CVE-2026-75854: ArcadeDB: plugin de protocolo Redis sem autenticação

Visão geral

A CVE-2026-75854 afeta o plugin de protocolo wire Redis do ArcadeDB, um produto de banco de dados da ArcadeData. Segundo o registro, as versões anteriores à 26.8.1 aceitam conexões no protocolo Redis sem exigir autenticação, o que é classificado como CWE-306 (Falta de Autenticação para Função Crítica). A VulnCheck atua como CNA e publicou o registro, e as páginas da NVD e do CVE Record também são citadas.

Impacto

O registro indica que atacantes não autenticados podem ler, gravar e excluir dados.
O registro indica que comandos podem ser executados contra qualquer banco de dados do servidor sem credenciais.
A VulnCheck atribui pontuação base 9.8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve alcance pela rede, ausência de privilégios exigidos, ausência de interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
O registro também traz pontuação 9.3 no CVSS 4.0.

Produtos e versões afetados

Produto: ArcadeData Arcadedb, versões inferiores à 26.8.1.
O registro não informa uma versão corrigida explicitamente. O limite superior da faixa afetada sugere que a 26.8.1 é a primeira versão não afetada, o que é uma inferência a ser confirmada no aviso do fornecedor.

Situação de exploração

Esta CVE não consta, no registro, no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
O valor de exploração SSVC no registro é poc, o que indica que pode haver material de prova de conceito disponível. Isso não é evidência de exploração no mundo real.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O registro indica probabilidade EPSS de 0.00887, com percentil de 0.5823.

Correção e mitigação

Planeje a atualização do ArcadeDB para a versão 26.8.1 ou superior, confirmando a versão correta no aviso do fornecedor.
Se a atualização não puder ser aplicada imediatamente, restrinja o acesso de rede à porta compatível com Redis apenas a hosts confiáveis.
Não exponha as portas do serviço de banco de dados diretamente a redes não confiáveis.
Se o plugin Redis não for necessário, considere desativá-lo como medida temporária.

Orientações de detecção

Inventarie as instâncias do ArcadeDB, suas versões e se o listener compatível com Redis está habilitado.
Revise os logs de rede em busca de conexões à porta vindas de origens inesperadas.
Verifique alterações ou exclusões de dados inesperadas e confirme que os backups estão atualizados e restauráveis.

Limitações das informações disponíveis

O registro não informa uma versão corrigida explícita.
O registro não descreve a configuração padrão do plugin nem se o listener vem habilitado por padrão.
Somente a pontuação do CVSS 4.0 é informada, sem a string do vetor.
O status da fonte é Deferred, e o conteúdo do aviso do fornecedor vinculado não fez parte do registro.
A data do EPSS (2026-10-13) é posterior à data de publicação (2026-08-18), por isso os valores EPSS devem ser interpretados com cautela.

Perguntas frequentes

Quais versões do ArcadeDB são afetadas pela CVE-2026-75854?

O registro indica as versões do ArcadeData Arcadedb inferiores à 26.8.1 como afetadas. Confirme o escopo exato no aviso do fornecedor.

Há exploração conhecida no mundo real?

O registro não inclui esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor poc do SSVC sugere que pode haver material de prova de conceito.

O que os administradores devem fazer agora?

Planeje a atualização para a 26.8.1 ou superior, restrinja o acesso de rede à porta compatível com Redis a hosts confiáveis, evite a exposição direta à internet e revise logs e backups em busca de alterações inesperadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.