CVE-2026-118636: desserialização insegura no decodificador do Apache MINA permite execução remota de código

O que aconteceu e o que fazer

O aviso, publicado por Emmanuel Lécharny na lista oss-sec em 31 de outubro de 2026, classifica como crítica a vulnerabilidade CVE-2026-118636 no Apache MINA. O problema está no JavaNativeMessageDecoder do módulo de codec MINA 3.0: o decodificador chama ObjectInputStream.readObject() sobre os bytes de cada quadro sem filtro de classes. O CVSS 3.1 é 9.8, com vetor de rede, sem privilégios e sem interação do usuário. As versões afetadas são do Apache MINA 3.0.0 até 3.0.0-M2.

Uma empresa que use esse decodificador em serviços expostos a clientes ou sistemas não confiáveis deve tratar o caso como prioridade. Na prática, é preciso inventariar quais aplicações dependem do MINA 3.0 e identificar se alguma delas aceita quadros de pares externos antes de qualquer validação. Como o aviso indica que o ramo 3.0.0 não tinha suporte na época da atribuição, a resposta costuma envolver migrar para uma versão corrigida ou retirar o decodificador de serialização nativa do fluxo, substituindo-o por um formato de dados sem desserialização de objetos Java. Enquanto isso, é possível restringir o acesso à porta, colocar um filtro de entrada e monitorar exceções de desserialização e conexões anômalas.

Como a consultoria pode ajudar

Diagnóstico da exposição: levantamento das dependências do Apache MINA nos sistemas, identificação dos pontos que recebem dados de pares não confiáveis e avaliação do risco. Em seguida, plano de correção com migração ou isolamento do decodificador, implementação de filtros de entrada e monitoramento contínuo.

Próximo passo

Se a sua organização usa o Apache MINA em produtos ou serviços, envie uma breve descrição do cenário, incluindo as versões em uso e os pontos de entrada de dados. A Wendelmaques devolve uma proposta de escopo com diagnóstico, etapas e prazos.