CVE-2026-41586: fabric-sdk-java: desserialização Java sem ObjectInputFilter permite RCE

Visão geral

A CVE-2026-41586 é uma fraqueza de desserialização em código Java relacionado ao Hyperledger Fabric. Segundo o registro, Channel.java implementa readObject() e expõe deSerializeChannel(), que repassam arrays de bytes não confiáveis a ObjectInputStream.readObject() sem configurar um ObjectInputFilter. O registro classifica o problema sob a CWE-502.

Impacto

O registro descreve o padrão como um problema clássico de execução remota de código (RCE) por desserialização em Java.
O vetor da NVD indica vetor de rede, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade, com pontuação base 9.8.
A GitHub atribui 9.3 ao mesmo problema, em um esquema CVSS mais recente.
Os campos SSVC do registro marcam o problema como automatizável e com impacto técnico total.

Produtos e versões afetados

Produto citado no registro: Hyperledger Fabric.
Faixa afetada: das versões 1.0.0 até a 2.2.26, inclusive.
O título do registro menciona fabric-sdk-java, enquanto o campo de produto afetado cita Hyperledger Fabric. A relação exata entre esses pacotes deve ser confirmada no aviso do fornecedor.
O registro não informa uma versão corrigida. Sua única entrada do tipo remediação é uma referência de mitigação.

Estado de exploração

Segundo o registro, a CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O campo de exploração do SSVC está registrado como poc, que deve ser lido como indicador de maturidade de prova de conceito e não como evidência de ataques.
Uma referência está marcada como Exploit no registro. O conteúdo dela não estava disponível para esta análise.

Correção e mitigação

Mapeie todas as implantações que usam código do Hyperledger Fabric dentro da faixa indicada.
Como não havia patch publicamente disponível na publicação, siga a orientação de mitigação do aviso de segurança no GitHub.
Restrinja quais partes podem fornecer dados que chegam ao caminho de desserialização e isole componentes que processam dados de canais vindos de fontes não confiáveis.
Atualize assim que uma versão corrigida for publicada e valide-a contra o aviso do fornecedor.

Orientações de detecção

Revise logs e telemetria de rede dos componentes que tratam dados de canais, buscando entradas serializadas inesperadas ou erros de desserialização.
Monitore serviços Java relacionados ao Fabric em busca de processos filhos inesperados ou conexões de saída incomuns.
Trate atividade de processo não explicada nesses hosts como prioridade de investigação.

Limitações das informações disponíveis

O registro não informa versões corrigidas.
O registro não inclui o texto completo da orientação de mitigação.
A probabilidade EPSS é 0.00631, com percentil 0.49637, datada de 2026-10-23 no registro. Trata-se de uma estimativa de modelo e não de evidência de exploração confirmada.
O registro não descreve como dados não confiáveis chegam ao caminho de código afetado, por isso a exposição de uma implantação específica não pode ser determinada a partir dele.

Fontes: entrada da NVD e registro CVE.

Perguntas frequentes

Quais versões do Hyperledger Fabric são afetadas pela CVE-2026-41586?

O registro indica a faixa das versões 1.0.0 até a 2.2.26, inclusive. O registro não informa uma versão corrigida.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA no registro, portanto não há exploração ativa confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer agora?

Mapeie as implantações afetadas, siga a orientação de mitigação do aviso do GitHub vinculado, restrinja a chegada de dados não confiáveis ao caminho de desserialização e atualize quando houver versão corrigida verificada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.