CVE-2026-105239: caractere NUL trunca registros do EventLogAppender no Apache log4net

Alerta de segurança publicado em 6 de outubro de 2026 por Jan Friedrich no feed oss-sec, com registro na fonte em 7 de outubro de 2026. A vulnerabilidade, identificada como CVE-2026-105239, afeta o EventLogAppender do Apache log4net: um caractere NUL no conteúdo registrado encerra o registro gerado no Windows Event Log, resultando em registros truncados. A severidade é moderada, com CVSS 3.1 de 5.3 (média) e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N, que indica exploração pela rede, sem privilégios nem interação do usuário, com impacto apenas na integridade. Versões afetadas: Apache log4net 1.2.9 até antes da 3.5.0, e a faixa de commits entre 02e1e115435888485f2e28b414d267e39e799e07 e dc5855a0720c91590fd7a81d729ea01fdd69e000 (anterior a este último). Para verificar, consulte o aviso original no feed oss-sec da lista de segurança, buscando o identificador CVE-2026-105239, e confira a versão do log4net em uso nos seus sistemas Windows. A ação recomendada é atualizar para a versão 3.5.0 ou superior. Relevância para a Rota Nacional: a Rota não corrige bibliotecas de logging de terceiros. Se a sua equipe usar IA para estudar este aviso, não cole logs de produção com dados pessoais ou credenciais; a plataforma detecta dados pessoais antes de qualquer modelo rodar, mas a melhor proteção é não expor o conteúdo bruto.