CVE-2026-96408: Injeção de código no script de atualização do Six Apart Movable Type
A CVE-2026-96408 é uma falha de injeção de código no script de atualização do Six Apart Movable Type, descrita como capaz de permitir que um atacante não autenticado execute um script Perl arbitrário ou uma consulta SQL. O registro indica pontuação base CVSS 3 crítica de 9.4 atribuída pela JPCERT/CC, mas não há versão corrigida listada nem exploração confirmada nas fontes consultadas. Administradores das edições listadas devem verificar o aviso do fabricante e aplicar a atualização oficial assim que a versão corrigida for confirmada.
Visão geral
A CVE-2026-96408 afeta o script de atualização do Six Apart Movable Type. O registro a classifica como injeção de código (CWE-94) e afirma que um atacante não autenticado pode conseguir executar um script Perl arbitrário ou uma consulta SQL no produto afetado. O registro foi publicado em 07/10/2026 e seu status é Awaiting Analysis.
Impacto
- O vetor CVSS 3 do registro indica alto impacto em confidencialidade e integridade e baixo em disponibilidade, sem necessidade de privilégios nem de interação do usuário.
- A pontuação base da JPCERT/CC é 9.4 no CVSS 3 e 9.3 no CVSS 4, ambas classificadas como crítica no registro.
- Os dados SSVC do registro indicam impacto técnico total e automatização possível.
Produtos e versões afetadas
O registro lista os seguintes intervalos, indicados com os limites inclusos:
- Movable Type: da versão 9.0.0 até a 9.0.9 inclusive; da 8.8.0 até a 8.8.5 inclusive; da 8.0.0 até a 8.0.12 inclusive.
- Movable Type (Cloud Edition): da versão 9.2.0 até a 9.2.1 inclusive.
- Movable Type Premium: da versão 9.0.0 até a 9.0.9 inclusive; da 2.0 até a 2.17 inclusive.
- Movable Type Premium (Cloud Edition): da versão 9.2.0 até a 9.2.1 inclusive.
O registro não informa versão corrigida. Consulte a página de notícias do fabricante e o anúncio de lançamento do Movable Type para identificar a release corrigida da sua edição.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, e o registro não contém relatos confirmados de exploração ativa. O campo de exploração SSVC está como none e a probabilidade EPSS é 0.00643. Esses valores são indicadores do registro, e não prova de que a exploração esteja ausente.
Correção e mitigação
- Identifique todas as instâncias de Movable Type e Movable Type Premium, incluindo as implantações Cloud Edition, e registre a versão exata de cada uma.
- Siga o aviso da JVN e os comunicados do fabricante para obter a release corrigida da sua edição, aplicando-a assim que for validada em ambiente de teste.
- Até concluir a correção, restrinja o acesso de rede às funções administrativas e de atualização a redes confiáveis, e remova a exposição à internet dessas funções quando operacionalmente possível.
- Faça backup verificado da aplicação e do banco de dados antes de qualquer atividade de atualização.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de requisições inesperadas a funções de atualização ou manutenção, principalmente de origens desconhecidas.
- Monitore alterações inesperadas em arquivos da aplicação, scripts e conteúdo do banco, bem como tarefas agendadas ou processos novos criados pela conta do servidor web.
- Compare a integridade dos arquivos com uma linha de base confiável após qualquer atividade suspeita.
Limitações das informações disponíveis
O registro não informa versão corrigida, detalhes de patch, nem informações além da descrição geral. Ele não especifica qual caminho de script de atualização é afetado. Confirme os componentes afetados e as releases corrigidas diretamente com o fabricante e a JVN antes de concluir sobre a exposição.
Perguntas frequentes
Qual é o principal risco da CVE-2026-96408?
O registro descreve injeção de código no script de atualização do Movable Type que pode permitir a um atacante não autenticado executar um script Perl ou uma consulta SQL. A JPCERT/CC atribui pontuação 9.4 no CVSS 3.
O registro informa uma versão corrigida?
Não. O registro não contém versão corrigida, então a release de correção deve ser confirmada com o fabricante e os avisos vinculados.
Esta CVE é conhecida por ser explorada na natureza?
O catálogo KEV da CISA não a lista e as fontes consultadas não relatam exploração confirmada. Isso não descarta exploração futura.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.