Falhas em Ivanti, Fortinet, SAP, VMware e n8n expõem execução de código, injeção SQL e elevação de privilégio

As atualizações corrigem vulnerabilidades críticas e de alta severidade que afetam portais web, automação de workflows, virtualização local e componentes empresariais expostos a requisições autenticadas ou não autenticadas.

Componente	Ivanti Xtraction, FortiAuthenticator, FortiSandbox, SAP S/4HANA, SAP Commerce cloud configuration, VMware Fusion e n8n.
Vetor	Requisições web criadas, upload de configuração maliciosa, entrada controlada por usuário, payload XML, parâmetros de paginação, operação Push no nó Git e corrida TOCTOU em binário SETUID.
Impacto	Leitura de arquivos sensíveis, escrita de HTML em diretório web, execução de comandos ou código no servidor, injeção SQL, execução remota de código em hosts n8n e elevação local para root no VMware Fusion.
Prioridade	Atualizar os produtos afetados, revisar exposição de interfaces administrativas e de webhook, auditar workflows com nós XML, HTTP Request e Git, e investigar uso anômalo de contas com permissão de criação ou alteração.
Versões	FortiAuthenticator corrigido em 6.5.7, 6.6.9 e 8.0.3; FortiSandbox em 4.4.9 e 5.0.2; FortiSandbox Cloud em 5.0.6; FortiSandbox PaaS em 4.4.9 e 5.0.2; VMware Fusion em 26H1; n8n em 1.123.32, 2.17.4, 2.18.1, 1.123.43, 2.20.7 e 2.22.1, conforme a falha.
Artefatos	CVE-2026-8043, CVE-2026-44277, CVE-2026-26083, CVE-2026-34260, CVE-2026-34263, CVE-2026-41702, CVE-2026-42231, CVE-2026-42232, CVE-2026-44791, CVE-2026-44789 e CVE-2026-44790.

Resumo técnico

Um conjunto de atualizações de segurança corrige vulnerabilidades de severidade crítica e alta em produtos usados para relatórios corporativos, autenticação, análise de sandbox, aplicações SAP, virtualização local e automação de workflows. As falhas não pertencem a uma única cadeia de ataque, mas compartilham um ponto operacional importante: várias delas afetam superfícies que processam requisições web, entradas fornecidas por usuários ou operações executadas com privilégios elevados. Em ambientes corporativos, isso cria risco direto para portais expostos, sistemas de integração, hosts de automação e estáções onde ferramentas de virtualização executam componentes privilegiados.

A falha de maior destaque no Ivanti Xtraction, CVE-2026-8043, tem pontuação CVSS 9.6 e envolve controle externo de nome de arquivo antes da versão 2026.2. Um atacante remoto autenticado pode ler arquivos sensíveis e escrever arquivos HTML arbitrários em um diretório web. O impacto combina exposição de informação no servidor com a possibilidade de ataques do lado do cliente, já que conteúdo HTML gravado em local servido pela aplicação pode ser usado para induzir execução de script, captura de sessão ou abuso de confiança de usuários que acessam a interface.

A Fortinet corrigiu falhas críticas em FortiAuthenticator e FortiSandbox. CVE-2026-44277, com CVSS 9.1, é uma vulnerabilidade de controle de acesso impróprio no FortiAuthenticator que permite execução de código ou comandos não autorizados por meio de requisições criadas, sem autenticação. CVE-2026-26083, também com CVSS 9.1, afeta a interface web do FortiSandbox, FortiSandbox Cloud e FortiSandbox PaaS por ausência de autorização, permitindo execução de código ou comandos via requisições HTTP não autenticadas.

No conjunto SAP, CVE-2026-34260 é uma injeção SQL no SAP S/4HANA com CVSS 9.6. A falha permite que um usuário autenticado de baixo privilégio injete código SQL por entrada controlada, expondo informações sensíveis do banco e podendo derrubar a aplicação. A condição descrita limita a leitura dos dados e não confirma alteração de integridade. Já CVE-2026-34263, também com CVSS 9.6, decorre de verificação de autenticação ausente na configuração cloud do SAP Commerce, com upload de configuração maliciosa e injeção de código capazes de resultar em execução arbitrária no servidor.

