CVE-2026-74876: openssl_encrypt anterior à 1.4.0: bundles de chaves sem verificação de assinatura
Versões do Jahlives openssl_encrypt anteriores à 1.4.0 criam bundles de chaves a partir de dados não confiáveis em PublicKeyBundle.from_dict() sem verificar assinaturas, classificado como CWE-347. O registro associa a falha a possível exposição de segredos, com pontuação CVSS 3.1 de 9.8 (Crítica). Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve uma falha nas versões do openssl_encrypt anteriores à 1.4.0 em PublicKeyBundle.from_dict(), que cria bundles de chaves a partir de dados não confiáveis sem verificar assinaturas (CWE-347). A falha é identificada como CVE-2026-74876 e foi publicada em 17/08/2026.
Impacto
- Segundo o registro, dados podem ser criptografados para chaves públicas controladas por um atacante, o que pode levar ao vazamento de segredos.
- A pontuação base CVSS 3.1 é 9.8 (Crítica), com alto impacto de confidencialidade, integridade e disponibilidade no vetor.
- O registro também informa uma pontuação CVSS 4.0 de 9.3.
Produtos e versões afetadas
- Jahlives Openssl Encrypt, versões inferiores à 1.4.0. O registro não informa builds corrigidos exatos além da referência ao aviso do fornecedor.
Status de exploração
- O campo do catálogo KEV da CISA no registro indica que a falha não está listada. Nenhuma exploração confirmada aparece nas fontes consultadas.
- A exploração SSVC está registrada como none e a automatização como yes. A probabilidade EPSS é 0.00348, com percentil 0.26527.
Correção e mitigação
- Identifique implantações do openssl_encrypt abaixo da 1.4.0 e planeje a atualização para a 1.4.0 ou superior, conforme o aviso do fornecedor.
- Até a atualização, evite importar bundles de chaves de fontes não confiáveis e não confie nas saídas de from_dict() sem verificar independentemente a titularidade das chaves.
- Considere como potencialmente expostos os segredos criptografados para chaves obtidas de bundles não confiáveis e renove o material sensível quando apropriado.
Orientação para detecção
- Revise inventários de software e manifestos de dependências em busca de instalações do openssl_encrypt e suas versões.
- Audite fluxos de aplicação que importem bundles de chaves vindos de origens externas ou não confiáveis.
Limitações das informações disponíveis
- O registro traz apenas uma descrição técnica curta e não informa uma string exata de versão corrigida.
- O registro classifica a referência de correção como mitigação; o aviso do fornecedor deve ser consultado para confirmar se há versão corrigida disponível.
- A data do EPSS no registro é posterior à data de publicação; os valores são reportados como constam no registro.
Perguntas frequentes
Quais versões são afetadas pelo CVE-2026-74876?
O registro indica o Jahlives Openssl Encrypt em versões inferiores à 1.4.0. Não há builds corrigidos exatos além do aviso do fornecedor.
Há registro de exploração ativa dessa falha?
O campo do catálogo KEV da CISA no registro indica que a falha não está listada, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.