CVE-2026-49261: Injeção de comando de SO no MariaDB Server via nome de nó joiner em wsrep_notify_cmd
Versões do MariaDB Server com wsrep_notify_cmd habilitado podem executar comandos de shell embutidos no nome de um nó joiner, segundo o registro. A NVD classifica a falha com 9.8 (crítica) e como CWE-78 (injeção de comando de SO). Há versões corrigidas listadas e a desativação de wsrep_notify_cmd é o workaround indicado.
Visão geral
A CVE-2026-49261 afeta o servidor MariaDB quando a opção wsrep_notify_cmd está habilitada. Segundo o registro, um nome de nó joiner pode carregar comandos de shell embutidos, que o servidor então executa. A fraqueza é classificada como CWE-78 (injeção de comando de SO).
Impacto
- O registro descreve a execução de comandos de shell no host do servidor.
- A NVD atribui 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade. Uma entrada do GitHub no registro atribui 10.
- Os dados SSVC do registro indicam exploração como none, automatizável como yes e impacto técnico total.
Produtos e versões afetadas
- Segundo a descrição, as versões afetadas são de 10.6.1 até 10.6.26, de 10.11.1 até 10.11.17, de 11.4.1 até 11.4.11, de 11.8.1 até 11.8.7, e 12.3.1, quando wsrep_notify_cmd está habilitada.
- A descrição informa correções nas versões 10.6.27, 10.11.18, 11.4.12, 11.8.8 e 12.3.2.
- O registro lista duas entradas de produto (Mariadb Mariadb e MariaDB Server) com intervalos equivalentes.
Status de exploração
A CVE não consta como listada no catálogo KEV da CISA no registro, portanto não há exploração ativa registrada ali. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS no registro é 0.01691, com percentil 0.7692.
Correção e mitigação
- Atualize para a versão corrigida da sua linha: 10.6.27, 10.11.18, 11.4.12, 11.8.8 ou 12.3.2.
- Se não for possível atualizar imediatamente, o workaround indicado é desativar wsrep_notify_cmd.
- Consulte o aviso de segurança no GitHub para detalhes do fornecedor.
Orientação para detecção
- Verifique se wsrep_notify_cmd está habilitada nas configurações do cluster Galera.
- Revise a nomenclatura dos nós e o registro de joiners em busca de caracteres inesperados ou incomuns.
- Monitore processos filhos inesperados iniciados pelo processo do servidor de banco de dados.
Limitações das informações disponíveis
- O registro não traz detalhes além da descrição sobre as condições exatas de disparo.
- O campo de correções do registro está vazio, então as versões corrigidas vêm da descrição e dos intervalos afetados.
- As pontuações CVSS diferem entre provedores no registro.
- Se um ambiente específico é alcançável por um atacante depende de detalhes que não constam no registro.
Perguntas frequentes
A CVE-2026-49261 está sendo explorada ativamente?
O registro mostra que ela não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual é o workaround se eu não puder atualizar?
A descrição indica que desativar wsrep_notify_cmd é o workaround para quem não puder atualizar.
Quais versões estão corrigidas?
Segundo a descrição, as correções estão nas versões 10.6.27, 10.11.18, 11.4.12, 11.8.8 e 12.3.2.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.