Windmill: falha CVE-2026-29059 sob exploração ativa expõe segredos e permite RCE

Uma falha crítica de path traversal na plataforma open-source Windmill, rastreada como CVE-2026-29059 (CVSS 7.5), está sob exploração ativa segundo a VulnCheck. Cerca de 170 sistemas vulneráveis foram identificados em 24 países, com invasores lendo arquivos como /etc/passwd e potencialmente escalando para execução remota de código quando a variável SUPERADMIN_SECRET está configurada.

O que aconteceu

Pesquisadores da VulnCheck confirmaram nesta semana que atacantes começaram a explorar em massa a falha CVE-2026-29059, uma vulnerabilidade de traversal de diretório no endpoint /api/w/{workspace}/jobs_u/get_log_file/{filename} da Windmill, plataforma de automação e workflows para desenvolvedores. O bug permite que um invasor não autenticado leia arquivos arbitrários do servidor host usando sequências ../ no parâmetro filename, que é concatenado ao caminho sem qualquer sanitização.

A falha foi descoberta pelo pesquisador Valentin Lobstein e divulgada originalmente pela própria Windmill em março de 2026, sendo corrigida na versão 1.603.3 em janeiro. Mesmo assim, muitas instâncias autoexpostas na internet seguem sem patch — o cenário clássico em que uma vulnerabilidade “antiga” ganha nova vida operacional quando um exploit maduro entra em circulação.

A Windmill é usada por equipes de engenharia para orquestrar jobs, integrações e pipelines internos, frequentemente com credenciais e segredos armazenados em variáveis de ambiente. Isso explica por que a falha, mesmo classificada como “apenas” leitura de arquivos, tem impacto potencialmente devastador em ambientes corporativos.

Detalhes da vulnerabilidade

O vetor técnico é direto: o endpoint aceita um parâmetro filename controlado pelo usuário e o concatena ao path base sem validação. Um atacante consegue subir na árvore de diretórios até alcançar arquivos como /etc/passwd, chaves SSH, arquivos de configuração e — o alvo mais valioso — /proc/1/environ, onde estão as variáveis de ambiente do processo principal do container.

“O valor sensível primário exposto por essa vulnerabilidade é a variável de ambiente SUPERADMIN_SECRET, legível via /proc/1/environ. Quando definida, esse segredo pode ser usado como Bearer token para autenticar como superadmin e executar código arbitrário através da API de preview de jobs.”

Advisory oficial da Windmill

Em outras palavras: mesmo uma vulnerabilidade descrita como “path traversal com CVSS 7.5” pode virar RCE completa em minutos quando o operador segue as práticas recomendadas de definir um segredo de administrador global. Caitlin Condon, VP de pesquisa de segurança da VulnCheck, relatou no LinkedIn que a firma observou exploits mirando tanto endpoints diretos da Windmill quanto o caminho de proxy do Nextcloud, sugerindo que os atacantes estão adaptando payloads para múltiplas arquiteturas de deployment.

Quem é afetado

Segundo a VulnCheck, aproximadamente 170 sistemas Windmill vulneráveis estão expostos publicamente em 24 países. Os principais grupos de risco incluem:

• Equipes de DevOps e platform engineering que adotaram Windmill como orquestrador interno de scripts
• Empresas SaaS que expõem instâncias self-hosted da Windmill diretamente à internet, sem VPN ou reverse proxy com autenticação
• Ambientes onde SUPERADMIN_SECRET foi configurado (elevando o impacto de leitura de arquivos para execução remota completa)
• Deployments em containers Docker/Kubernetes onde /proc/1/environ expõe segredos injetados via variáveis de ambiente

A divulgação coincide com a CISA adicionando quatro falhas ao seu catálogo Known Exploited Vulnerabilities (KEV), incluindo dois bugs graves do WordPress rastreados como wp2shell (CVE-2026-60137 e CVE-2026-63030), um buffer overflow no DD-WRT (CVE-2021-27137) e uma RCE não autenticada no Langflow (CVE-2026-0770). Agências federais americanas do FCEB têm até 24 de julho de 2026 para remediar.

Análise

O padrão observado nas últimas semanas é revelador: ferramentas de automação e “internal developer platforms” — Windmill, Langflow, n8n, e mesmo componentes do próprio WordPress — se tornaram alvo prioritário porque combinam três características tóxicas: exposição pública frequente, alto privilégio de execução, e maturidade insuficiente em práticas de secure coding. São produtos que crescem rápido, muitas vezes construídos por equipes pequenas, e ganham escala antes de passarem por auditorias externas rigorosas.

Compare esse caso com a onda de exploração do WP2Shell e do Langflow no mesmo boletim da CISA: a coincidência não é coincidência. Os grupos de ameaça estão sistematicamente varrendo o ecossistema de ferramentas de baixo código e automação de workflows, e a Windmill se encaixa perfeitamente no perfil. É a mesma dinâmica que vimos em 2023-2024 com JetBrains TeamCity, Confluence, Ivanti e MOVEit — a diferença é que agora o ciclo entre disclosure e exploração massiva encolheu para semanas ou mesmo dias.

Outro ponto crítico: o argumento comum de “só é leitura de arquivo, não é RCE” continua sendo perigosamente reducionista. Em ambientes container-first, onde segredos vivem em variáveis de ambiente e onde /proc/1/environ é trivialmente acessível, qualquer LFI equivale, na prática, a escalada de privilégios. Times de segurança que continuam pontuando esses bugs pelo CVSS base sem considerar o contexto operacional estão subestimando drasticamente o risco real.

Recomendações práticas

• Atualize imediatamente para Windmill 1.603.3 ou superior — a correção adiciona sanitização de path no parâmetro filename
• Se não puder aplicar o patch agora, coloque a instância atrás de um reverse proxy que bloqueie requisições contendo ../ ou caminhos codificados (%2e%2e) no path do endpoint de logs
• Revogue e rotacione a variável SUPERADMIN_SECRET assumindo comprometimento, especialmente se sua instância estava exposta publicamente
• Audite logs de acesso ao endpoint /api/w/*/jobs_u/get_log_file/* em busca de padrões de traversal ou requisições anômalas a partir de junho de 2026
• Mova segredos sensíveis das variáveis de ambiente para um cofre externo (HashiCorp Vault, AWS Secrets Manager, sops), reduzindo a superfície de dano em futuras LFIs
• Considere fechar o acesso público a instâncias de plataformas de automação interna — VPN ou zero-trust access proxy são a linha base
• Monitore o catálogo KEV da CISA e assine os feeds da VulnCheck e Wordfence para receber alertas de exploração ativa

Fonte: The Hacker News