Chef Automate recebe falha nota 10.0 que deixa invasores entrarem direto na sua infraestrutura

Uma vulnerabilidade recém-divulgada, rastreada como CVE-2026-80462, recebeu nota máxima de 10.0 no CVSS 3.1, o maior nível de severidade que a escala permite. A falha está no gateway de API do Chef Automate e no seu caminho de validação de identidade e, sob condições específicas, pode permitir que um ator não autenticado alcance funcionalidades protegidas que jamais deveriam ser acessíveis sem credenciais.

Essa combinação de exploração remota, nenhuma exigência de autenticação e severidade máxima é exatamente o tipo de manchete que faz times de infraestrutura e plataforma pararem tudo. O Chef Automate está no coração da gestão de configuração e dos pipelines de conformidade de inúmeras organizações, o que significa que uma checagem de identidade quebrada aqui é uma porta de entrada para os sistemas que esses times deveriam estar protegendo.

O caminho adiante é direto, mas urgente: aplique os patches de segurança do fornecedor, restrinja quem pode acessar a API do Chef Automate e revise as configurações de gateway de API e de gestão de identidade em busca de qualquer brecha. Se a sua postura de segurança depende de acesso remoto a ferramentas internas, combinar infraestrutura reforçada com uma camada de VPN confiável é um hábito inteligente de construir agora, e não depois do relatório de incidente.