CVE-2026-9158: Eclipse 4diac FORTE: use-after-free via comando DELETE de conexão manipulado
As versões 3.0.0 a 3.1.0 do Eclipse 4diac FORTE apresentam uma falha de use-after-free (CWE-416) no tratamento de comandos DELETE de conexão enviados à interface de gerenciamento. O NVD atribui nota 9.8 (CVSS v3.1), enquanto o CNA da Eclipse atribui 5.2 no CVSS v4.0. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-9158 é uma falha de segurança de memória no Eclipse 4diac FORTE. Segundo o registro, um comando DELETE de conexão especialmente elaborado, enviado à interface de gerenciamento, pode deixar um ponteiro pendente, fazendo com que comandos posteriores acessem memória já liberada. A fraqueza é classificada como CWE-416 (Use After Free). Os detalhes constam no item de advisory da Eclipse.
Impacto
O NVD atribui nota base CVSS v3.1 de 9.8 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: acesso pela rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Já o CNA da Eclipse atribui 5.2 no CVSS v4.0, o que mostra uma divergência relevante entre as avaliações. Condições de use-after-free costumam provocar travamentos e, em certos cenários, podem permitir corrupção de memória além da negação de serviço; o registro não esclarece qual resultado é viável neste caso. Como o 4diac FORTE é um runtime usado em ambientes de automação, uma falha pode afetar processos controlados.
Produtos e versões afetados
- Eclipse 4diac FORTE das versões 3.0.0 até 3.1.0 (inclusive)
Status de exploração
A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS.
Correção e mitigação
- Consulte o advisory da Eclipse e atualize para uma versão posterior à faixa afetada assim que o projeto confirmar a correção; o registro não indica a versão corrigida.
- Restrinja o acesso de rede à interface de gerenciamento do FORTE apenas a estações de engenharia confiáveis, com segmentação e regras de firewall.
- Não exponha dispositivos FORTE a redes não confiáveis ou à internet.
- Acompanhe o canal do fornecedor para novos patches.
Orientações de detecção
- Faça inventário dos sistemas com 4diac FORTE e identifique versões entre 3.0.0 e 3.1.0.
- Registre e alerte sobre conexões à interface de gerenciamento vindas de origens inesperadas, sobretudo as que enviam comandos de exclusão de conexão.
- Monitore travamentos ou reinícios inesperados do processo FORTE, que podem indicar tentativas de acionar a falha.
Limitações das informações disponíveis
O registro não informa versão corrigida, dados de EPSS ou SSVC, e traz apenas uma referência. A grande diferença entre a nota do NVD (9.8) e a do CNA (5.2) não é explicada, e o impacto prático além do acesso a memória liberada (por exemplo, execução de código) não é detalhado.
Perguntas frequentes
Quais versões do Eclipse 4diac FORTE são afetadas?
As versões 3.0.0 até 3.1.0, inclusive, segundo o registro.
A CVE-2026-9158 está sendo explorada ativamente?
Ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Por que existem duas notas de severidade diferentes?
O NVD atribuiu 9.8 no CVSS v3.1, enquanto o CNA da Eclipse atribuiu 5.2 no CVSS v4.0. O registro não explica a diferença.
Existe versão corrigida?
O registro não indica. Consulte o advisory da Eclipse e, enquanto isso, restrinja o acesso à interface de gerenciamento.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.