CVE-2026-40044: Pachno 1.0.6 desserialização insegura via cache de arquivos levando à execução remota de código

Visão geral

A CVE-2026-40044 é descrita como uma vulnerabilidade de desserialização (CWE-502, Desserialização de Dados Não Confiáveis) no Pachno 1.0.6. Segundo o registro, arquivos de cache no diretório de cache têm nomes previsíveis e podem ser escritos por todos os usuários, e seu conteúdo é desserializado durante a inicialização do framework, antes das verificações de autenticação.

Impacto

O registro descreve execução arbitrária de código por atacantes não autenticados.
O vetor CVSS 3.1 informado pelo CNA (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) corresponde a uma pontuação base de 9.8, indicando alto impacto na confidencialidade, integridade e disponibilidade pela rede.
Uma pontuação CVSS 4.0 de 9.3 também é listada pelo mesmo provedor.

Produtos e versões afetados

O registro identifica o Pachno 1.0.6 como versão afetada.
O registro não inclui intervalos estruturados de versões afetadas ou corrigidas. Não é possível saber, com os dados disponíveis, se outras versões são afetadas.

Status de exploração

O CISA KEV não lista esta CVE no registro.
Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00882 (percentil 0.58083), que estima a probabilidade de exploração e não confirma atividade.

Correção e mitigação

O registro não informa correção do fornecedor. A ausência de versão corrigida não significa que não exista correção; administradores devem consultar o fornecedor e os avisos listados abaixo.
Restrinja a escrita no diretório de cache para que apenas a conta de serviço da aplicação possa gravar nele, evitando permissões de escrita para todos.
Revise como a aplicação armazena e carrega arquivos de cache, considerando mover o armazenamento para locais não acessíveis pela web nem compartilhados.
Isole a instância e limite a exposição de rede até que uma atualização ou mitigação verificada seja confirmada pelo fornecedor.

Orientação para detecção

Audite o diretório de cache em busca de arquivos com nomes inesperados, proprietários inesperados ou permissões que permitam escrita por outros usuários.
Monitore alterações no sistema de arquivos do diretório de cache e gere alertas para arquivos novos ou modificados fora da atividade normal da aplicação.
Revise os logs do servidor web e da aplicação em busca de requisições incomuns próximas ao momento em que os arquivos de cache mudaram.

Limitações das informações disponíveis

O registro tem título nulo e não contém dados de versões afetadas ou corrigidas.
Detalhes técnicos além da descrição só estão disponíveis nos avisos referenciados, que não foram revisados para este resumo.
O esquema de nomes dos arquivos de cache e o caminho exato do código vulnerável não são especificados no registro.
A análise se limita aos dados do registro.

Perguntas frequentes

O que é a CVE-2026-40044?

É uma vulnerabilidade de desserialização (CWE-502) relatada no Pachno 1.0.6, em que arquivos de cache podem conter objetos PHP serializados maliciosos processados antes da autenticação.

Esta CVE está sendo explorada ativamente?

O CISA KEV não a lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

O registro cita o Pachno 1.0.6. Não há intervalos estruturados de versões afetadas ou corrigidas, então outras versões são desconhecidas.

O que os administradores devem fazer agora?

Restringir a escrita no diretório de cache, revisar como os arquivos de cache são carregados, limitar a exposição de rede e consultar os avisos do fornecedor por uma atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.