🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-64827 que afecta a Telenia Software TVox. Permite a un atacante remoto omitir la autenticación y acceder sin credenciales a todos los scripts PHP del directorio manager HTML. La puntuación CVSS v4.0 es 9.3 (CRÍTICA). Se recomienda aplicar la actualización del fabricante de forma urgente.
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-64827 |
| Fabricante | Telenia Software |
| Producto | TVox |
| Fecha de publicación | 2026-08-03 |
| Severidad | CRÍTICA |
| CVSS v4.0 | 9.3 |
| Puntuación de prioridad | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-64827 es un fallo de omisión de autenticación (CWE-807: dependencia de entradas no confiables en una decisión de seguridad) en el producto Telenia Software TVox. El problema reside en el archivo set_env.php, donde la función redirectToLoginAdminIRequestHaveAccessToken() obtiene el nombre de la página actual a partir de la variable PHP_SELF. Si el valor coincide con login_admin.php, la autenticación se omite por completo.
Un atacante puede explotar esta vulnerabilidad simplemente añadiendo /login_admin.php a la ruta de cualquier script PHP objetivo. De esta forma, la comprobación de autenticación se salta y se obtiene acceso no autenticado a todos los scripts PHP bajo el directorio manager HTML. Esto incluye scripts que pueden permitir ejecución de comandos, acceso a bases de datos o modificación de configuraciones.
Productos y versiones vulnerables
Según las fuentes oficiales, las versiones afectadas son:
| Producto | Versión inicial | Versión final afectada |
|---|---|---|
| TVox (rama 26.x) | 26.0.0 | 26.5.3 (incluida) |
| TVox (rama 24.x) | 24.0.0 | 24.9.21 (incluida) |
No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto y riesgo
El impacto es crítico. Un atacante remoto sin autenticación puede acceder a todos los scripts PHP del directorio manager HTML. Esto puede derivar en:
- 🔍 Confidencialidad alta: lectura de datos sensibles, credenciales, configuraciones.
- 🛡️ Integridad alta: modificación de archivos, inserción de código malicioso.
- ⚠️ Disponibilidad alta: posible denegación de servicio o borrado de información.
La puntuación CVSS v4.0 es 9.3 (CRÍTICA) con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, lo que indica que la explotación es remota, de baja complejidad y no requiere privilegios ni interacción del usuario.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE por RyzerBot se basa en su reciente publicación y puntuación CVSS ≥ 9.0, no en evidencia de explotación activa. No se dispone de información que confirme su uso en campañas reales.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Telenia TVox es vulnerable:
- Identifica la versión exacta de TVox que estás ejecutando. Consulta la documentación del producto o el panel de administración.
- Compara la versión con las listadas en la tabla de versiones vulnerables (26.5.3 y anteriores en rama 26.x; 24.9.21 y anteriores en rama 24.x).
- Si tu versión es igual o inferior a las indicadas, estás afectado.
No se dispone de comandos específicos publicados por las fuentes para esta comprobación.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es:
Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
No se ha publicado un parche específico en las fuentes consultadas. Se recomienda:
- ✅ Contactar con Telenia Software a través de su sitio oficial (https://www.teleniasoftware.com/) para solicitar la actualización de seguridad.
- ✅ Mientras tanto, restringir el acceso al directorio
manager HTMLmediante reglas de firewall o listas de control de acceso (ACL) a direcciones IP confiables. - ✅ Revisar los registros de acceso en busca de peticiones que contengan
/login_admin.phpen la ruta.
Checklist para administradores
- ☐ Identificar la versión de TVox en todos los sistemas.
- ☐ Comparar la versión con las vulnerables (26.5.3 y anteriores; 24.9.21 y anteriores).
- ☐ Contactar con Telenia Software para obtener la actualización oficial.
- ☐ Aplicar restricciones de red al directorio manager HTML.
- ☐ Revisar logs en busca de patrones de ataque (peticiones con /login_admin.php).
- ☐ Monitorizar sistemas en busca de accesos no autorizados.
Preguntas frecuentes
¿Qué es CVE-2026-64827?
Es una vulnerabilidad crítica de omisión de autenticación en Telenia Software TVox que permite acceso no autenticado a scripts PHP.
¿Qué versiones están afectadas?
TVox 26.5.3 y anteriores (rama 26.x) y TVox 24.9.21 y anteriores (rama 24.x).
¿Cómo se explota?
Añadiendo /login_admin.php a la ruta de cualquier script PHP en el directorio manager HTML.
¿Hay parche disponible?
No publicado en las fuentes consultadas. Se debe contactar con el fabricante.
¿Se está explotando activamente?
No publicado por las fuentes consultadas.
¿Qué hago si estoy afectado?
Aplicar las mitigaciones descritas y contactar con Telenia Software para obtener la actualización.