Aviso CVE-2026-109117: desvio na verificação de assinatura PSKC em libpskc

O que aconteceu e o que fazer

O aviso de segurança, publicado em 2 de novembro de 2026 por Simon Josefsson na lista oss-sec e relacionado às discussões do projeto OATH Toolkit, descreve a CVE-2026-109117: uma falha de desvio (bypass) na verificação de assinatura de contêineres PSKC (Portable Symmetric Key Container) na biblioteca libpskc. O texto disponível indica o componente afetado e o tipo de falha, que permite contornar a checagem de assinatura.

Na prática, uma empresa que usa libpskc para importar chaves simétricas de tokens OTP deve primeiro identificar onde a biblioteca aparece, diretamente ou como dependência de terceiros, por meio de um inventário de software e de um SBOM. Em seguida, convém aplicar a correção publicada pelo projeto assim que estiver disponível, e tratar entradas PSKC não confiáveis como não validadas até a atualização. Também vale criar testes automatizados de regressão com contêineres assinados de forma válida e inválida, para confirmar que a verificação rejeita assinaturas adulteradas. Um monitoramento de alertas de dependências, integrado ao pipeline de build, reduz o tempo entre a publicação de um aviso e a implantação da correção.

Como a consultoria pode ajudar

Diagnóstico da exposição à CVE-2026-109117: levantamento de onde libpskc é usada, avaliação do fluxo de importação de chaves e plano de correção. Em seguida, implementação de testes de regressão de assinatura e de monitoramento contínuo de dependências no seu pipeline.

Próximo passo

Se sua empresa usa libpskc ou importa contêineres PSKC de fornecedores de tokens, envie uma descrição curta do seu ambiente e do fluxo de importação. Retornamos uma proposta com escopo, prazos e opções de contratação por projeto ou mensalidade.