Fluxo técnico

No Ivanti Xtraction, o problema está na forma como a aplicação aceita ou deriva nomes de arquivos antes de operações de leitura e escrita. Quando o nome do arquivo pode ser influenciado externamente, a aplicação deixa de controlar completamente o caminho efetivo usado no sistema de arquivos. A consequência confirmada é dupla: leitura de arquivos sensíveis e escrita de HTML em um diretório servido pela web. A exploração exige autenticação remota, mas não exige privilégio administrativo no texto técnico recebido. Para defesa, o ponto crítico é tratar contas autenticadas como parte da superfície de ataque e não como limite de confiança suficiente.

Nas falhas da Fortinet, o vetor é diferente porque envolve requisições não autenticadas. Em CVE-2026-44277, o controle de acesso impróprio no FortiAuthenticator permite que uma requisição especialmente construída alcance funcionalidade que deveria estar bloqueada. Em CVE-2026-26083, a ausência de autorização na interface web do FortiSandbox e variantes cloud ou PaaS permite execução de comandos ou código por HTTP. Em ambos os casos, exposição direta da interface à rede amplia severamente o risco, porque o atacante não precisa obter credenciais antes de tentar acionar a falha.

As vulnerabilidades SAP se dividem entre injeção de dados e execução de código por configuração. Em CVE-2026-34260, a aplicação aceita entrada controlada por usuário em um ponto que compõe consulta SQL de forma insegura. O abuso confirmado pode revelar dados do banco e causar indisponibilidade da aplicação, mas o detalhe técnico limita a operação a acesso de leitura, sem comprovação de alteração de dados. Em CVE-2026-34263, uma configuração de segurança permissiva e ordenação imprópria de regras permitem upload de configuração maliciosa e injeção de código sem autenticação, resultando em execução arbitrária no lado servidor.

No VMware Fusion, CVE-2026-41702 é uma vulnerabilidade TOCTOU em operação feita por um binário SETUID. Esse padrão ocorre quando o programa verifica uma condição e, em momento posterior, usa o recurso assumindo que a condição permanece válida. Se um usuário local sem privilégios administrativos consegue alterar o alvo entre a verificação e o uso, a operação privilegiada pode ser redirecionada. O impacto confirmado é elevação local de privilégio para root no sistema onde o VMware Fusion está instalado. A falha exige presença local e não representa execução remota inicial, mas é relevante em estáções compartilhadas, ambientes de desenvolvimento e endpoints já comprometidos.

O n8n concentra cinco falhas críticas associadas à execução remota de código no host de automação. CVE-2026-42231 envolve a biblioteca xml2js usada para analisar corpos de requisições XML no manipulador de webhook, permitindo poluição de protótipo por payload XML criado. CVE-2026-42232 permite poluição global de protótipo pelo nó XML quando um usuário autenticado pode criar ou modificar workflows. CVE-2026-44791 é um bypass para CVE-2026-42232. CVE-2026-44789 explora parâmetro de paginação não validado no nó HTTP Request, também levando à poluição global de protótipo. CVE-2026-44790 permite injeção de flags de linha de comando na operação Push do nó Git, com leitura arbitrária de arquivos do servidor n8n e comprometimento completo.

Superfície afetada

A superfície de maior exposição está em interfaces web administrativas, portais acessíveis por usuários autenticados, webhooks e componentes que aceitam entrada estruturada como XML, parâmetros HTTP e configurações carregadas pelo usuário. Produtos FortiAuthenticator e FortiSandbox com interfaces acessíveis por redes não confiáveis devem ser priorizados porque duas falhas permitem tentativa de exploração sem autenticação. SAP Commerce cloud configuration também exige atenção imediata quando o componente de configuração estiver alcançável e aceitar upload ou processamento de regras, já que o fluxo descrito combina autenticação ausente, configuração permissiva e injeção de código.

No n8n, a superfície afetada não se limita a um endpoint público isolado. A condição central é a existência de usuários autenticados com permissão para criar ou modificar workflows, além do uso de nós capazes de processar XML, realizar requisições HTTP ou executar operações Git. Instâncias multiusuário, ambientes de automação integrados a segredos corporativos e servidores que armazenam tokens de API, credenciais de repositórios, variáveis de ambiente e chaves de integração possuem impacto elevado, porque execução no host ou leitura arbitrária de arquivos pode expor segredos usados por pipelines, integrações SaaS e sistemas internos.

