Correção incompleta para a CVE-2026-79992 do Emacs e a falha no TRAMP

O que aconteceu e o que fazer

O aviso do oss-sec, publicado por Sean Whitton em 11 de outubro de 2026, informa que a correção da CVE-2026-79992 no Emacs era incompleta. Wonyoung Jung, da 78ResearchLab, usando a ferramenta PatchHawk, identificou que a função tramp-user-regexp não verificava alguns caracteres problemáticos adicionais em nomes de usuário, o que mantinha a exploração possível. O patch anexado, do mantenedor do TRAMP Michael Albinus, corrige o problema e será incluído no Emacs 31.2, versão que não tem data de lançamento próxima.

Na prática, uma empresa que usa o Emacs com TRAMP para editar arquivos em servidores remotos deve primeiro identificar onde essa combinação está em uso, incluindo estações de desenvolvedores e pipelines que acessam hosts via SSH. Enquanto o Emacs 31.2 não estiver disponível, vale aplicar o patch do mantenedor nas versões internas, validar nomes de usuário antes que cheguem ao TRAMP e monitorar logs de acesso remoto em busca de tentativas com caracteres incomuns. Um inventário de versões e um fluxo de atualização controlado reduzem o tempo de exposição.

Como a consultoria pode ajudar

Podemos fazer um diagnóstico de exposição ao TRAMP e às versões do Emacs no seu ambiente, propor e implementar a aplicação do patch e as validações de entrada, e configurar monitoramento de acessos remotos com operação contínua.

Próximo passo

Se a sua equipe usa o Emacs com TRAMP, envie uma breve descrição do seu ambiente e do caso. Com isso, preparamos uma proposta de escopo para diagnóstico e implementação.