Commvault CVFS: corrige CVE-2026-77099 y verifica cada nodo

Commvault ha clasificado como crítica una vulnerabilidad de validación de entrada en CVFS que puede afectar a la ejecución de comandos. El aviso CV_2026_10_9 identifica CVE-2026-77099, con puntuación CVSS 9,3, y pide actualizar tanto la rama de Commvault Cloud como el componente CVFS según la versión instalada. La corrección debe planificarse por rama y por nodo, porque el orden de actualización cambia entre versiones.

El fabricante publicó el aviso el 13 de octubre. El Centro Canadiense para la Ciberseguridad también incluyó Commvault Cloud y Grid (HSX) en su boletín AV26-1033. Consulta el aviso técnico CV_2026_10_9 de Commvault y el resumen AV26-1033 del Centro Canadiense. La documentación habla de una vulnerabilidad de ejecución de comandos, pero no detalla en ese aviso una cadena de explotación ni confirma actividad en clientes; la prioridad se deriva de la severidad y del componente afectado.

Ramas y versiones corregidas

En Commvault Cloud para Linux, el fabricante considera afectadas las versiones 11.36.0 a 11.36.126, 11.40.0 a 11.40.77, 11.44.0 a 11.44.24 y 11.46.0 a 11.46.29. Las correcciones empiezan en 11.36.127, 11.40.78, 11.44.25 y 11.46.30, respectivamente. Una versión posterior dentro de una rama soportada queda corregida según el aviso, pero las versiones no soportadas que no aparecen en la tabla deben actualizarse a una rama mantenida en vez de asumir que están protegidas.

Para Grid (HSX), las versiones CVFS 5.0.1.0 a 5.0.14.4 están afectadas; la corrección comienza en 5.0.14.5. Comprueba la versión del software y la del sistema de archivos por separado. Actualizar Command Center o CommServe no demuestra por sí solo que CVFS de cada nodo haya quedado corregido.

Orden de cambio según la rama

En los entornos basados en 11.36 y 11.40, Commvault indica actualizar primero Commvault Cloud a su mantenimiento corregido y después CVFS a la versión correspondiente. En 11.44 y superiores, la actualización de HyperScale X al mantenimiento corregido incluye automáticamente la actualización requerida de CVFS. No inviertas el orden ni ejecutes el procedimiento de otra rama: valida el plan contra la versión instalada y la topología antes de abrir la ventana.

Empieza identificando todos los CommServe, nodos HyperScale X y sistemas que cumplan roles de acceso o almacenamiento. Registra la rama, versión de mantenimiento, CVFS, estado de soporte y propietario. Coordina la intervención con las personas responsables de copias y restauraciones, conserva la configuración y confirma que existe una copia recuperable antes del cambio.

-InfraCrew dice: prioriza los nodos que reciben datos de producción y valida la compatibilidad del conjunto antes de tocar el primer miembro del clúster.-

Verificación nodo a nodo

Commvault documenta dos comprobaciones. En Command Center, entra en Manage > Servers, filtra por el rol relevante y revisa en la lista que los servidores tienen el mantenimiento corregido o una versión posterior. En 11.44 o superior, abre Manage > Storage > HyperScale X, selecciona el pool y cada nodo para consultar la versión de CVFS. Todos los nodos del pool deben mostrar la versión esperada, no solo el nodo coordinador.

En 11.40 o anteriores, el aviso remite a ejecutar whichCommit.sh desde el shell de HSX, en la ruta /usr/local/hedvig/scripts/whichCommit.sh. Guarda la salida junto con el identificador del nodo y la hora. Después, valida ingestión de una copia, lectura de metadatos y una restauración de muestra según el procedimiento habitual. Si un nodo queda rezagado, no lo marques como cerrado hasta actualizarlo o aislarlo con una excepción aprobada.

-InfraCrew dice: el cierre útil combina versión corregida y una restauración comprobada; una tarea de actualización en verde no sustituye a ambas evidencias.-

Diccionario de la Crew

• CVFS — sistema de archivos usado por Commvault en determinadas configuraciones de almacenamiento y nodos HyperScale X.
• Nodo — servidor individual que aporta capacidad o servicios dentro de un conjunto distribuido.
• Mantenimiento corregido — actualización de una rama que incorpora la solución de seguridad indicada por el fabricante.