CVE-2026-34926

Falha de directory traversal (CWE-23) no servidor on-premise do Trend Micro Apex One que permite a um atacante que já possua credenciais administrativas no servidor adulterar uma tabela-chave e injetar código malicioso distribuído automaticamente para todos os agentes gerenciados. O CVSS 6.7 soa moderado, mas o impacto real é alto: transforma o comprometimento de um único servidor de gestão em comprometimento de toda a base de endpoints via canal de update legítimo. A Trend Micro confirmou exploração ativa e a CVE está no catálogo KEV da CISA.

A vulnerabilidade reside no componente servidor do Apex One (versão on-premise, produto 2019/SP1). É uma falha clássica de path traversal: algum caminho de arquivo manipulável pela aplicação não sanitiza sequências de travessia de diretório, permitindo que um processo com privilégios administrativos no host grave ou modifique uma 'tabela-chave' fora do local pretendido. O fornecedor não detalha qual tabela é essa nem o parâmetro exato explorado — apenas que seu conteúdo é usado no fluxo de deploy de atualizações/pacotes para os agentes.

O vetor CVSS 3.1 (AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:L) expõe as pré-condições reais: ataque local (AV:L), alta complexidade (AC:H) e privilégios altos exigidos (PR:H) — ou seja, não é uma falha explorável remotamente por um usuário anônimo. O Scope Changed (S:C) é o dado mais relevante tecnicamente: a exploração no servidor afeta um componente de segurança distinto (os agentes), o que justifica o impacto amplo mesmo com um CVSS moderado. O JVN registra também uma pontuação CVSS 4.0 de apenas 4.9 para a mesma falha, refletindo o peso diferente que esse modelo dá à necessidade de privilégio elevado prévio.

Segundo o JVN/JPCERT, esta é apenas uma de oito vulnerabilidades corrigidas no mesmo boletim de maio de 2026 (CVE-2026-34926 a -34930, -45206 a -45208). As outras sete são falhas de escalonamento de privilégio local no agente (origin validation error, CWE-346, e uma TOCTOU, CWE-367), distintas e não relacionadas a esta CVE especificamente.

O pré-requisito central, e o que a manchete 'directory traversal' esconde, é que o atacante precisa já ter obtido credenciais administrativas no sistema operacional do servidor Apex One por algum outro meio — phishing, credencial vazada, outra vulnerabilidade, ou acesso interno. A CVE-2026-34926 não é uma porta de entrada; é uma técnica de pós-exploração/persistência. Com esse acesso administrativo, o atacante usa a travessia de diretório para escrever/alterar a tabela-chave do servidor, injetando código malicioso que passa a ser distribuído como se fosse uma atualização legítima para todos os agentes sob gestão daquele servidor.

O efeito prático é escalar um comprometimento pontual (um servidor de gestão) para um comprometimento em massa (toda a frota de endpoints Windows gerenciada), abusando do canal de confiança que normalmente distribui assinaturas e atualizações do próprio produto de segurança.

A Trend Micro confirmou pelo menos uma tentativa de exploração no mundo real (ITW) antes da divulgação, e a CISA adicionou a CVE ao catálogo KEV em 21/05/2026 com prazo de correção em 04/06/2026 — sinal de exploração confirmada e de risco tratado como prioritário por agências federais americanas, mesmo com CVSS não-crítico. Importante: apenas a versão on-premise do Apex One é vulnerável a esta CVE específica; o fornecedor afirma explicitamente que Apex One as a Service e Vision One SEP (SaaS) não são afetados por esta falha, embora apareçam no mesmo boletim por conta das outras sete CVEs de escalonamento de privilégio no agente.

A correção definitiva é atualizar o servidor Apex One on-premise (2019/SP1) para o Critical Patch build 18012 — para ambientes que já rodam SP1 — ou instalar diretamente o SP1 build 17079 em instalações novas, com agente em build mínimo 14.0.0.17079. Há uma pegadinha operacional real: o patch original que corrigia esta falha (CP build 17079) foi retirado de circulação pelo fornecedor por um bug não relacionado que causava falhas de aplicação, e substituído pelo CP 18012. Quem já aplicou o CP 17079 antes da retirada, ou fez instalação nova já na build 17079, já está protegido e não precisa reaplicar nada.

Se a atualização não puder ser aplicada imediatamente, o único controle compensatório indicado pelo próprio fornecedor é restringir o acesso administrativo ao servidor Apex One a redes confiáveis e reduzir a superfície de quem possui credenciais administrativas nesse host — já que a exploração depende inteiramente de já ter esse acesso. Isso não neutraliza a falha, apenas reduz a chance de um atacante chegar à pré-condição necessária; não existe mitigação de configuração dentro do próprio produto (flag, parâmetro) documentada para desativar o vetor de traversal.

O que não funciona como mitigação: WAF ou controle de borda de rede não têm efeito, pois o vetor é local e pós-autenticação administrativa — a falha não trafega por uma interface web exposta que um WAF inspecione. O controle real é higiene de credenciais administrativas no servidor (MFA, least privilege, monitoramento de login administrativo) combinado com o patch.

Nenhuma das fontes consultadas publicou indicadores de comprometimento, assinatura de rede ou artefato de log específico para esta exploração — a Trend Micro apenas confirma 'pelo menos uma tentativa' observada no mundo real, sem detalhar TTPs, hashes ou caminhos de arquivo usados no ataque. Na ausência desse dado, o que faz sentido monitorar é: alterações não programadas na tabela/configuração de deploy de pacotes do servidor Apex One, pushes de atualização para agentes fora de janelas de manutenção conhecidas, e eventos de login administrativo no servidor Apex One vindos de origens ou horários atípicos — já que a pré-condição da exploração é justamente posse de credencial admin nesse host.