CVE-2026-78357: OTRS: tokens JWT continuam válidos após desativação de conta ou troca de senha (CWE-613)

Visão geral

O CVE-2026-78357 é uma falha de expiração de sessão insuficiente (CWE-613) no OTRS, publicada pelo próprio OTRS como CNA. Quando uma conta de agente ou de usuário cliente é desativada, ou quando a senha do usuário é alterada, os tokens JWT já emitidos não são invalidados de imediato. Eles continuam válidos até a expiração normal, que, segundo o fabricante, pode chegar a cerca de 16 horas.

Impacto

Quem já possui um token válido continua usando o OTRS com os privilégios do usuário afetado, mesmo depois da desativação da conta ou da troca de senha. Isso enfraquece uma medida básica de resposta a incidentes: bloquear um usuário comprometido ou desligado não encerra as sessões que ele já tem.

Tokens de usuários clientes ficam restritos às permissões da conta de cliente.
Tokens de agentes podem dar acesso a funções mais amplas de tickets, clientes ou administração, conforme as permissões atribuídas.

A falha, sozinha, não permite obter tokens. É preciso ter em mãos um token emitido anteriormente e ainda válido. O CNA atribuiu nota 9.1 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Esse vetor indica que nenhum privilégio é necessário. Na prática, o risco depende da probabilidade de roubo de tokens ou de retenção de acesso por pessoas internas no seu ambiente.

Produtos e versões afetados

De acordo com o registro do CVE, o OTRS (OTRS GmbH, antiga OTRS AG) é afetado nas versões:

7.0.x
8.0.x
2023.x
2024.x
2025.x
2026.x até 2026.6.x, inclusive

A descrição afirma que versões 2026.x "anteriores a 2026.7.X" são afetadas. Isso sugere que a linha 2026.7.x é a primeira sem a falha, mas o registro não traz uma versão corrigida explícita.

Status de exploração

A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. O EPSS estima probabilidade de cerca de 0,3% (percentil próximo de 21%) em 2026-10-13.

Correção e mitigação

Consulte o boletim do fabricante OTRS Security Advisory 2026-14 e atualize para a versão indicada como corrigida. Pela faixa afetada, o alvo provável é uma versão 2026.7.x.
As linhas mais antigas (7.0.x, 8.0.x, 2023.x, 2024.x, 2025.x) aparecem como afetadas. Verifique no boletim qual é o caminho de atualização para cada uma.
Até aplicar a correção, considere que uma conta desativada pode manter acesso por até cerca de 16 horas. Em incidentes, avalie contenção adicional, como restringir o acesso de rede à instância do OTRS ou rotacionar segredos de assinatura, caso sua implantação permita. Faça isso sempre conforme orientação do fabricante.
Reduza as permissões de agentes ao mínimo necessário, limitando o alcance de um token roubado.

Orientações de detecção

Depois de desativar uma conta ou redefinir uma senha, monitore os logs de acesso e da aplicação do OTRS em busca de atividade contínua associada ao usuário.
Observe requisições web ou de API com sessões existentes vindas de IPs ou user agents incomuns.
Cruze os registros de desligamento e de resposta a incidentes com a atividade no OTRS durante a janela de cerca de 16 horas de validade do token.

Limitações das informações disponíveis

O registro não traz versão corrigida explícita nem detalhes do patch além do link para o boletim do fabricante.
O status no NVD é "Received". O NVD ainda não publicou análise própria, e só está disponível a nota CVSS do CNA.
O registro não informa se o tempo de vida do token é configurável nem se existe alguma solução de contorno.

Perguntas frequentes

Um atacante pode usar esta falha para roubar tokens do OTRS?

Não. Segundo o fabricante, a falha não permite, sozinha, obter tokens. Ela apenas faz com que um token já obtido e ainda válido continue funcionando após a desativação da conta ou a troca de senha.

Por quanto tempo um usuário bloqueado pode manter o acesso?

Até a expiração normal do token, que segundo o fabricante pode chegar a aproximadamente 16 horas.

O CVE-2026-78357 está sendo explorado?

Ele não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Qual versão corrige o problema?

O registro aponta como afetadas as versões 2026.x anteriores a 2026.7.x, o que sugere que a 2026.7.x não é afetada. Como não há versão corrigida explícita, consulte o OTRS Security Advisory 2026-14.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.