CVE-2026-5426: Digital Knowledge KnowledgeDeliver: machineKey fixa em ASP.NET/IIS permite execução remota de código via desserialização de ViewState
A CVE-2026-5426 descreve uma machineKey de ASP.NET/IIS fixa (hard-coded) em implantações do KnowledgeDeliver da Digital Knowledge anteriores a 24 de fevereiro de 2026. Segundo o registro, isso permite contornar a validação do ViewState e alcançar execução remota de código por meio de desserialização maliciosa do ViewState. A pontuação CVSS 3.1 base de 9,1 é classificada como crítica, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-5426 afeta implantações do Digital Knowledge KnowledgeDeliver anteriores a 24 de fevereiro de 2026. O registro descreve um valor de machineKey do ASP.NET/IIS codificado diretamente, o que compromete a validação do ViewState. A publicação ocorreu em 16 de abril de 2026 pelo CNA Mandiant, do Google, e o registro aguarda análise do NVD.
Impacto
- O registro afirma que a falha permite execução remota de código por meio de desserialização maliciosa do ViewState.
- O vetor CVSS 3.1 indica vetor de rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade.
- A classificação CWE é a CWE-321 (uso de chave criptográfica codificada diretamente).
Produtos e versões afetadas
- Produto: Digital Knowledge KnowledgeDeliver.
- Faixa afetada conforme descrita: implantações anteriores a 24 de fevereiro de 2026.
- O registro não fornece uma lista estruturada de versões afetadas nem de builds corrigidos.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, portanto essa fonte não confirma exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas.
Remediação e mitigação
- Consulte a página do fornecedor e a divulgação da Mandiant para orientações de atualização: aviso da Mandiant e blog do Google Cloud.
- Inventarie todas as instâncias do KnowledgeDeliver e confirme as datas de implantação em relação ao limite de 24 de fevereiro de 2026.
- Como a causa raiz é uma chave fixa, a correção geralmente exige a atualização do fornecedor ou uma mudança de configuração documentada que substitua a machineKey. Confirme a solução exata com o fornecedor.
- Restrinja a exposição de rede das aplicações web afetadas até que a remediação seja verificada.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições POST incomuns ou inesperadas com dados de ViewState, e de atividade de processos iniciada pelo processo de trabalho da aplicação.
- Monitore erros anômalos de desserialização do ViewState nos logs da aplicação.
Limitações das informações disponíveis
- O registro não inclui versões corrigidas, texto de aviso do fornecedor nem a lista exata de builds afetados.
- A fonte do CVSS é um identificador de provedor terceiro e a análise do NVD está pendente.
- Os valores de EPSS constam no registro, mas são uma estimativa probabilística e não evidência de exploração.
Perguntas frequentes
Qual é o problema central da CVE-2026-5426?
O registro descreve uma machineKey do ASP.NET/IIS codificada diretamente nas implantações do KnowledgeDeliver, que pode permitir contornar a validação do ViewState e alcançar execução remota de código por meio de desserialização maliciosa do ViewState.
Há exploração ativa conhecida?
O catálogo KEV da CISA não lista a falha no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro descreve implantações anteriores a 24 de fevereiro de 2026, mas não fornece uma lista estruturada de versões afetadas ou corrigidas. Confirme com o fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.