CVE-2026-114364: injeção de SQL no Apache Syncope via opEvent na busca de eventos de auditoria

O que aconteceu e o que fazer

O aviso, publicado em 2 de novembro de 2026 por Francesco Chicchiriccò e divulgado na lista oss-sec, descreve a CVE-2026-114364, classificada com gravidade importante. O problema está no parâmetro opEvent, que não é sanitizado na busca de eventos de auditoria. Estão afetadas as versões do Apache Syncope 3.0.0-M0 até 3.0.16, 4.0.0-M0 até 4.0.8 e 4.1.0-M0 até 4.1.3. Trata-se de correção incompleta da CVE-2026-77051, o que indica que a primeira correção não cobriu todos os caminhos de entrada.

Na prática, uma empresa que opera o Syncope deveria primeiro inventariar instâncias e versões em produção e homologação, aplicar a atualização oficial assim que disponível para a linha em uso e restringir o acesso administrativo ao console. Em paralelo, vale auditar os logs de consulta de eventos de auditoria em busca de padrões incomuns no parâmetro opEvent. Quando a atualização não puder ser aplicada de imediato, é possível colocar um proxy ou filtro de requisições na frente da interface administrativa, com validação de parâmetros e registro centralizado, enquanto a correção é planejada.

Como a consultoria pode ajudar

A Wendelmaques pode fazer um diagnóstico de exposição do seu ambiente Syncope: inventário de versões, levantamento de quem tem perfil administrativo e revisão dos logs de auditoria. Em seguida, propõe um plano de atualização escalonado e, se necessário, uma camada de proteção temporária com monitoramento contínuo.

Próximo passo

Se sua empresa usa o Apache Syncope, envie uma descrição breve do seu ambiente, das versões em uso e de como o acesso administrativo é controlado. Responderemos com uma proposta de escopo para diagnóstico e implementação.