CVE-2026-40079: Cacti: injeção de comando do sistema operacional em escape_command()
As versões do Cacti 1.2.30 e anteriores são afetadas por uma falha de injeção de comando do sistema operacional (CWE-78), causada pela ausência de sanitização na função escape_command(). O problema foi corrigido na versão 1.2.31; o NVD classifica a severidade com 9.8 no CVSS 3.1, enquanto o CNA do GitHub atribui 8.6 no CVSS 4.0. A vulnerabilidade não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
O Cacti é um framework open source de gerenciamento de desempenho e falhas. A CVE-2026-40079 é uma fraqueza de injeção de comando do sistema operacional (CWE-78) que afeta as versões 1.2.30 e anteriores do Cacti. Segundo o registro, a função escape_command() em lib/rrd.php não sanitiza sua entrada, de modo que valores usados para montar a linha de comando de gráficos podem chegar ao shell sem escaping adequado. O fornecedor corrigiu o problema na versão 1.2.31.
Impacto
- O registro do NVD atribui pontuação base 9.8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando exploração pela rede e alto impacto em confidencialidade, integridade e disponibilidade.
- O CNA do GitHub lista pontuação 8.6 no CVSS 4.0.
- Inferência: uma injeção de comando bem-sucedida poderia permitir que um invasor executasse comandos do sistema operacional com os privilégios do processo do Cacti, o que pode expor o host e os dados conectados.
Produtos e versões afetadas
- Produto: Cacti Cacti
- Faixa afetada: < 1.2.31 (a descrição indica que as versões 1.2.30 e anteriores são vulneráveis)
- Corrigido na versão: 1.2.31
Status de exploração
- A CVE não consta no catálogo Known Exploited Vulnerabilities (KEV) da CISA, conforme o registro.
- Não há exploração confirmada no ambiente real nas fontes consultadas para esta análise.
- O registro não contém dados de EPSS.
Correção e mitigação
- Atualize o Cacti para a versão 1.2.31 ou posterior, conforme o aviso do fornecedor e o commit de correção.
- Revise o aviso de segurança no GitHub e o commit de correção para confirmar as alterações aplicadas ao seu ambiente.
- Se a atualização não puder ser feita imediatamente, inferência: restrinja o acesso de rede à interface web do Cacti a administradores confiáveis e limite quem pode criar ou editar templates de gráficos e variáveis de host.
- Trate os formatos de texto dos templates de gráficos como entrada não confiável até que a correção esteja implantada.
Orientações de detecção
- Revise os logs do servidor web e da aplicação Cacti em busca de requisições incomuns para as funções de geração de gráficos e de edição de templates.
- Monitore o host do Cacti em busca de processos filhos inesperados iniciados pelo processo PHP ou do servidor web.
- Audite os templates de gráficos e as variáveis de host existentes em busca de conteúdo incomum nos formatos de texto.
Limitações das informações disponíveis
- O registro não descreve com precisão as pré-condições ou os privilégios necessários além do vetor CVSS e da descrição.
- O registro não fornece pontuações EPSS, dados SSVC nem orientações específicas de KEV além da ausência de inclusão no catálogo.
- Não se sabe, pelo registro, se existem backports do fornecedor para outras linhas de versão.
- O campo de título do registro está vazio; o título desta análise foi elaborado a partir dos dados de CWE e produto.
Perguntas frequentes
Quais versões do Cacti são afetadas pela CVE-2026-40079?
O registro indica que as versões 1.2.30 e anteriores são vulneráveis, sendo a faixa afetada qualquer versão abaixo da 1.2.31.
A CVE-2026-40079 é explorada na prática?
A CVE não consta no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas para esta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.