Commvault CVFS CVE-2026-77099 i dziesięć innych advisory: RCE 9.3 bez logowania, dwa progi dla gałęzi 11.46 i jedno advisory, którego skaner CVE nie zobaczy

13 października 2026 Commvault opublikował jedenaście advisory dla Commvault Cloud i Grid (HSX) CVFS. Najgroźniejsze, CVE-2026-77099, to wykonanie poleceń w CVFS bez uwierzytelnienia i bez interakcji użytkownika, CVSS 4.0 9.3. W obiegu działa skrót „dziesięć CVE, jedna aktualizacja”. Advisory mówią co innego. Dla gałęzi 11.46 są dwa progi (11.46.30 i 11.46.40), jedno advisory nie ma CVE, a na 11.36 i 11.40 CVFS trzeba podnieść osobnym krokiem. Do tego to system backupu, czyli ścieżka odtwarzania po incydencie. Patch, po którym nie da się odtworzyć danych, zamienia jedno ryzyko na drugie.

Jedenaście advisory, nie dziesięć

Lista CVE krążąca w alertach CERT-ów ma dziesięć pozycji. Indeks Commvault ma o jedną więcej. CV_2026_10_10 „CVFS Information Disclosure” (Medium, 6.9) opisuje „missing authentication condition affecting information disclosure” w CVFS i nie ma przypisanego CVE. Skaner, feed i reguła SLA oparte na CVE tej pozycji nie zobaczą. W praktyce nic to nie zmienia, bo poprawka jest w tych samych wersjach co reszta CVFS. Zmienia się dowód: zamykając kampanię, cytuj listę advisory, nie listę CVE.

Druga osobliwość: CVE-2026-77090 (XXE w CVFS) ma identyfikator advisory CV_2026_07_4, choć wydano je 13.10.2026. Indeks pokazuje, że inne advisory z serii CV_2026_07_* i CV_2026_08_* wyszły 11.08 i 8.09.2026. Jeśli Twój proces śledzi advisory po numerze sugerującym miesiąc, to jedno trafi do złego koszyka. Numer advisory nie jest datą.

Wektory podaje CNA (Commvault). NVD jeszcze ich nie analizował. Advisory CV_2026_10_10 podaje tylko wynik 6.9.

Co tu jest naprawdę sieciowe i bez logowania

Skróty prasowe sprowadzają paczkę do „krytycznego RCE”. Dla priorytetu ważniejszy jest podział wektorów. Bez uwierzytelnienia i z sieci (AV:N/PR:N) są cztery pozycje, nie jedna:

• CVE-2026-77099: wykonanie poleceń w CVFS (9.3).
• CVE-2026-77090: XXE w CVFS, ujawnienie informacji (8.7, VC:H).
• CVE-2026-77100: heap overflow w MediaAgent, skutek według vendora to niedostępność (8.7).
• CVE-2026-97334: wyczerpanie zasobów przez silnie skompresowane dane w warstwie komunikacji. Dotyczy wszystkich instalacji Commvault, także klientów (8.7).

CVE-2026-77096 też prowadzi do wykonania poleceń bez uwierzytelnienia, ale z wektorem AV:A/AT:P: atakujący musi być w sąsiednim segmencie i muszą zajść dodatkowe warunki. Advisory nie mówi jakie. Nie łącz go z 77099 w jedną „internetową lukę bez logowania”. Nie zakładaj też, że te CVE tworzą łańcuch, bo nikt tego nie pokazał.

Uwaga o heap overflow: vendor opisuje skutek CVE-2026-77100 jako „service availability”, a wektor ma tylko VA:H. Przyjmuję tę ocenę, ale to ocena dostawcy, nie wynik niezależnej analizy. Gdyby ktoś pokazał wykonanie kodu, ta pozycja przeskoczy w priorytecie.

Wersje: 11.46.30 nie zamyka kampanii

Najłatwiej pomylić się na 11.46. Dziewięć advisory z progiem dla tej gałęzi wymaga 11.46.30. CV_2026_10_7 (CVE-2026-77096) wymaga 11.46.40, a rekord CNA w CVE.org podaje zakres podatny 11.46.0–11.46.39. Kanadyjskie Cyber Centre (AV26-1033) pokazuje oba progi obok siebie, a CSIRT Italia podaje dla 11.46 „versioni precedenti alla 11.46.40”. Jeśli Twój ticket ma cel „11.46.30”, bo tak stoi w advisory dla 9.3, zamkniesz go z otwartym CVE-2026-77096. Cel dla całej kampanii na 11.46: ≥ 11.46.40.

