Uma explicação sobre uma falha no Webtop Media Transcoder, a função que, segundo o boletim, converte documentos para o webmail na plataforma do Openwave Messaging, em que as restrições de tipos de arquivo não são aplicadas. A pontuação é baixa, mas ataques foram observados, então esta nota curta é para operadores de plataformas de mensageria que usam o Openwave Messaging: como verificar e o que fazer.
- CVE
- CVE-2026-111793 (boletim do fornecedor CAN-2026-2032674, JVNVU#93403064)
- Gravidade
- Fornecedor e CVE: CVSS v3.1 4,3 (médio). JVN: classificado como crítico
- Tipo
- Transferência incorreta de recursos entre esferas (CWE-669). As restrições de tipos de arquivo definidas pelo administrador não são aplicadas
- Afetado
- Webtop Media Transcoder anterior à 1.1.22.0 (o registro CVE indica Linux)
- Correção
- 1.1.22.0. O fornecedor orienta os clientes a atualizarem para a última versão compatível do Media Server 2.0
- Impacto descrito
- Fornecedor e CVE: tipos de documento não previstos podem ser convertidos (impacto baixo na disponibilidade). JVN: informações sensíveis podem ser obtidas
- Datas
- Diferem conforme a fonte (veja a tabela abaixo)
- Exploração
- JVN: o desenvolvedor afirma que foram observados ataques. Incluído no CISA KEV em 10 de novembro (prazo: 24 de novembro)
O que é a vulnerabilidade
O boletim do fornecedor e o registro CVE dizem que o Webtop Media Transcoder não aplica as restrições de tipos de arquivo definidas por um administrador. Um usuário autenticado que contorne a interface do Webmail pode conseguir processar e converter tipos de documento não previstos. O boletim não dá o método e este site também não.
O impacto é descrito de forma diferente conforme a fonte, e este site não toma partido de nenhuma.
| Fonte | O que diz |
|---|---|
| Boletim do fornecedor e registro CVE | Tipos de documento não previstos podem ser convertidos. O boletim dá um CVSS v3.1 de 4,3; o vetor consta no registro CVE (sem impacto na confidencialidade nem na integridade, baixo na disponibilidade) |
| JVN | Um invasor que consiga fazer login e envie um arquivo manipulado pode obter informações sensíveis. Classificado como crítico. O desenvolvedor afirma que foram observados ataques |
| CISA KEV | Um usuário autenticado pode processar e converter tipos de documento não previstos (mesmo texto do fornecedor) |
As datas divergem
| Fonte | Data |
|---|---|
| Boletim do fornecedor | Data de divulgação: 7 de outubro de 2026. Informa que a versão corrigida 1.1.22.0 foi lançada em 6 de dezembro de 2021 |
| Registro CVE | Publicado em 16 de outubro de 2026 |
| JVN | Publicado e atualizado pela última vez em 9 de novembro de 2026 |
| CISA KEV | Incluído em 10 de novembro de 2026 (prazo: 24 de novembro) |
Há uma diferença de mais de quatro anos entre a data do boletim (2026) e a data de lançamento informada da correção (2021). Este site não conseguiu confirmar o motivo a partir de informações públicas e não adota nenhuma data.
Quem é afetado
| Item | Detalhe |
|---|---|
| Produto | Openwave Messaging Webtop Media Transcoder |
| Versões afetadas | Anteriores à 1.1.22.0 |
| Correção | 1.1.22.0. O fornecedor orienta os clientes a atualizarem para a última versão compatível do Media Server 2.0 |
| Solução alternativa | Nenhuma listada no boletim |
| Procedimento e download | O JVN remete os leitores ao desenvolvedor |
Como verificar se você é afetado
Verifique a versão do Webtop Media Transcoder
Verifique a versão em execução nos registros de configuração da sua plataforma ou pelo contato de suporte do fornecedor. Anterior à 1.1.22.0 significa afetado. Se produção, homologação e sistemas de reserva forem separados, verifique cada um (Checklist de inventário de ativos).
Liste os caminhos que chegam à função de conversão
Verifique se a função de conversão pode ser alcançada diretamente, não apenas pela interface do Webmail, por exemplo a partir de redes internas ou de assinantes ou por meio de uma API.
O que fazer hoje
Confirme a versão e peça a correção ao fornecedor
Se for afetado, atualize para a 1.1.22.0 ou posterior (a última versão compatível do Media Server 2.0) como o fornecedor orienta. Pergunte a ele como obtê-la e quais cuidados tomar na atualização. O prazo do KEV é 24 de novembro.
Até lá, reduza o que consegue alcançá-la
O boletim não lista solução alternativa. Como acréscimo próprio deste site, limite as origens que podem alcançar a função de conversão ao que a plataforma de Webmail precisa. Isso não substitui a atualização.
Procure conversões ou envios inesperados
Nos registros de conversão, procure tipos de documento que o administrador não permitiu, chamadas que não passam pela interface do Webmail e volumes incomumente altos. O JVN menciona a obtenção de informações, então não pare na atualização; registre o escopo e o período que você verificou. O processo está descrito em O guia de correção de vulnerabilidades.
Status da exploração
- O JVN diz que o desenvolvedor afirma que foram observados ataques que exploram esta vulnerabilidade. O boletim do fornecedor não menciona exploração.
- A CISA o incluiu no KEV em 10 de novembro de 2026 com prazo de 24 de novembro (versão do KEV 2026.11.10). O uso em ransomware consta como Desconhecido e a triagem forense como No.
- O registro CVE traz a avaliação da CISA (exploração ativa, não automatizável, impacto técnico parcial).
- Não foi possível confirmar informações públicas sobre escala, métodos ou danos.
Fontes
- Openwave Messaging (Ireland) Ltd — Public Security Advisory CAN-2026-2032674 (versões afetadas, versão corrigida, CVSS 4,3, data de divulgação)
- JVN — JVNVU#93403064 (publicado em 9 de novembro de 2026; declaração de que ataques foram observados)
- CVE.org — CVE-2026-111793 (publicado em 16 de outubro de 2026; inclui a inclusão pela CISA)
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluído em 10 de novembro, prazo em 24 de novembro)
Última verificação: 11 de novembro de 2026.
Leia a seguir
- Prática: O guia de correção de vulnerabilidades / Checklist de inventário de ativos
- Decidir: Priorizar com CVSS, EPSS e KEV
- Termos: O que é CVSS?