CVE-2026-53914: Desserialização insegura nos metadados do cache de build do JetBrains Kotlin

Visão geral

Versões do JetBrains Kotlin anteriores à 2.4.20 contêm uma fraqueza de desserialização insegura (CWE-502) nos metadados do cache de build. Segundo o registro, isso tornava possível a execução de código. A falha está descrita no registro CVE e na página de problemas corrigidos do fabricante.

Impacto

O NVD atribui pontuação base CVSS 3.1 de 9.8 (Crítica), com vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido e sem necessidade de interação do usuário, além de alto impacto na confidencialidade, integridade e disponibilidade.
A CNA JetBrains informa, no registro, uma pontuação CVSS 3.1 distinta de 6.7.
O impacto real em um ambiente de build depende de como os dados do cache são gerados e consumidos, o que as fontes não detalham.

Produtos e versões afetadas

Produto: JetBrains Kotlin.
Faixa afetada: versões anteriores à 2.4.20 (listadas como < 2.4.20).
O registro não traz um campo explícito de versão corrigida. O limite 2.4.20 sugere correção nessa versão, mas isso é uma inferência a ser confirmada com o fabricante.

Status de exploração

O registro indica que este CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

Inventarie projetos e ferramentas de build que utilizam Kotlin e identifique versões inferiores à 2.4.20.
Atualize para a versão 2.4.20 ou posterior, seguindo a orientação do fabricante na página de problemas corrigidos da JetBrains.
Até concluir as atualizações, restrinja quem e o que pode gravar em caches de build compartilhados e trate como não confiável o conteúdo de cache originado de fontes não verificadas.

Orientações de detecção

Revise os logs de build em busca de processos inesperados ou artefatos desconhecidos gerados durante operações de cache.
Monitore os agentes de build para conexões de saída inesperadas ou arquivos novos criados durante as compilações.
Revise os logs de acesso ao armazenamento de cache compartilhado em busca de gravações incomuns.

Limitações das informações disponíveis

O registro não traz detalhes técnicos do caminho de desserialização nem um campo explícito de versão corrigida.
Dados de EPSS e SSVC não estão disponíveis no registro.
As duas pontuações CVSS divergem, e ambas são reportadas conforme fornecidas por cada fonte.

Perguntas frequentes

Quais versões do JetBrains Kotlin são afetadas pelo CVE-2026-53914?

O registro indica as versões anteriores à 2.4.20 como afetadas. Não há campo explícito de versão corrigida, então confirme a correção no aviso do fabricante.

O CVE-2026-53914 está sendo explorado ativamente?

O registro não lista este CVE no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Por que este CVE tem duas pontuações CVSS?

O NVD informa CVSS 3.1 de 9.8, enquanto a CNA JetBrains informa CVSS 3.1 de 6.7. Ambas são exibidas conforme fornecidas por suas fontes.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.