Falha crítica no ZITADEL permite sequestrar qualquer conta via confusão de SAML

Usuários do ZITADEL estão em alerta máximo depois que uma falha crítica de autenticação (CVE-2026-109372) transformou o fluxo de login SAML da plataforma em uma porta aberta. A brecha permite que um atacante com permissão de administrador de organização registre seu próprio provedor SAML com uma chave de assinatura pessoal e, em seguida, explore um callback de intent inconsistente para obter uma sessão totalmente autenticada como qualquer usuário vinculado a outro provedor, até mesmo em organizações diferentes.

Com pontuação CVSS 9.3 e avaliação CVSS 4.0 também classificada como crítica, esse é o tipo de falha que reescreve todo um perímetro de identidade da noite para o dia. As versões 4.x anteriores à 4.19.2 e 3.x até 3.4.15 são afetadas, então atualizar para 4.19.2 ou 3.4.15 não é opcional, é urgente.

Se sua operação depende de login único, encare isso como um alerta: audite cada provedor SAML, rotacione chaves de assinatura e controle rigorosamente quem pode criar conexões de identidade. Senhas fortes não salvam ninguém quando o próprio modelo de confiança está confuso, então reforce a proteção com navegação criptografada e uma VPN confiável.