Drugie miejsce na pomyłkę to 11.36 i 11.40. Advisory CVFS mówią wprost: „first upgrade Commvault Cloud to the resolved maintenance release, and then upgrade CVFS to the corresponding resolved version”. Od 11.44 upgrade HyperScale X do naprawionego maintenance release zawiera już aktualizację CVFS. Na starszych gałęziach podniesiony Commvault przy starym CVFS wygląda w konsoli na załatany, a węzły HSX pozostają podatne na 77099.

Trzecie: zdanie „Supported versions not listed are unaffected. Unsupported versions must be upgraded”. Gałąź spoza listy wsparcia nie dostaje statusu „not affected”, tylko „nie wiadomo, upgrade”. W rejestrze to affected z planem migracji, a nie not_affected.

Dlaczego backup dostaje wyższy priorytet niż wynika z CVSS

CVSS nie wie, że ten serwer ma uprawnienia do odczytu prawie wszystkich danych w organizacji i że po ataku ransomware to z niego się odtwarzasz. Atakujący to wiedzą. W katalogu CISA KEV są już dwa CVE Commvault z 2025 roku (CVE-2025-3928 w Web Server i CVE-2025-34028 w Command Center). Systemy backupu trafiają do KEV regularnie, co widać też po AhsayCBS. Brak październikowych CVE Commvault w KEV to stan na 21.10, nie prognoza.

Z tego wynikają dwa wnioski. Po pierwsze, osiągalność CVFS i MediaAgentów oceniaj dla rzeczywistych segmentów: kto z sieci użytkowników, sieci serwerów i Internetu dosięga węzłów HSX i portów komunikacji Commvault. Same numery pakietów tego nie powiedzą. Po drugie, kryterium zamknięcia musi obejmować odtwarzanie. Advisory DoS (77093, 77094, 77095, 97334, 97333, 77100) dotyczą też klientów i MediaAgentów. Aktualizacja wszystkich ról to okno, w którym backup może nie działać. Dlatego zrób test odtworzenia po patchu, nie przed.

Co powinien zrobić VE

1. Inwentarz ról, nie hostów. CommServe, Web Server, Command Center, Index Server, MediaAgent, HyperScale/HSX, klienci. Dla każdej roli wersja Commvault, a dla HSX osobno wersja CVFS. Advisory mówią, co aktualizować per rola: QAPI tylko CommServe, Web Server, Command Center i Index Server, path traversal tylko HyperScale MediaAgent, warstwa komunikacji wszystko.
2. Jeden rekord kampanii, cel wersji per gałąź: 11.36.127, 11.40.78, 11.44.25, 11.46.40, CVFS 5.0.14.5. Do rekordu dopisz CV_2026_10_10 jako pozycję bez CVE, żeby nie zginęła przy deduplikacji po CVE.
3. Priorytet: najpierw węzły CVFS/HSX osiągalne z segmentów, których nie kontrolujesz (77099, 77090, CV_2026_10_10), potem MediaAgenty i pozostałe role (77100, 97334), na końcu reszta. Na 11.36 i 11.40 zaplanuj drugi krok dla CVFS w tym samym oknie.
4. Kompensacja do czasu patcha: ogranicz dostęp sieciowy do węzłów HSX i MediaAgentów do sieci zarządzania i ruchu backupu. To nie zastępuje poprawki, bo advisory nie podają obejścia.
5. Dowód zamknięcia: wersje z Command Center (Manage → Servers, filtr po roli). CVFS na 11.44+ sprawdzisz w widoku węzłów puli HyperScale X, wszystkie węzły na tej samej wersji. Na 11.40 i starszych vendor wskazuje /usr/local/hedvig/scripts/whichCommit.sh z powłoki HSX. Do tego udany job backupu i testowe odtworzenie po aktualizacji.
6. Hunting bez nadinterpretacji: jeśli węzły CVFS były osiągalne z niezaufanych sieci, przejrzyj logi pod kątem nietypowych procesów, nowych kont i zmian w politykach retencji. Taki sygnał uzasadnia IR. Nie jest jednak dowodem wykorzystania konkretnego CVE.
7. Monitoruj: KEV, EPSS i stronę advisory Commvault (pole „Updated”). Tabele wersji w advisory potrafią się zmieniać po publikacji.