A falha do VMware Fusion afeta hosts locais onde a versão vulnerável está instalada e onde usuários sem privilégio administrativo têm acesso ao sistema. O risco é condicionado à execução local, mas não deve ser tratado como irrelevante: em uma cadeia de comprometimento, ele pode transformar acesso de usuário comum em controle de root, permitindo manipulação de arquivos do sistema, instalação de persistência, coleta de credenciais locais e interferência em máquinas virtuais usadas para desenvolvimento, testes ou análise.

Distribuições Linux como AlmaLinux, Alpine Linux, Amazon Linux, Arch Linux, Debian, Gentoo, Oracle Linux, Mageia, Red Hat, Rocky Linux, SUSE e Ubuntu também publicaram atualizações nas últimas semanas para vulnerabilidades diversas. O item não traz CVEs específicos para cada distribuição nesse trecho, então a ação defensiva deve se basear nos boletins do próprio fornecedor e no inventário local de pacotes instalados.

• Ivanti Xtraction antes da versão 2026.2, quando usuários autenticados conseguem alcançar a funcionalidade vulnerável.
• FortiAuthenticator antes de 6.5.7, 6.6.9 ou 8.0.3, conforme o ramo instalado.
• FortiSandbox antes de 4.4.9 ou 5.0.2, FortiSandbox Cloud antes de 5.0.6 e FortiSandbox PaaS antes de 4.4.9 ou 5.0.2.
• VMware Fusion antes da versão 26H1 em sistemas onde usuários locais sem privilégio administrativo têm acesso.
• n8n em versões anteriores às correções aplicáveis para CVE-2026-42231, CVE-2026-42232, CVE-2026-44791, CVE-2026-44789 e CVE-2026-44790.

Hunting e telemetria

A investigação deve começar por inventário de versões e exposição de rede. Interfaces Fortinet e SAP acessíveis por internet, redes de parceiros ou segmentos amplos devem ter logs de requisições revisados em busca de métodos incomuns, erros 4xx e 5xx próximos a tentativas de execução, upload de configuração ou chamadas para rotas administrativas sem sessão válida. Como as falhas Fortinet e SAP Commerce podem ser acionadas sem autenticação, a ausência de login bem-sucedido antes de uma ação sensível é um sinal importante, especialmente quando acompanhado por comandos, parâmetros codificados, conteúdo multipart ou alterações de configuração inesperadas.

Para Ivanti Xtraction, procure leituras de arquivos fora do padrão operacional, criação de arquivos HTML em diretórios web e nomes de arquivo contendo sequências de travessia, extensões inesperadas ou caminhos absolutos. Como o vetor exige autenticação, correlacione a atividade com contas que normalmente não administram conteúdo, alterações feitas fora do horário usual e acessos subsequentes de outros usuários aos arquivos HTML recém-criados. Logs de proxy reverso, servidor web e auditoria da aplicação ajudam a reconstruir o caminho entre requisição, escrita em disco e acesso ao conteúdo servido.

Em n8n, a telemetria precisa ir além de logs de acesso. Revise histórico de workflows, alterações em nós XML, HTTP Request e Git, criação de webhooks que aceitam XML, parâmetros de paginação fora do padrão e operações Push com argumentos inesperados. Sinais de poluição de protótipo podem aparecer como comportamento anômalo de workflows, falhas de execução em cadeia, propriedades herdadas inesperadas em objetos JavaScript e execução de nós que não deveriam ser alcançados por determinado fluxo. Também é necessário revisar leitura de arquivos sensíveis no host, como configurações da aplicação, variáveis de ambiente e credenciais usadas por integrações.

No VMware Fusion, hunting depende de auditoria local. Procure execução incomum de binários SETUID associados ao produto, criação ou substituição rápida de arquivos temporários durante operações privilegiadas, mudanças de proprietário para root, permissões alteradas em arquivos fora do fluxo normal e processos iniciados por usuários comuns que passam a executar com privilégio elevado. Como a falha é local, combine telemetria de endpoint com eventos de autenticação, EDR, logs de integridade de arquivo e histórico de shell.

