Alerta Windmill CVE 2026 29059 expõe SUPERADMIN_SECRET e permite-se fazer superadministrador

Uma falha de segurança de alta gravidade foi ativamente explorada na plataforma open source para desenvolvedores Windmill: trata-se da vulnerabilidade identificada como CVE-2026-29059, um caso clássico de traversal de rotas sem autenticação no endpoint "get_log_file" (ruta "/api/w/{workspace}/jobs_u/get_log_file/{filename}"). De acordo com a análise técnica publicada após a descoberta, o parâmetro filename é ligado diretamente na rota de arquivos sem nenhuma sanitização, o que permite a um atacante ler arquivos arbitrários do sistema através de sequências "../".

A ameaça concreta que fez soar os alarmes foi a capacidade de ler /proc/1/environ e extrair a variável de ambiente SUPERADMIN_SECRET. Quando essa variável está definida, seu valor pode ser usado como token Bearer para autenticar-se como superadministrador em Windmill e, a partir daí, executar código arbitrário através da API de antevisão de jobs. É crucial sublinhar que SUPERADMIN_ SECRET não está configurado por omissão, pelo que, em instâncias standalone sem essa variável, a exploração se limita - por agora - a leitura arbitrária de arquivos; mesmo assim essa capacidade já é suficiente para obter credenciais ou informações sensíveis em muitos desdobramentos.

Windmill resolveu o problema na versão 1.603.3(emero de 2026) adicionando verificações de sanitização sobre o parâmetro filename para evitar o directory traversal. No entanto, os investigadores da VulnCheck documentaram tentativas de exploração ativos contra esse endpoint, com ataques dirigidos a extrair /etc/passwd e outros arquivos sensíveis, incluindo tentativas que se canalizam através de rotas proxy como as que o Nextcloud oferece. A VulnCheck relatou cerca de 170 sistemas vulneráveis expostos publicamente em 24 países, o que mostra uma superfície de ataque real e não teórica.

Este caso faz parte de uma onda mais ampla de incorporação de vulnerabilidades exploradas em catálogos oficiais: a Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA. A América (CISA) adicionou várias entradas recentes ao seu Known Exploited Vulnerabilities (KEV), incluindo falhas críticas no WordPress (a cadeia conhecida como wp2shell), DD-WRT e Langflow, todas com observações de exploração ativa. Os vetores observados em incidentes recentes combinam desde exfiltração de arquivos como /etc/passwd e variáveis de ambiente, até tentativas de obter metadados de contêineres, credenciais da AWS e descarga/execução de payloads secundários.

Para equipas de operações e responsáveis pela segurança que gerem Windmill, as medidas prioritárias são claras: atualizar imediatamente para Windmill 1.603.3 ou superior. Se por motivos operacionais não for possível corrigir imediatamente, é imprescindível aplicar mitigações compensatórias: restringir o acesso ao endpoint vulnerável através de regras de firewall a nível de rede ou de aplicação (limitar por IP e VPN), bloquear padrões de traversal no WAF (por exemplo detecção de "../" ou "%2e%2e", e garantir que o proxy (p. ex. Nextcloud) não reenvia pedidos sem saneamento adicional.

Para além das medidas de contenção, convém verificar se a variável SUPERADMIN_SECRET está presente e, em caso afirmativo, rotarla e anular qualquer token ativo. Um comando rápido num contentor Linux para o verificar é:docker exec -it <contenedor> bash - c 'tr "\\0" "\\n" < /proc/1/environ | grep SUPERADMIN_SECRET'. Também é recomendável mover segredos sensíveis a gestores de segredos (Vault, AWS Secrets Manager, etc.) e evitar expor em variáveis de ambiente com alcance global quando não forem estritamente necessários.

Em detecção e pesquisa forense, procure sinais de acesso ao endpoint vulnerável (petições GET a /api/w/.../get_log_file com parâmetros que contenham "../" ou codificações URL equivalentes), leituras de /proc/1/environ ou /etc/passwd nos logs, criação ou execução de jobs inesperados, conexões salientes incomuns (wget, curl para dominos externos) e processos que tentem recuperar metadados de nuvem. Rever os logs de saída/shell, o histórico de jobs e os artefatos nos sistemas contentorizados pode ajudar a determinar se houve elevação de privilégios posteriores.

Para organizações com ativos expostos à Internet, realizar uma digitalização dirigida de superfície (com ferramentas e serviços legítimos como Shodan/Censys ou scanners internos) para localizar instâncias de Windmill acessíveis publicamente é prioritário; cada instância exposta aumenta o risco de exploração automatizada. Os equipamentos que operam em ambientes federais devem ter em conta os prazos regulatórios: CISA costuma estabelecer datas para a remediação prioritária das entradas KEV, pelo que é importante coordenar adesivos e mitigações com a política de segurança institucional.

Finalmente, é conveniente lembrar que a leitura de arquivos arbitrários é uma porta de entrada para cadeias de ataque mais complexas: desde a exfiltração de credenciais até a obtenção de tokens com privilégios elevados. A combinação de adesivos rápidos, restringir o acesso, auditar configurações e rodar segredos É a estratégia mais eficaz para minimizar o impacto. Para mais informações sobre a catalogação de vulnerabilidades exploradas e prioridades de mitigação, consulte a página de CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog, e a ficha da vulnerabilidade na base de dados nacional de vulnerabilidades: https://nvd.nist.gov/vuln/detail/CVE-2026-29059.