Vulnerabilidade crítica no daemon Telnet do GNU InetUtils
Pesquisadores de cibersegurança revelaram uma falha crítica no daemon Telnet do GNU InetUtils, identificada como CVE-2026-32746, com uma pontuação CVSS de 9.8. Essa vulnerabilidade permite que um atacante remoto não autenticado execute código arbitrário com privilégios elevados, explorando um erro de escrita fora dos limites no manipulador de subopções SLC durante o handshake do protocolo Telnet. A falha afeta todas as versões do serviço Telnet até a versão 2.7 e pode ser acionada simplesmente ao conectar-se à porta 23, sem necessidade de credenciais ou interação do usuário. A empresa israelense Dream, que descobriu a vulnerabilidade, recomenda desativar o serviço se não for necessário, rodar o telnetd sem privilégios de root e bloquear o acesso à porta 23. A correção deve ser disponibilizada até 1º de abril de 2026. Essa vulnerabilidade é particularmente preocupante, pois pode levar a uma completa compromissão do sistema, permitindo ações como instalação de backdoors e exfiltração de dados. A divulgação ocorre pouco tempo após outra falha crítica no mesmo serviço, indicando um padrão preocupante de vulnerabilidades no Telnet.