CVE-2026-45158: OPNsense: injeção de comando via configuração DHCP controlada por atacante

Visão geral

A CVE-2026-45158 é uma vulnerabilidade crítica no OPNsense, uma plataforma de firewall e roteamento baseada em FreeBSD. O aviso descreve que entradas de usuário não sanitizadas são repassadas à configuração DHCP de uma interface configurada e tratadas por um script de shell. O registro associa o problema à CWE-88, listada como Argument Injection. A descrição e a classificação devem ser lidas em conjunto ao avaliar a fraqueza.

Impacto

O aviso indica que a falha pode permitir execução remota de código como root no sistema operacional subjacente. O registro traz pontuação base CVSS 9.1, com alto impacto em confidencialidade, integridade e disponibilidade, e o impacto técnico SSVC está registrado como total. O vetor indicado sugere que são necessários privilégios elevados e que não há necessidade de interação do usuário.

Produtos e versões afetadas

OPNsense Core: versões anteriores à 26.1.8, conforme a entrada de afetados do registro.
O registro traz uma segunda entrada de produto para o OPNsense com o mesmo limite, anterior à 26.1.8.
A versão corrigida é a 26.1.8, conforme a descrição.
O campo estruturado de correções do registro está vazio, por isso a versão de correção foi obtida do texto da descrição.

Status de exploração

O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração SSVC está registrado como none e o campo automatizável como no. A probabilidade EPSS registrada é 0,00822, com percentil 0,56918.

Correção e mitigação

Atualize as instalações do OPNsense para a versão 26.1.8 ou posterior, que contém a correção.
Faça um inventário de todos os firewalls com OPNsense, incluindo pares de alta disponibilidade e ambientes de laboratório, priorizando os que recebem configuração DHCP de administradores não confiáveis ou pouco confiáveis.
Restrinja o acesso administrativo à interface web e aos canais de gerenciamento a redes e contas confiáveis, com autenticação forte.
Revise quem pode alterar configurações de interfaces e DHCP e remova acessos desnecessários.

Orientações de detecção

Revise os registros de alteração de configuração em busca de modificações inesperadas nas configurações de interface ou DHCP.
Monitore processos inesperados, novas contas ou alterações em arquivos do sistema nos equipamentos OPNsense.
Compare as versões de firmware em execução com o inventário para confirmar a substituição de versões afetadas.
Considere encaminhar os logs de firewall e do sistema para um local centralizado, facilitando a investigação de atividade administrativa suspeita.

Limitações das informações disponíveis

O registro não traz análise técnica detalhada do script vulnerável nem as condições exatas de exploração além do que a descrição e o vetor informam. A lista de afetados usa apenas o limite anterior à 26.1.8, e o registro não confirma versões intermediárias afetadas. A data EPSS do registro é posterior à data de publicação e deve ser verificada na fonte. Informações sobre exploração fora das fontes consultadas são desconhecidas.

Perguntas frequentes

Quais versões do OPNsense são afetadas pela CVE-2026-45158?

O registro indica que versões anteriores à 26.1.8 são afetadas, e que a 26.1.8 contém a correção.

A CVE-2026-45158 é explorada na prática?

O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer primeiro?

Atualize as instalações afetadas do OPNsense para a 26.1.8 ou posterior e restrinja o acesso administrativo a redes e contas confiáveis enquanto planejam a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.