Aviso da CISA: Vulnerabilidade de Injeção de Comandos do SO no ZoneMinder (CVE-2026-76060)

A CISA divulgou um aviso de segurança cibernética em 25 de agosto de 2026, detalhando uma vulnerabilidade de alta gravidade (CVE-2026-76060) no ZoneMinder, um software de vigilância por vídeo de código aberto. A vulnerabilidade é uma injeção de comandos do SO autenticada na funcionalidade de exportação de eventos, onde o parâmetro HTTP 'exportFile' é passado sem sanitização para um comando shell executado via exec() do PHP. Um usuário autenticado com permissão 'View Events' pode executar comandos arbitrários do sistema operacional no servidor, potencialmente levando à execução remota completa de código como o usuário do servidor web. As versões afetadas são ZoneMinder 1.37.48 e 1.38.3. A pontuação base CVSS é 8.8 (Alta) sob CVSS v3.1 e 8.7 sob v4.0. A CISA descobriu uma prova de conceito pública de autoria de 'Scriptkittens' e a relatou ao ZoneMinder. O fornecedor recomenda atualizar para a versão 1.38.3 ou posterior. Nenhuma exploração pública conhecida foi relatada à CISA neste momento. A CISA aconselha os usuários a minimizar a exposição à rede, usar firewalls e aplicar patches do fornecedor.