CVE-2026-77099: Injeção de comando no Commvault CVFS
A CVE-2026-77099 é uma falha crítica de validação de entrada no Commvault CVFS, classificada no registro como injeção de comando no sistema operacional (CWE-78). O registro informa pontuação CVSS 4.0 de 9.3 e lista faixas afetadas para Commvault Cloud e Grid(HSX) CVFS, mas não indica versões corrigidas. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-77099 afeta o Commvault CVFS e foi publicada pela Commvault na condição de CNA. O registro a classifica como injeção de comando no sistema operacional (CWE-78), decorrente de uma fraqueza na validação de entrada que afeta a execução de comandos. O aviso do fabricante está disponível em aviso de segurança da Commvault.
Impacto
O registro informa pontuação base CVSS 4.0 de 9.3 e um vetor que indica alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável. Os dados SSVC do registro classificam o impacto técnico como total e a automatização como sim. Essas são avaliações presentes no registro e não foram verificadas de forma independente nesta análise.
Produtos e versões afetadas
- Commvault Commvault Cloud: ≥ 11.46.0 e ≤ 11.46.29; ≥ 11.44.0 e ≤ 11.44.24; ≥ 11.40.0 e ≤ 11.40.77; ≥ 11.36.0 e ≤ 11.36.126
- Commvault Grid(HSX) CVFS: ≥ 5.0.1.0 e ≤ 5.0.14.4
O registro não lista versões corrigidas. A descrição orienta os clientes a atualizarem para uma versão de manutenção corrigida, mas não identifica qual é essa versão.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA e não possui valor EPSS. O campo de exploração SSVC está registrado como none. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Consulte o aviso do fabricante linkado acima e identifique a versão de manutenção que corrige o problema para cada linha de produto em uso.
- Atualize as implantações afetadas de Commvault Cloud e Grid(HSX) CVFS para a versão que o fabricante indicar como corrigida.
- Reduza a exposição dos sistemas afetados, quando operacionalmente viável, como endurecimento geral, até que a orientação do fabricante seja aplicada.
- Priorize este item devido à classificação crítica e ao impacto técnico total registrado no SSVC.
Orientações de detecção
- Revise inventários para identificar hosts que executem versões nas faixas afetadas.
- Monitore processos inesperados iniciados por serviços da Commvault e atividades administrativas incomuns, correlacionando-as com registros de mudança.
Limitações das informações disponíveis
O registro não descreve o componente vulnerável, as condições necessárias para exploração, as versões corrigidas nem o conteúdo do aviso. Não é possível saber, a partir deste registro, se existe alguma mitigação fornecida pelo fabricante além da atualização.
Perguntas frequentes
A CVE-2026-77099 está sendo explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA e o campo SSVC de exploração está como none. Nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões do Commvault são afetadas?
O registro lista faixas para Commvault Cloud e para Grid(HSX) CVFS. Consulte o aviso do fabricante para confirmar a aplicabilidade ao seu ambiente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.