Vulnerabilidade · média · CVSS 6.5
Falha estrutural no Ansible permite interceptação de credenciais SSH
Tier B · Corrija esta semana – Coloque na sprint
Quem está exposto: Infraestruturas que usam Ansible para automação
Tier B porque: Infraestrutura central ou ferramenta popular E remota, sem login
Alcance
Ataque
Dano
Correção
Ferramenta popular · Remota, sem login
Em resumo
- Uma falha estrutural na comunicação entre a biblioteca libssh e os plugins de conexão do Ansible abre brecha para interceptação em infraestruturas de automação.
- A vulnerabilidade foi identificada como CVE-2026-126641 e afeta o processo de verificação de chaves.
- A fonte não informa correção disponível nem exploração ativa.
Por que importa
Equipes que usam Ansible para automatizar servidores podem ter credenciais SSH interceptadas, o que exige atenção à verificação de chaves nos ambientes de automação.
O checklist por trás do tier
Checklist · 3 de 10 com sim
| Sim | Atinge times de tecnologia | Ansible é usado por times de operações e de TI para automação de infraestrutura, função que a equipe opera. |
| Não | Infraestrutura central | Ansible é um produto específico de automação, não software de infraestrutura central como OpenSSH ou glibc. |
| Sim | Ferramenta popular | Ansible é uma ferramenta de automação amplamente usada por equipes de DevOps e operações. |
| Não | Explorada | SempreUpdate: a falha abre brecha para ataques possíveis, sem relatar ataques observados. |
| Não | Exploit público | SempreUpdate: não menciona código de exploit nem prova de conceito publicada. |
| Sim | Remota, sem login | CVSSCVE-2026-126641: CVSS 6.5 – pela rede, sem privilégios, sem ação do usuário |
| Não | Controle total | CVSSCVSS: nenhuma CVE tem impacto alto em confidencialidade e integridade ao mesmo tempo |
| Não | Segredos expostos | SempreUpdate: fala em possibilidade de interceptação de credenciais SSH, sem relatar roubo efetivo. |
| Não | Cadeia de suprimentos | SempreUpdate: trata de falha de verificação de chaves, sem comprometimento de pacote ou pipeline. |
| Não | Ainda sem correção | SempreUpdate: não informa se há versão corrigida ou correção disponível. |
O registro oficial
Do CVE.org, do catálogo de Known Exploited Vulnerabilities da CISA, do FIRST EPSS e do GitHub Advisory Database. Quando eles respondem a um fato do checklist, valem mais do que a cobertura.
CVE-2026-126641 ↗CVSS 6.5 medium AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N
Ansible-pylibssh: accepts a changed ssh host key when host_key_auto_add is enabled
- Explorado
- Fora do catálogo de vulnerabilidades exploradas da CISA
- EPSS
- <1% de chance de exploração nos próximos 30 dias · maior que a de 27% de todos os CVEs
- Fraqueza
- CWE-322
Linha do tempo
Falha reportada pelo SempreUpdate
SempreUpdate
Falha estrutural no Ansible permite interceptação de credenciais SSH via chave alterada
Fonte
Falha estrutural no Ansible permite interceptação de credenciais SSH via chave alterada ↗ SempreUpdate · há 2 h
Visto pela primeira vez · 1 fonte · Página completa da notícia · Como os tiers são decididos