• Requisições HTTP para interfaces FortiAuthenticator, FortiSandbox e SAP Commerce sem sessão válida seguidas de erro de execução, alteração de configuração ou resposta anormal.
• Arquivos HTML recém-criados em diretórios web do Ivanti Xtraction, principalmente associados a contas autenticadas sem função administrativa compatível.
• Workflows n8n modificados por usuários com permissão de edição contendo nós XML, HTTP Request ou Git com parâmetros incomuns.
• Operações Push no nó Git do n8n com flags de linha de comando inesperadas ou falhas que indiquem tentativa de leitura de arquivo local.
• Eventos locais no macOS com binários SETUID do VMware Fusion, mudança de privilégio para root e manipulação suspeita de arquivos temporários.

Mitigação

A primeira etapa é aplicar as versões corrigidas nos produtos afetados. FortiAuthenticator deve ser atualizado para 6.5.7, 6.6.9 ou 8.0.3 conforme o ramo em uso. FortiSandbox deve ir para 4.4.9 ou 5.0.2; FortiSandbox Cloud para 5.0.6; FortiSandbox PaaS para 4.4.9 ou 5.0.2. VMware Fusion deve ser atualizado para 26H1. No n8n, CVE-2026-42231 e CVE-2026-42232 são corrigidas em 1.123.32, 2.17.4 e 2.18.1; CVE-2026-44791, CVE-2026-44789 e CVE-2026-44790 são corrigidas em 1.123.43, 2.20.7 e 2.22.1. Ivanti Xtraction deve estar na versão 2026.2 ou posterior.

Antes e depois da atualização, reduza a exposição das interfaces. FortiAuthenticator, FortiSandbox, SAP Commerce e Ivanti Xtraction não devem ficar acessíveis por redes amplas sem controles adicionais de segmentação, autenticação forte, filtragem de origem e inspeção de logs. Quando a atualização imediata não for possível, aplique restrições de acesso por VPN, listas de controle, proxy reverso com regras específicas e bloqueio de upload ou rotas administrativas quando isso não interromper operação crítica. Essas medidas não substituem a correção, mas diminuem a probabilidade de acionamento remoto.

No n8n, trate contas com permissão para criar ou modificar workflows como identidades sensíveis. Revogue acessos desnecessários, revise workflows criados recentemente, desative ou isole fluxos que aceitam XML de origens não confiáveis e valide integrações que usam nós HTTP Request e Git. Após atualizar, rotacione segredos armazenados no host ou expostos a workflows com risco de execução, incluindo tokens de API, credenciais de repositório, chaves usadas por integrações SaaS e variáveis de ambiente acessíveis ao processo n8n. Se houver indício de leitura arbitrária de arquivos ou execução no host, reconstrua o servidor a partir de imagem confiável.

Para SAP S/4HANA, a mitigação operacional deve incluir atualização, revisão de permissões de usuários de baixo privilégio e análise de consultas ou erros relacionados a injeção SQL. Como o impacto confirmado envolve confidencialidade e disponibilidade, monitore acessos a tabelas sensíveis, respostas com volume anormal de dados, falhas repetidas de consulta e reinicializações ou travamentos da aplicação. Para SAP Commerce cloud configuration, a prioridade é impedir que fluxos de configuração sejam acessados sem autenticação e validar a ordenação de regras de segurança após a correção.

Em VMware Fusion, aplique a atualização e investigue endpoints onde usuários comuns tenham executado operações privilegiadas do produto antes da correção. Caso haja suspeita de exploração local, verifique integridade de arquivos do sistema, contas com privilégio elevado, itens de inicialização, extensões, agentes persistentes e alterações em máquinas virtuais. Em todos os produtos, documente a versão corrigida, a data de aplicação, a janela de exposição e os resultados de hunting para permitir decisão de rotação de credenciais, contenção adicional ou resposta a incidente.

• Aplicar as versões corrigidas listadas para Ivanti Xtraction, Fortinet, SAP, VMware Fusion e n8n.
• Restringir acesso de rede a interfaces administrativas, webhooks e painéis web até a correção estar validada.
• Auditar contas autenticadas com permissão de edição no n8n e no Ivanti Xtraction, removendo privilégios que não sejam necessários.
• Rotacionar segredos acessíveis ao n8n quando houver workflows suspeitos, leitura de arquivos ou operação Git anômala.
• Validar logs após a atualização para confirmar ausência de novas tentativas de exploração e preservar evidências de eventos anteriores.