Powiązane na blogu

• AhsayCBS CVE-2026-105133 i 105134: SYSTEM na serwerze backupu, a pierwsza wersja to jeszcze nie fix
• NetBackup Flex OS CVE-2026-28197: root na appliance backupu i wszystkich kontenerach
• Velociraptor CVE-2026-19584: payload, który wykona się dopiero przy restore
• Cisco ASA/FTD/FMC: tabela fixed releases zmienia się po fakcie
• KEV vs EPSS: któremu wskaźnikowi zaufać

Źródła

• Commvault — Commvault Cloud Security Advisories (indeks; CV_2026_10_10 bez CVE, CV_2026_07_4 wydane 13.10.2026) — documentation.commvault.com
• Commvault — CV_2026_10_9: CVFS Command Execution (CVE-2026-77099, 9.3, wersje, kolejność upgrade CVFS, weryfikacja) — documentation.commvault.com
• Commvault — CV_2026_10_7: CVFS Missing Authentication (CVE-2026-77096, 7.7, próg 11.46.40) — documentation.commvault.com
• Commvault — CV_2026_10_10: CVFS Information Disclosure (bez CVE, 6.9) — documentation.commvault.com
• Commvault — CV_2026_10_3: Network messaging layer decompression resource exhaustion (CVE-2026-97334, wszystkie instalacje) — documentation.commvault.com
• NVD — CVE-2026-77099 (CNA Commvault, CVSS 4.0 9.3, CWE-78, CISA ADP SSVC) — nvd.nist.gov
• CVE.org — CVE-2026-77096 (zakres podatny 11.46.0–11.46.39) — cve.org
• Canadian Centre for Cyber Security — Commvault security advisory AV26-1033 (13.10.2026) — cyber.gc.ca
• CSIRT Toscana / CSIRT Italia — AL04/261014/CSIRT-ITA (14.10.2026) — csirt.regione.toscana.it
• CISA Known Exploited Vulnerabilities Catalog (brak październikowych CVE Commvault w wersji 2026.10.21; CVE-2025-3928 i CVE-2025-34028 obecne) — cisa.gov

Nota redakcyjna: wpis powstał na podstawie szkicu VMRT Radar z 18.10.2026 i został zweryfikowany ze źródłami pierwotnymi 20 października 2026 (ok. 19:15 CEST), a 22 października 2026 (ok. 22:40 CEST) ponownie sprawdziłem katalog KEV (wersja 2026.10.21, bez zmian dla Commvault) i indeks advisory Commvault (bez aktualizacji po 13.10). Źródła: indeks i jedenaście advisory Commvault (daty, oceny, tabele wersji, kolejność aktualizacji CVFS, sposób weryfikacji, zgłaszający), rekordy NVD API 2.0 dla dziesięciu CVE (wektory CVSS 4.0 od CNA, CWE, SSVC od CISA ADP, status „Awaiting Analysis”, brak CPE), rekordy CVE.org dla CVE-2026-77099 i CVE-2026-77096, alert AV26-1033 Cyber Centre, alert CSIRT Italia oraz katalog CISA KEV. Względem szkicu poprawiłem liczbę advisory (11, w tym jedno bez CVE), opis CVE-2026-77090 (XXE bez uwierzytelnienia, 8.7) i zakres CVE-2026-97334 (wszystkie instalacje). Nie potwierdziłem: komunikatu katarskiego NCSA z 18.10 (strona nieczytelna), istnienia publicznego PoC lub prób wykorzystania, jakie porty i usługi wystawiają CVFS i CvFWD, czym są „dodatkowe wymagania” (AT:P) dla CVE-2026-77096, ani czy CV_2026_10_10 dostanie CVE. Kolejność priorytetów, cel wersji dla kampanii i kryteria zamknięcia to oceny autora, nie zalecenia Commvault.