Hackers exploram falha no Windmill para ler arquivos do servidor sem autenticação

23 de Julho de 2026

Uma falha de segurança de alta gravidade que afeta a plataforma de desenvolvimento open source Windmill está sendo explorada ativamente no mundo real, segundo a VulnCheck.

A vulnerabilidade em questão é a CVE-2026-29059 , com pontuação CVSS 7,5.

Trata-se de um caso de traversal de diretório sem autenticação que afeta o endpoint "get_log_file" do Windmill, em "/api/w/{workspace}/jobs_u/get_log_file/{filename}".

“O parâmetro filename é concatenado a um caminho de arquivo sem sanitização, o que permite que um invasor leia arquivos arbitrários no servidor usando sequências ../”, informou um comunicado publicado pela Windmill em março de 2026.

“O principal valor sensível exposto por essa vulnerabilidade é a variável de ambiente SUPERADMIN_SECRET, que pode ser lida por meio de /proc/1/environ.

Quando definido, esse segredo pode ser usado como um token Bearer para autenticar-se como superadministrador e executar código arbitrário pela API de pré-visualização de jobs.”

Vale observar, porém, que o SUPERADMIN_SECRET não vem definido por padrão.

Em instâncias independentes do Windmill sem essa configuração, o impacto da falha fica limitado à leitura arbitrária de arquivos.

O problema foi corrigido no Windmill 1.603.3, lançado em janeiro de 2026, com a adição de verificações de sanitização no parâmetro filename para impedir a navegação fora do diretório esperado.

Segundo a VulnCheck, cujo pesquisador de segurança Valentin Lobstein recebeu crédito por descobrir e reportar a falha, as tentativas de exploração têm como alvo o endpoint "get_log_file" do Windmill para extrair informações sensíveis do arquivo "/etc/passwd".

“Observamos explorações voltadas tanto aos endpoints diretos do Windmill quanto ao caminho de proxy do Nextcloud”, afirmou Caitlin Condon, vice-presidente de pesquisa em segurança da VulnCheck, em uma publicação no LinkedIn.

A empresa de cibersegurança informou ter identificado cerca de 170 sistemas vulneráveis expostos em 24 países.

A divulgação ocorre no momento em que a agência americana Cybersecurity and Infrastructure Security Agency (CISA) adicionou quatro falhas de segurança ao catálogo Known Exploited Vulnerabilities (KEV), incluindo dois bugs no WordPress rastreados como wp2shell, CVE-2026-60137 e CVE-2026-63030 , além de um estouro de buffer baseado em pilha no DD-WRT, CVE-2021-27137, e um problema de execução remota de código sem autenticação no Langflow, CVE-2026-0770 .

“O wp2shell é um dos eventos de segurança mais significativos do WordPress Core nos últimos anos”, afirmou a Wordfence.

“A combinação de alcance sem autenticação, ausência de necessidade de plugin ou tema, uma enorme superfície de ataque global, um caminho para acesso de administrador e execução de código, além da disponibilidade pública de um exploit de proof of concept, torna essa cadeia de vulnerabilidades excepcionalmente grave.”

Dados de ataque capturados pela empresa de segurança do WordPress mostram que threat actors estão enviando requisições para explorar a falha de confusão de rota em lotes da REST API e uma injeção SQL sem autenticação para obter execução de código.

No caso da CVE-2026-0770 , Ryan Dewhurst, da KEVIntel, disse que identificou pela primeira vez tentativas de exploração contra seus sensores em 27 de junho de 2026, registrando 137 tentativas de exploração a partir de 46 endereços IP de atacantes únicos, associados a 17 países.

Nada menos que 75 tentativas, o que representa mais da metade da atividade, partiram de 20 endereços IP de atacantes nos últimos sete dias.

Entre os payloads observados estão verificações de execução de comandos básicos, tentativas de extrair o conteúdo de "/etc/passwd" ou acessar credenciais da AWS, coleta de variáveis de ambiente, downloads de malware usando wget ou curl e execução de scripts para instalar payloads de segunda etapa.

“A atividade não se limita a verificações de vulnerabilidade”, disse Dewhurst.

“Embora grande parte envolva comandos como id, whoami e leitura de /etc/passwd, também observamos payloads tentando baixar malware e obter variáveis de ambiente, credenciais da AWS e metadados de container.”

As agências federais civis do Executivo dos Estados Unidos foram orientadas a corrigir as falhas identificadas até 24/07/2026.

Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...