Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-74896 |
| Fabricante | OpenSSL (jahlives) |
| Producto | openssl_encrypt |
| Fecha de publicación | 2026-08-17 |
| Severidad | CRÍTICA |
| CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) |
| Puntuación de prioridad | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-74896 es una vulnerabilidad de escape de sandbox en la biblioteca openssl_encrypt (desarrollada por jahlives), utilizada para cifrado y operaciones criptográficas en entornos Python. El fallo reside en el analizador AST DangerousPatternVisitor, que no detecta técnicas de recorrido de atributos dunder (métodos especiales de Python).
Los atacantes pueden encadenar atributos como __class__, __bases__, __subclasses__() y __globals__ para acceder a funciones restringidas y ejecutar comandos arbitrarios del sistema desde código de plugin. Esto permite a un atacante remoto sin autenticación comprometer completamente la confidencialidad, integridad y disponibilidad del sistema.
Productos y versiones vulnerables
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| openssl_encrypt | Anteriores a 1.4.0 | 1.4.0 |
No se han publicado otros productos o versiones afectados en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad tiene un impacto crítico en la seguridad del sistema. Un atacante puede:
- Ejecutar comandos arbitrarios en el servidor.
- Acceder a datos sensibles almacenados o en tránsito.
- Comprometer la integridad de los procesos criptográficos.
- Provocar una denegación de servicio completa.
La puntuación CVSS 9.3 refleja la facilidad de explotación (sin autenticación, sin interacción del usuario) y el alto impacto en los tres pilares de seguridad.
Estado de explotación conocida
No publicado por las fuentes consultadas. No se dispone de información que confirme explotación activa en entornos reales. La selección del bot se basa en la publicación reciente y una puntuación CVSS igual o superior a 9.0, no en explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de openssl_encrypt es vulnerable, verifica la versión instalada. Si es anterior a 1.4.0, estás afectado. No se han publicado comandos específicos en las fuentes consultadas; consulta la documentación oficial del producto para obtener instrucciones precisas.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es:
Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Actualiza openssl_encrypt a la versión 1.4.0 o superior, que corrige la vulnerabilidad. No se han publicado mitigaciones alternativas en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar todos los sistemas que utilicen openssl_encrypt.
- ☐ Verificar la versión instalada de openssl_encrypt.
- ☐ Si la versión es anterior a 1.4.0, planificar la actualización inmediata.
- ☐ Aplicar la actualización a la versión 1.4.0 o superior.
- ☐ Revisar los registros de seguridad en busca de actividad sospechosa relacionada con cadenas dunder.
- ☐ Monitorear los avisos oficiales del fabricante para posibles parches adicionales.
Preguntas frecuentes
¿Qué es CVE-2026-74896?
Es una vulnerabilidad crítica de escape de sandbox en openssl_encrypt que permite ejecución remota de comandos mediante técnicas de atributos dunder.
¿Qué versiones están afectadas?
Todas las versiones de openssl_encrypt anteriores a 1.4.0.
¿Cómo se explota esta vulnerabilidad?
Un atacante utiliza cadenas de atributos dunder (__class__, __bases__, __subclasses__(), __globals__) para eludir el sandbox y ejecutar comandos arbitrarios.
¿Hay parche disponible?
Sí, la versión 1.4.0 de openssl_encrypt corrige la vulnerabilidad.
¿Se requiere autenticación para explotarla?
No, la vulnerabilidad puede ser explotada de forma remota sin autenticación previa.
¿Dónde puedo encontrar más información?
Consulta las fuentes oficiales listadas a continuación.