CVE-2026-42569: phpVMS: Controle de Acesso Inadequado Expõe Recurso Legado de Importação

Visão geral

O phpVMS é uma aplicação PHP usada para executar e simular uma companhia aérea. Segundo o registro da CVE, versões anteriores à 7.0.6 contêm uma falha crítica que permitia acesso não autenticado a um recurso legado de importação. A fraqueza é classificada como CWE-284 (Controle de Acesso Inadequado), e o registro informa que ela foi corrigida na versão 7.0.6.

Impacto

• O vetor CVSS 3.1 informado pelo CNA é AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H, com pontuação base de 9.4 (severidade crítica).
• Conforme esse vetor, a falha é acessível pela rede, não exige privilégios nem interação do usuário, e tem impacto alto na integridade e na disponibilidade, e baixo na confidencialidade.
• O registro não detalha quais dados ou funções podem ser alcançados pelo recurso de importação.

Produtos e versões afetadas

• Versões do phpVMS anteriores à 7.0.6, conforme a descrição do registro.
• As listas de versões afetadas e corrigidas do registro estão vazias, por isso os intervalos vêm apenas da descrição.
• O registro cita, entre as referências, uma página de release da 7.0.7, mas não descreve seu conteúdo.

Status de exploração

Neste registro, a CVE não aparece no catálogo KEV da CISA. Não foi encontrada exploração confirmada nas fontes consultadas.

Correção e mitigação

• Atualize o phpVMS para a versão 7.0.6, que o registro identifica como versão corrigida. Consulte o aviso de segurança do fornecedor e a release 7.0.6.
• Quando a atualização imediata não for possível, restrinja o acesso de rede à instalação e limite quem pode acessar as funções administrativas e de importação até a aplicação da atualização.
• Revise o commit de correção para entender a mudança.

Orientações de detecção

• Revise os logs do servidor web e da aplicação em busca de requisições a caminhos de importação vindas de origens inesperadas ou sem sessão válida.
• Verifique alterações inesperadas em dados de companhias, pilotos ou voos e atividades de importação que os operadores não reconheçam.
• Compare a versão instalada com a 7.0.6 para confirmar a exposição.

Limitações das informações disponíveis

• O registro não traz descrição técnica detalhada da falha, portanto o ponto exato de acesso e as condições são desconhecidos.
• O registro não contém listas de versões afetadas ou corrigidas, e a pontuação CVSS informada vem somente do CNA do GitHub.
• O registro não informa se as versões 7.0.6 e posteriores foram testadas quanto a regressões, nem confirma a existência de exploit público.

Perguntas frequentes

Quais versões do phpVMS são afetadas pela CVE-2026-42569?

Segundo a descrição do registro, são afetadas as versões do phpVMS anteriores à 7.0.6. A lista de versões afetadas do registro está vazia, então nenhum intervalo mais preciso é confirmado.

A CVE-2026-42569 é conhecida por ser explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, e não foi encontrada exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.