Aviso publicado em 1º de outubro de 2026 lista falhas no CISA Malcolm, incluindo XSS, injeção de comandos e path traversal. A versão de setembro de 2026 ou posterior corrige os problemas.
O aviso da CISA descreve vulnerabilidades no Malcolm, produto usado em setores como energia, tecnologia da informação e água e águas residuais. Entre as falhas listadas estão XSS, injeção de comandos do sistema operacional, path traversal, SSRF e problemas de autenticação e autorização. O alerta informa CVSS 3 de 8,8 para o conjunto. A CVE-2026-90443 trata de uma interface web que pode executar script no contexto da aplicação quando um usuário visita um link criado por um invasor; suas pontuações são 5,4 no CVSS 3.1 e 5,3 no CVSS 4.0. A CVE-2026-90444 descreve execução de comandos por meio de nomes de arquivos manipulados enviados por usuário autenticado.
A CISA informa que a versão mais recente do Malcolm, de setembro de 2026 ou posterior, corrige as vulnerabilidades e recomenda atualizar as instâncias afetadas. Consulte o aviso original e seu resumo CSAF para confirmar escopo, versões e orientações antes de agir; valide também a versão instalada e os comunicados do fabricante. Se usar IA para estudar o aviso, não envie credenciais, dados de logs ou informações internas identificáveis.