CVE-2026-9152: Falta de autenticação no SearchService do Altium 365 em endpoint SOAP legado (CWE-306)

Visão geral

O registro da CVE descreve uma falha de falta de autenticação (CWE-306) no SearchService do Altium 365. Um endpoint SOAP legado expõe operações sobre o índice de busca sem exigir autenticação, tokens de sessão ou verificação de identidade. Segundo a descrição, um atacante de rede que consiga referenciar o identificador do workspace de outro tenant pode alcançar o índice de busca desse workspace. Os detalhes vêm do registro da CVE no NVD e da página de avisos de segurança da Altium.

Impacto

O registro informa que uma exploração bem-sucedida pode permitir:

Leitura do conteúdo indexado do workspace, como dados de componentes, nomes de projetos e pastas e metadados de usuários.
Injeção, alteração ou exclusão de entradas do índice de busca.

O registro esclarece que os dados do vault subjacente não são afetados, mas a divulgação de informações sensíveis do workspace e a perda de integridade ou disponibilidade dos resultados de busca são possíveis. A CNA atribui pontuação 10 no CVSS v4.0, com alto impacto sobre confidencialidade, integridade e disponibilidade do sistema vulnerável e de sistemas subsequentes.

Produtos e versões afetados

O registro informa que implantações em nuvem do Altium 365 são afetadas e que o Altium Enterprise Server local não é afetado. O registro não lista versões afetadas ou corrigidas específicas, por isso a faixa exata de builds afetados do serviço em nuvem é desconhecida nas fontes consultadas.

Status de exploração

Esta CVE não consta, no registro, no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. Os dados de EPSS do registro indicam uma probabilidade estimada de exploração baixa na data do registro.

Correção e mitigação

Consulte a página de avisos de segurança fornecedor para verificar o status da correção do SearchService do Altium 365 e eventuais ações exigidas do cliente.
Confirme com o fornecedor se é necessária alguma ação em nível de workspace ou tenant, pois o registro não descreve nenhuma.
Considere o conteúdo do índice de busca dos workspaces como potencialmente exposto até que o fornecedor confirme o status de correção para o seu tenant.
Quando houver escolha, restrinja a exposição de rede de caminhos administrativos e de integração, e revise quais partes externas podem alcançar as integrações do seu tenant em nuvem.

Orientações de detecção

Revise os logs disponíveis de serviços em nuvem e de integrações em busca de requisições relacionadas à busca que não possam ser atribuídas a usuários autenticados ou integrações conhecidas.
Procure leituras em massa inesperadas ou alterações no conteúdo do índice de busca dos workspaces, se essa telemetria estiver disponível.
Correlacione eventuais anomalias com a orientação do fornecedor quando for publicada, já que o registro não descreve indicadores específicos.

Limitações das informações disponíveis

O registro não lista versões afetadas ou corrigidas, disponibilidade de correção, detalhes de contornos ou indicadores de comprometimento. O aviso do fornecedor citado no registro não foi analisado em detalhe para esta análise. As afirmações sobre o escopo em nuvem versus local vêm apenas da descrição do registro.

Perguntas frequentes

O que é a CVE-2026-9152?

É uma falha de falta de autenticação (CWE-306) no SearchService do Altium 365, em que um endpoint SOAP legado expõe operações do índice de busca sem autenticação, segundo o registro da CVE.

O Altium Enterprise Server local é afetado?

O registro da CVE informa que implantações em nuvem do Altium 365 são afetadas e que o Altium Enterprise Server local não é afetado.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.