Vanus traz token de administrador embutido e entrega takeover de cluster crítico 9.8

O Vanus 0.8.0 até 0.9.0 está sendo distribuído com um token de administrador embutido no código, e esse único deslize entrega controle total de cluster-admin para atacantes remotos não autenticados. A falha, registrada como CVE-2026-111998, recebe nota 9.8 crítica no CVSS 3.1 e não exige mais do que enviar um Bearer token fixo para a porta do gateway gRPC.

Depois de entrar, o atacante pode gerenciar namespaces, eventbuses, usuários, tokens e role bindings, além de ler e publicar eventos em toda a implantação. Sem quebra de senha, sem cadeia de exploração, sem interação do usuário, apenas uma credencial padrão fazendo exatamente o que credenciais padrão sempre fazem.

A correção é direta e urgente: remover ou trocar as credenciais padrão, atualizar o Vanus para uma versão corrigida, restringir o acesso à porta do proxy do gateway e monitorar tentativas de acesso não autorizado. Se o Vanus roda na sua stack de produção, esse é um problema de hoje, não de amanhã.