CVE-2026-5965: Injeção de Comando do Sistema Operacional no NewSoftOA
O NewSoftOA, da NewSoft, apresenta uma falha crítica de injeção de comando do sistema operacional (CWE-78) que o CNA TWCERT/CC descreve como capaz de permitir que atacantes não autenticados executem comandos arbitrários no servidor. A pontuação CVSS 3.1 é 9.8, e o registro não traz versões afetadas nem corrigidas. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
O NewSoftOA, desenvolvido pela NewSoft, apresenta uma vulnerabilidade de injeção de comando do sistema operacional (CWE-78) catalogada como CVE-2026-5965. O registro descreve que atacantes não autenticados poderiam injetar comandos arbitrários do sistema operacional, executados no servidor.
Impacto
- A pontuação base CVSS 3.1 é 9.8 (Crítica), com alto impacto em confidencialidade, integridade e disponibilidade conforme o vetor.
- O CNA TWCERT/CC também informa uma pontuação CVSS 4.0 de 9.3.
- Inferência: se explorada, a execução de comandos no servidor poderia expor dados, permitir alterações no sistema ou interromper o serviço, dependendo dos privilégios do processo da aplicação e do ambiente de implantação.
Produtos e versões afetadas
- O registro não informa versões afetadas nem versões corrigidas do produto. Confirme as compilações afetadas exatas e eventuais versões corrigidas junto à NewSoft e no aviso do TWCERT/CC antes de tomar decisões.
Status de exploração
- A CVE não consta no catálogo KEV da CISA, conforme o registro.
- Não há exploração confirmada nas fontes consultadas. O registro inclui probabilidade EPSS de 0.02596 e percentil de 0.84937; o EPSS é uma estimativa estatística de probabilidade de exploração e não confirma atividade.
Correção e mitigação
- Faça o inventário de todas as instâncias do NewSoftOA, inclusive as acessíveis apenas pela rede interna.
- Consulte os avisos do TWCERT/CC para orientações do fornecedor e aplique qualquer atualização oficial da NewSoft após verificá-la.
- Enquanto não houver correção aplicada, restrinja o acesso de rede à aplicação a hosts confiáveis e limite os privilégios da conta de serviço que a executa.
- Revise o tratamento de entradas em integrações personalizadas com o produto.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições incomuns com metacaracteres de shell ou valores de parâmetros inesperados.
- Monitore processos filhos inesperados iniciados pelo serviço do NewSoftOA ou pelo usuário de execução.
- Observe novas conexões de saída e alterações inesperadas de arquivos no servidor da aplicação.
Limitações das informações disponíveis
- A descrição menciona atacantes locais, enquanto o vetor CVSS indica vetor de ataque pela rede. O registro não resolve essa inconsistência, por isso consulte os avisos.
- Versões afetadas, versões corrigidas e detalhes técnicos do ponto de injeção não constam no registro.
- O status de exploração além do registro no KEV e do valor EPSS é desconhecido.
Perguntas frequentes
O que é a CVE-2026-5965?
É uma vulnerabilidade de injeção de comando do sistema operacional (CWE-78) no NewSoftOA, da NewSoft. Segundo o registro, permite que atacantes não autenticados executem comandos arbitrários no servidor.
Qual é a gravidade?
A pontuação base CVSS 3.1 é 9.8 (Crítica), e o CNA também informa uma pontuação CVSS 4.0 de 9.3. Os valores seguem o que consta nas fontes consultadas.
Há uma correção confirmada ou lista de versões afetadas?
O registro não traz versões afetadas nem corrigidas. Consulte os avisos do TWCERT/CC e do fornecedor para orientações atualizadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.