Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-65008 |
| Fabricante | PHP Group (Grav CMS) |
| Producto | Grav CMS |
| Fecha de publicación | 2026-07-21 |
| Severidad | CRÍTICA |
| CVSS | 9.3 (CVSS:4.0) |
| Puntuación de prioridad | 215 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-65008 es un fallo de ejecución remota de código (RCE) en el CMS Grav, específicamente en la función Blueprint::dynamicData() del archivo system/src/Grav/Common/Data/Blueprint.php. Esta función pasa una cadena invocable (Class::method) y sus argumentos directamente a call_user_func_array() sin ninguna lista blanca de métodos permitidos. Dado que el plugin de formularios enruta el frontmatter de las páginas a través de esta ruta, una cuenta autenticada con el permiso admin.pages o api.pages.write puede insertar una directiva maliciosa en una página. El comando se ejecuta como el usuario del servidor web cada vez que cualquier persona —incluyendo un visitante no autenticado— accede a la página.
La vulnerabilidad está clasificada como CWE-94: Control inadecuado de generación de código (Inyección de código).
Productos y versiones vulnerables
Según las fuentes oficiales, las versiones afectadas son:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| Grav CMS | Desde 0 hasta 2.0.6 (inclusive) | 2.0.7 |
No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico debido a que:
- Permite ejecución remota de código sin necesidad de autenticación del visitante (aunque se requiere autenticación para plantar la directiva maliciosa).
- El atacante puede comprometer completamente la confidencialidad, integridad y disponibilidad del servidor web.
- La explotación no requiere interacción del usuario víctima.
- La complejidad del ataque es baja y no se necesitan privilegios especiales para desencadenar la ejecución.
La puntuación CVSS 9.3 refleja la gravedad máxima en los vectores de impacto.
Estado de explotación conocida
No se ha confirmado explotación activa en las fuentes consultadas. La selección de esta CVE se basa en su publicación reciente y puntuación CVSS ≥ 9.0, no en evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Grav es vulnerable:
- Verifica la versión de Grav instalada. Puedes hacerlo desde el panel de administración o revisando el archivo
system/defines.php. - Si la versión es anterior a 2.0.7, estás afectado.
- Revisa si hay páginas con frontmatter inusual que contengan directivas
Class::methodno autorizadas.
No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción principal es actualizar a la versión Grav 2.0.7 o superior, que corrige la vulnerabilidad. El fabricante ha publicado un aviso de seguridad en GitHub (ver fuentes). Como mitigación temporal, se puede restringir el acceso a las páginas con frontmatter dinámico o deshabilitar el plugin de formularios si no es necesario, pero la actualización es la solución definitiva.
Checklist para administradores
- ☐ Identificar todas las instancias de Grav CMS en la organización.
- ☐ Verificar la versión actual de cada instancia.
- ☐ Si la versión es < 2.0.7, planificar la actualización inmediata.
- ☐ Revisar los logs del servidor web en busca de patrones de explotación (llamadas a
call_user_func_arraycon argumentos sospechosos). - ☐ Auditar las cuentas con permisos
admin.pagesoapi.pages.write. - ☐ Aplicar la actualización siguiendo el procedimiento oficial.
- ☐ Verificar que la actualización se ha completado correctamente.
- ☐ Monitorear nuevas comunicaciones del fabricante.
Preguntas frecuentes
¿Qué es CVE-2026-65008?
Es una vulnerabilidad crítica de ejecución remota de código en Grav CMS, identificada con el identificador CVE-2026-65008 y una puntuación CVSS 9.3.
¿Qué versiones de Grav están afectadas?
Todas las versiones anteriores a 2.0.7 están afectadas. La versión 2.0.7 corrige el fallo.
¿Se requiere autenticación para explotar la vulnerabilidad?
Sí, para plantar la directiva maliciosa se necesita una cuenta con permisos admin.pages o api.pages.write. Sin embargo, la ejecución del código ocurre cuando cualquier usuario (incluso no autenticado) accede a la página comprometida.
¿Hay parches disponibles?
Sí, el fabricante ha lanzado la versión 2.0.7 que corrige la vulnerabilidad. Se recomienda actualizar inmediatamente.
¿Se ha detectado explotación activa?
No, según las fuentes consultadas no hay evidencia de explotación activa en este momento.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación, incluyendo el aviso de seguridad de GitHub y el análisis de VulnCheck.