🚨 Alerta crítica: Se ha identificado la vulnerabilidad CVE-2026-46670, una inyección SQL no autenticada en YesWiki (escrito en PHP) que permite a cualquier visitante sin autenticación leer la base de datos completa, incluyendo los hashes de contraseñas de usuarios. La puntuación CVSS es 9.8 (CRÍTICA). Se recomienda aplicar la actualización a la versión 4.6.4 de forma inmediata.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-46670 |
| Fabricante | PHP Group (vulnerabilidad en YesWiki, sistema PHP) |
| Producto | PHP (YesWiki, aplicación PHP) |
| Fecha de publicación | 2026-08-11 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 200 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-46670 es una vulnerabilidad de inyección SQL (CWE-89) que afecta a YesWiki, un sistema wiki escrito en PHP. La falla se encuentra en la ruta de importación de formularios Bazar, específicamente en la función FormManager::create(). Un atacante no autenticado puede enviar una solicitud especialmente diseñada para inyectar comandos SQL arbitrarios en una sentencia INSERT. Esto permite leer la base de datos completa, incluyendo la tabla yeswiki_users.password que contiene los hashes de las contraseñas de los usuarios.
La vulnerabilidad ha sido corregida en la versión 4.6.4 de YesWiki. No se requiere autenticación para explotarla, lo que la hace especialmente peligrosa en instalaciones expuestas a Internet.
Productos y versiones vulnerables
Según las fuentes consultadas, el producto afectado es YesWiki (desarrollado por YesWiki, no por PHP Group directamente). Las versiones vulnerables son todas las anteriores a la 4.6.4.
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| YesWiki | < 4.6.4 | 4.6.4 |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto es crítico. Un atacante no autenticado puede:
- Comprometer la confidencialidad: Leer toda la base de datos, incluyendo datos sensibles como contraseñas con hash, correos electrónicos y contenido privado del wiki.
- Comprometer la integridad: Modificar o insertar datos arbitrarios en la base de datos.
- Comprometer la disponibilidad: Potencialmente borrar tablas o causar denegación de servicio.
La puntuación CVSS de 9.8 refleja la facilidad de explotación (red, baja complejidad, sin privilegios, sin interacción del usuario) y el alto impacto en confidencialidad, integridad y disponibilidad.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su publicación reciente y su puntuación CVSS ≥ 9.0, no en evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. Si se detectan actividades sospechosas, se recomienda revisar los registros de acceso y las consultas a la base de datos en busca de patrones anómalos.
Cómo comprobar si estás afectado
Para determinar si tu instalación de YesWiki es vulnerable, verifica la versión instalada. Si es anterior a la 4.6.4, estás afectado. No se han publicado comandos específicos de comprobación en las fuentes consultadas. Puedes consultar la documentación oficial de YesWiki para obtener instrucciones sobre cómo verificar la versión.
Mitigación y actualización
La acción recomendada es actualizar YesWiki a la versión 4.6.4 o superior, que corrige la vulnerabilidad. No se han publicado mitigaciones alternativas en las fuentes consultadas. Se debe seguir el aviso oficial del fabricante disponible en el enlace de referencia.
Checklist para administradores
- ☐ Identificar todas las instalaciones de YesWiki en el entorno.
- ☐ Verificar la versión actual de cada instalación.
- ☐ Si la versión es anterior a 4.6.4, planificar la actualización inmediata.
- ☐ Realizar una copia de seguridad completa de la base de datos y archivos antes de actualizar.
- ☐ Aplicar la actualización a la versión 4.6.4 siguiendo las instrucciones oficiales.
- ☐ Después de la actualización, verificar que la vulnerabilidad ya no es explotable.
- ☐ Revisar los registros de acceso y base de datos en busca de posibles intrusiones previas.
- ☐ Si se detectan signos de compromiso, seguir el protocolo de respuesta a incidentes.
Preguntas frecuentes
¿Qué es YesWiki?
YesWiki es un sistema de wiki escrito en PHP, utilizado para crear sitios colaborativos.
¿La vulnerabilidad afecta a PHP directamente?
No, la vulnerabilidad está en la aplicación YesWiki, que está escrita en PHP. El CVE está asignado a PHP Group como fabricante, pero el producto afectado es YesWiki.
¿Se requiere autenticación para explotar la vulnerabilidad?
No, la vulnerabilidad puede ser explotada por cualquier visitante no autenticado.
¿Qué datos pueden ser comprometidos?
Un atacante puede leer toda la base de datos, incluyendo los hashes de contraseñas de usuarios almacenados en la tabla yeswiki_users.password.
¿Existe un parche disponible?
Sí, la versión 4.6.4 de YesWiki corrige la vulnerabilidad.
¿Debo preocuparme si mi instalación no está expuesta a Internet?
Aunque el riesgo es menor, se recomienda actualizar igualmente para prevenir accesos no autorizados internos.