O projeto Samba corrigiu duas vulnerabilidades críticas de execução remota de código não autenticada, identificadas como CVE-2026-4408 e CVE-2026-4480. Ambas receberam pontuação CVSS 10,0 e podem permitir que um atacante remoto execute comandos arbitrários em servidores configurados de forma vulnerável.
As falhas não atingem automaticamente todas as instalações. A exploração depende de parâmetros específicos no arquivo smb.conf e, no caso da CVE-2026-4408, também da forma como o serviço samba-dcerpcd é iniciado. Mesmo assim, administradores devem verificar as configurações, aplicar a atualização e remover substituições perigosas sempre que possível.
CVE-2026-4408: injeção no serviço DCE/RPC SAMR
A CVE-2026-4408 afeta servidores de arquivos Samba e controladores de domínio clássicos, não baseados em Active Directory, que utilizam o serviço SAMR DCE/RPC. O risco aparece quando a configuração check password script contém o marcador %u.
Nesse cenário, o nome de usuário controlado pelo cliente é repassado ao script sem o escape adequado de metacaracteres do shell. Um atacante pode explorar essa passagem para injetar comandos e obter execução remota no contexto do processo que chama o script.
A configuração vulnerável não é a padrão em todos os ambientes. O problema exige que o samba-dcerpcd seja iniciado como serviço do sistema, o que normalmente depende de configurar rpc start on demand helpers = no. No comportamento padrão, com o valor yes, o smbd inicia o componente sob demanda e o caminho vulnerável fica inacessível.
Controladores de domínio Active Directory não são afetados por essa condição específica porque não expandem o nome de usuário por meio do marcador %u.
CVE-2026-4480: injeção no subsistema de impressão
A CVE-2026-4480 afeta servidores de impressão Samba cujo parâmetro print command contém o marcador %J. O Samba passa a descrição do trabalho de impressão, controlada pelo cliente, ao comando configurado sem escapar corretamente os metacaracteres do shell.
Essa condição permite injeção de comandos e execução remota de código. O risco é ampliado pelo fato de que, por padrão, servidores de impressão podem permitir que usuários convidados enviem trabalhos de impressão.
Servidores configurados com printing = cups ou printing = iprint não são afetados por essa vulnerabilidade específica. Também não são afetados os servidores cujo print command não usa o marcador %J.
Versões corrigidas
O projeto Samba informa que as correções foram incorporadas nas seguintes versões de segurança:
- Samba 4.22.10;
- Samba 4.23.8;
- Samba 4.24.3.
Como os avisos indicam que todas as versões podem ser afetadas quando as condições específicas estão presentes, administradores devem atualizar para a versão corrigida correspondente à sua linha suportada ou aplicar o patch oficial do projeto. Distribuições Linux podem fornecer o patch em pacotes próprios; nesse caso, confirme a versão do pacote e o changelog do mantenedor.
Como verificar a exposição
Comece localizando todas as instâncias Samba, incluindo servidores de arquivos, controladores de domínio clássicos, servidores de impressão, appliances e instalações em filiais. Depois, revise o smb.conf efetivamente carregado pelo serviço, não apenas um arquivo de exemplo.
Para a CVE-2026-4408, procure a configuração check password script e verifique se ela contém %u. Confirme também o valor de rpc start on demand helpers e se o samba-dcerpcd é iniciado como serviço do sistema.
Para a CVE-2026-4480, localize o parâmetro print command e procure o marcador %J. Verifique ainda o método de impressão configurado e se o servidor aceita trabalhos de usuários convidados. Uma configuração de impressão ampla deve ser restringida mesmo após a atualização.
O que os administradores devem fazer
1. Atualize o Samba. Instale a versão 4.22.10, 4.23.8, 4.24.3 ou uma correção posterior fornecida pelo projeto ou pela distribuição. Reinicie os serviços e confirme a versão efetivamente carregada.
2. Remova dependências perigosas dos marcadores. Na CVE-2026-4408, prefira retirar %u do script e obter o nome da conta pela variável de ambiente SAMBA_CPS_ACCOUNT_NAME. Na CVE-2026-4480, remova %J do comando de impressão se ele não for indispensável.
3. Use o workaround correto enquanto atualiza. Para a CVE-2026-4408, mantenha rpc start on demand helpers no valor padrão yes. Para a CVE-2026-4480, colocar aspas simples diretamente em torno de %J reduz o risco, mas remover o marcador é preferível quando possível. Aspas duplas, sozinhas, podem não ser suficientes.
4. Restrinja o acesso. Limite SMB e RPC às redes necessárias, desative serviços de impressão que não são usados e evite exposição direta à internet. Remova o acesso de convidado quando ele não for essencial e aplique menor privilégio às contas de serviço.
Como investigar possível exploração
Revise logs do Samba, do sistema operacional, do firewall e do serviço de impressão. Procure alterações recentes em smb.conf, scripts de validação de senha, comandos de impressão, reinicializações do serviço e conexões RPC fora do padrão.
Investigue trabalhos de impressão incomuns, usuários convidados que imprimiram fora do horário, criação de processos filhos inesperados e comandos executados pelo usuário do serviço Samba. Compare os eventos com mudanças aprovadas e com os horários de acesso dos administradores.
Se o processo Samba tiver permissões elevadas ou acesso a compartilhamentos sensíveis, avalie a possibilidade de movimento lateral. Preserve logs e evidências antes de reconstruir o servidor, rotacione credenciais acessíveis pelo serviço e verifique os sistemas que montam ou acessam os compartilhamentos.
Conclusão
As CVEs-2026-4408 e CVE-2026-4480 mostram como marcadores de substituição em scripts e comandos podem transformar uma configuração aparentemente funcional em um caminho de execução remota. A pontuação CVSS 10,0 torna a correção prioritária, mesmo quando a exposição depende de parâmetros específicos.
Administradores devem auditar o smb.conf, atualizar para uma versão corrigida, remover %u e %J quando possível, restringir SMB/RPC e revisar logs. A configuração padrão reduz parte do risco da CVE-2026-4408, mas não substitui a verificação do ambiente.
Fontes primárias
Samba: CVE-2026-4408 — Unauthenticated Remote Code Execution in Samba DCE/RPC SAMR server.
Samba: CVE-2026-4480 — Unauthenticated Remote Code Execution in Samba printing subsystem.
Samba: Samba 4.24.3 Release Notes.
Check Point: Samba Command Injection — CVE-2026-4408 e CVE-2026-4480.
