CVE-2026-85956: Progress MarkLogic Server - gerenciamento impróprio de privilégios em backup e restauração

Visão geral

A CVE-2026-85956 é uma falha crítica de gerenciamento impróprio de privilégios (CWE-269) nas operações de backup e restauração do Progress MarkLogic Server. Segundo o registro, um atacante remoto que já possua privilégios delegados de administrador de banco de dados pode executar operações de backup ou restauração em florestas fora do escopo de banco de dados para o qual está autorizado. O registro foi publicado em 12/10/2026 e seu status na fonte é Awaiting Analysis.

Impacto

A descrição indica que a falha pode levar a acesso não autorizado ou modificação de dados críticos para a segurança.
A Progress Software informa pontuação CVSS 3.1 base de 9.6, com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N, o que indica alto impacto em confidencialidade e integridade, sem impacto de disponibilidade declarado.
O registro não descreve quais dados específicos podem ser expostos nem as consequências de negócio em cada implantação.

Produtos e versões afetadas

Produto: Progress Software Corporation MarkLogic Server.
Faixas afetadas listadas: de 11.0.0 até antes de 11.3.7, e de 12.0.0 até antes de 12.1.0.
A descrição cita as versões 12.x anteriores à 12.1.0 e as versões 11.x anteriores à 11.3.7 como afetadas, o que corresponde às faixas listadas.
O registro não informa nenhuma versão corrigida. As versões 11.3.7 e 12.1.0 são as primeiras fora das faixas indicadas, o que é uma inferência a partir dos limites e não uma afirmação do fabricante sobre correção.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto a exploração ativa não é confirmada por essa fonte.
Não foi encontrada exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.00309 (percentil 0.21957), com data de 13/10/2026, o que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Revise o aviso do fabricante vinculado ao registro e identifique instâncias do MarkLogic Server dentro das faixas afetadas.
Planeje a atualização para uma versão fora das faixas afetadas, conforme indicado pelo fabricante. Confirme a versão exata corrigida no aviso antes de alterar sistemas em produção.
Até a correção, reduza o número de contas com privilégios delegados de administrador de banco de dados e avalie se cada delegação ainda é necessária.
Restrinja quem pode executar operações de backup e restauração e, quando possível, separe essas funções das demais funções administrativas.

Orientações de detecção

Revise logs de auditoria e de administração relativos a operações de backup e restauração, principalmente as que atingem florestas que a conta solicitante não administra normalmente.
Revise alterações recentes em papéis de administrador delegado e identifique concessões inesperadas.
Monitore volumes ou horários incomuns de atividade de backup e restauração.

Limitações das informações disponíveis

O registro não contém lista de versões corrigidas, detalhes de correção além do link do aviso nem detalhes técnicos além da descrição.
A pontuação e o vetor CVSS são informados pela Progress Software e pelo CNA, e o registro não inclui análise independente do NVD.
O escopo exato dos dados acessíveis pela falha não é descrito.
O registro está com status Awaiting Analysis, por isso as informações podem mudar.

Perguntas frequentes

O que é a CVE-2026-85956?

É uma falha de gerenciamento impróprio de privilégios nas operações de backup e restauração do Progress MarkLogic Server. Um atacante remoto com privilégios delegados de administrador de banco de dados poderia atuar em florestas fora do escopo autorizado.

Quais versões são afetadas?

O registro lista as faixas de 11.0.0 até antes de 11.3.7 e de 12.0.0 até antes de 12.1.0. Consulte o aviso do fabricante para confirmar a versão exata corrigida.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não aparece no catálogo KEV da CISA no registro, e não foi encontrada exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.