🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-74899 que afecta a la biblioteca Python openssl_encrypt en versiones anteriores a 1.4.0. Permite a un atacante remoto sin autenticación escapar del sandbox de IsolatedPluginExecutor y ejecutar comandos arbitrarios del sistema operativo. La puntuación CVSS es 9.3 (CRÍTICA).
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Detalle |
|---|---|
| Identificador | CVE-2026-74899 |
| Fabricante | OpenSSL (proyecto openssl_encrypt) |
| Producto | openssl_encrypt |
| Fecha de publicación | 17 de agosto de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H) |
| Puntuación de prioridad RyzerBot | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-74899 reside en el componente IsolatedPluginExecutor de la biblioteca Python openssl_encrypt. En versiones anteriores a 1.4.0, el sandbox implementado expone objetos de tipo Python (type objects) dentro de los builtins restringidos de la función exec(). Esto permite a un atacante recorrer la jerarquía de clases mediante la cadena __class__.__mro__.__subclasses__() y acceder a funciones del sistema para ejecutar comandos arbitrarios del sistema operativo.
El fallo está clasificado como CWE-95: Neutralización incorrecta de directivas en código evaluado dinámicamente (Eval Injection). No se requiere autenticación ni interacción del usuario para explotarlo, lo que lo convierte en una amenaza remota y crítica.
Productos y versiones vulnerables
Según las fuentes consultadas, el producto afectado es openssl_encrypt del fabricante jahlives. Todas las versiones anteriores a la 1.4.0 están afectadas. La versión 1.4.0 está catalogada como no vulnerable.
| Producto | Versión Afectada | Estado |
|---|---|---|
openssl_encrypt |
< 1.4.0 | Afectada |
openssl_encrypt |
1.4.0 | No afectada |
Nota: No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto es muy alto en confidencialidad, integridad y disponibilidad (vector CVSS: VC:H/VI:H/VA:H). Un atacante puede ejecutar comandos arbitrarios en el sistema que ejecuta la biblioteca openssl_encrypt, comprometiendo por completo el activo. Dado que el ataque es explotable por red sin autenticación, el riesgo es extremo. La puntuación CVSS 9.3 y la prioridad 185 asignada por RyzerBot reflejan la urgencia de la actualización.
Estado de explotación conocida
No se ha confirmado explotación activa en las fuentes oficiales consultadas (NVD, CVE.org, GitHub advisory, VulnCheck). La selección de esta CVE se basa en su publicación reciente y puntuación CVSS ≥ 9.0, no en evidencia de explotación. Se recomienda monitorizar las fuentes oficiales ante posibles novedades.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detectan comportamientos anómalos en sistemas que ejecuten openssl_encrypt, se aconseja realizar un análisis forense interno.
Cómo comprobar si estás afectado
Para determinar si tu sistema está afectado, verifica la versión instalada de la biblioteca openssl_encrypt. Puedes usar el gestor de paquetes de Python (pip) u otras herramientas de inventario de software. No se proporcionan comandos específicos en las fuentes, pero un método habitual es ejecutar pip show openssl_encrypt en el entorno donde se utilice la librería. Si la versión es anterior a 1.4.0, estás en riesgo.
Nota: No se ha publicado un script de validación específico en las fuentes consultadas.
Mitigación y actualización
La acción recomendada por NVD y el fabricante es actualizar a la versión 1.4.0 o superior de openssl_encrypt. No se han publicado parches alternativos o mitigaciones temporales en las fuentes consultadas. Se insta a los administradores a:
- Consultar el aviso de seguridad oficial en GitHub: GHSA-m25m-ggxg-239c
- Actualizar la librería lo antes posible usando
pip install --upgrade openssl_encrypt. - Revisar la documentación del fabricante para cualquier paso adicional.
Checklist para administradores
Acciones inmediatas
- ☐ Identificar todos los sistemas que ejecutan openssl_encrypt.
- ☐ Verificar la versión instalada de la biblioteca.
- ☐ Si la versión es anterior a 1.4.0, planificar la actualización urgente.
- ☐ Aplicar la actualización a la versión 1.4.0 o superior.
- ☐ Revisar los registros de actividad en busca de posibles accesos no autorizados.
- ☐ Notificar al equipo de seguridad sobre la vulnerabilidad.
Preguntas frecuentes
1. ¿Esta vulnerabilidad afecta a la biblioteca estándar OpenSSL de C?
No. El producto afectado es la biblioteca Python openssl_encrypt, no la librería OpenSSL de C. Verifique el nombre exacto del paquete.
2. ¿Se requiere autenticación para explotar CVE-2026-74899?
No. El vector CVSS indica privilegios requeridos: ninguno (PR:N). Cualquier atacante remoto puede explotarlo sin necesidad de credenciales.
3. ¿Existe algún parche o mitigación temporal?
Según las fuentes oficiales, la única solución publicada es actualizar a la versión 1.4.0. No se han proporcionado mitigaciones alternativas.
4. ¿Cómo sé si mi sistema ha sido comprometido?
No se han publicado indicadores de compromiso. Revise los logs del sistema y de la aplicación en busca de comandos inusuales o intentos de ejecución remota.
5. ¿Qué es el sandbox escape de IsolatedPluginExecutor?
Es una técnica que permite a un atacante salir del entorno restringido del ejecutor de plugins y acceder a funciones del sistema operativo. En este caso, aprovechando la jerarquía de clases de Python.
6. ¿Esta vulnerabilidad está siendo explotada activamente?
No consta explotación activa en las fuentes consultadas. No obstante, debido a su criticidad, se recomienda actuar con urgencia.