
- De acordo com o vetor, não são necessários privilégios nem interação do usuário.
- Um ataque bem-sucedido poderia expor arquivos do servidor além do que a aplicação pretende compartilhar. O alcance completo do impacto não é detalhado nas fontes consultadas.
Produtos e versões afetadas
- Produto: Cacti (fornecedor e produto registrados como Cacti Cacti).
- As versões 1.2.30 e anteriores são descritas como afetadas, e o registro indica a faixa afetada como anterior à 1.2.31.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA no registro consultado. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise. O registro não traz pontuação EPSS.
Correção e mitigação
- Atualize o Cacti para a versão 1.2.31 ou superior, conforme informado no aviso do fornecedor.
- Consulte o aviso GHSA-rm7p-qcqm-x5m6 no GitHub e o commit de correção 9871f0c para detalhes da mudança.
- Até que a atualização seja aplicada, restrinja o acesso de rede às interfaces web do Cacti a hosts e redes confiáveis. Trata-se de uma medida defensiva geral, não de uma recomendação do fornecedor.
Orientações de detecção
- Inventarie as instâncias do Cacti e identifique qualquer uma executando a versão 1.2.30 ou anterior.
- Revise os logs do servidor web e da aplicação em busca de valores incomuns em parâmetros relacionados a arquivos, incluindo graph_theme, e de referências a caminhos fora dos diretórios esperados.
- Monitore a conta de serviço do Cacti quanto a acessos inesperados a arquivos.
Limitações das informações disponíveis
- O registro não traz detalhes técnicos de reprodução, e esta análise também não os inclui.
- A descrição menciona brevemente o hardening de serialização IPC do rrdtool, mas a causa raiz precisa não é explicada nas fontes consultadas.
- O registro não informa se a correção foi aplicada (backport) a outras linhas de release.
- Não há dados de KEV, EPSS ou SSVC disponíveis além do vetor CVSS.
Perguntas frequentes
Quais versões do Cacti são afetadas pela CVE-2026-39938?
O registro informa que as versões 1.2.30 e anteriores do Cacti são afetadas, e a faixa afetada é listada como versões anteriores à 1.2.31.
A vulnerabilidade já foi corrigida?
Sim. O fornecedor informa que o problema foi resolvido na versão 1.2.31. Atualizar para essa versão ou superior é o principal passo de correção.
Esta CVE está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Qual é a severidade?
O GitHub classifica a falha como Crítica, com pontuação base CVSS 3.1 de 9,8 e vetor que indica acesso pela rede, baixa complexidade, ausência de privilégios e ausência de interação do usuário.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.