Bytecode Alliance Wasmtime · Divulgada

Wasmtime corrige duas falhas críticas que permitem escape de sandbox

18 de out. de 2026 · 1 min de leitura

A Bytecode Alliance corrigiu duas falhas críticas no compilador Cranelift do Wasmtime: CVE-2026-115889, miscompilação silenciosa em qualquer arquitetura, e CVE-2026-115893, escape de sandbox em ARM64. As duas têm CVSS 9.9 e a exploração exige que uma instância Wasmtime vulnerável compile um módulo WebAssembly controlado pelo atacante; nenhuma exploração na natureza foi relatada. Atualize para Wasmtime 36.0.19, 48.0.7, 49.0.4 ou 50.0.0, ou Spin 4.2.4; linhas sem suporte, como a 24.x LTS, não receberão correção.

Por Redação HIFY Radar Atualizado 26/10/2026 13:57 Receba isso todo dia →← Voltar ao feed 3 fontes

AltaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Bytecode Alliance corrigiu duas falhas críticas (CVSS 9.9) no Wasmtime, runtime de WebAssembly, divulgadas em advisory de 19 de outubro de 2026. Um módulo WebAssembly malicioso pode fazer o compilador gerar código de máquina incorreto e escapar do sandbox de isolamento. Nenhuma exploração na natureza foi relatada.

Por que importa

Serviços que aceitam e executam módulos WebAssembly de clientes não confiáveis enfrentam o maior risco, segundo a divulgação. Um escape do sandbox dá ao atacante acesso a dados e recursos do host, com impacto alto em confidencialidade, integridade e disponibilidade. Em ARM64, todas as versões desde o início do suporte, em 2020, estão afetadas.

O que fazer

Atualize para Wasmtime 36.0.19, 48.0.7, 49.0.4 ou 50.0.0, ou Spin 4.2.4. Linhas sem suporte, como a 24.x LTS, não receberão correção: planeje a migração. Confira hosts ARM64 em 36.0.7, 42.0.2 ou 43.0.1, que seguem afetados pelo CVE-2026-115893.

Para o time técnico

CVE: CVE-2026-115889, CVE-2026-115893
Afetados: Bytecode Alliance Wasmtime (compilador Cranelift) · CVE-2026-115889: wasmtime antes de 36.0.19 e 37.0.0 até antes de 43.0.0, qualquer arquitetura. CVE-2026-115893: wasmtime antes de 36.0.19, 37.0.0 até antes de 48.0.7 e 49.0.0 até antes de 49.0.4, em aarch64; todas as versões com suporte aarch64 desde 2020, antes do Wasmtime v1.0. Hosts ARM64 em 36.0.7, 42.0.2 ou 43.0.1 (correção de abril do Cranelift) seguem afetados pelo CVE-2026-115893. Linhas sem suporte, incluindo 24.x LTS, não recebem correção.
Exploração: Nenhuma exploração na natureza relatada, segundo o DarkWebInformer. Advisories publicados em 19/10/2026; em 26/10/2026 a Bytecode Alliance detalhou versões afetadas e correções e a imprensa atribuiu CVSS 9.9 às duas falhas. Nenhuma PoC citada nas fontes.
Correção: wasmtime 36.0.19, 48.0.7, 49.0.4 e 50.0.0; Spin 4.2.4 (migra para Wasmtime 50.0.0). Sem correção para linhas sem suporte, como 24.x LTS.
Vetor: Falha no Cranelift, compilador padrão do Wasmtime. CVE-2026-115889: bit-packing causa overflow silencioso e miscompilação, em qualquer arquitetura. CVE-2026-115893 (CWE-691, controle de fluxo insuficiente): em aarch64, uma instrução br_table com mais de ~256k alvos gera desvio condicional para destino incorreto; o desvio pode saltar para código arbitrário em offset controlado pelo usuário, levando a escape do sandbox. Exploração exige que uma instância Wasmtime vulnerável compile um módulo Wasm controlado pelo atacante. Vetor: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
Mais detalhes: CVE-2026-115893 relatada por ilyas-mallah; advisory GHSA-mghf-wjfp-p5xm publicada por pchickey em 19/10/2026. CVE-2026-115889 corresponde ao advisory GHSA-897f-g5gm-fmxm. A CVE-2026-115893 afeta qualquer engine Wasmtime em aarch64 com configuração padrão. The Hacker News noticiou que as duas falhas permitem que módulos WebAssembly maliciosos escapem de sandboxes.

Linha do tempo

26/10/2026 13:57
Detalhes divulgados atribuem CVSS 9.9 às duas falhas e indicam que a exploração exige uma instância Wasmtime vulnerável.
26/10/2026 13:25
Advisory da Bytecode Alliance detalha versões afetadas e correções do Wasmtime e do Spin.