🚨 Alerta de seguridad: Se ha publicado CVE-2026-74901, una vulnerabilidad crítica en la librería openssl_encrypt que permite a un atacante remoto eludir la verificación de integridad de AES-GCM y realizar ataques de bit-flipping sin ser detectado. La puntuación CVSS es 9.3 (CRITICAL). Se recomienda aplicar la actualización a la versión 1.4.0 lo antes posible.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-74901 |
| Fabricante | jahlives (openssl_encrypt) |
| Producto | openssl_encrypt |
| Fecha de publicación | 2026-08-17 |
| Severidad | CRITICAL |
| CVSS | 9.3 (Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X) |
| Puntuación de prioridad | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-74901 reside en la librería openssl_encrypt, específicamente en el archivo pqc.py. Cuando se produce un fallo en la desencriptación con AES-GCM, el código realiza una degradación (fallback) a modo AES-CTR sin autenticación. Esta falta de verificación de integridad permite a un atacante remoto modificar el texto cifrado durante la transmisión, eludir la validación de integridad y llevar a cabo ataques de bit-flipping sin que el sistema lo detecte.
El fallo se clasifica como Improper Verification of Cryptographic Signature (CWE sin publicar por las fuentes consultadas).
Productos y versiones vulnerables
Según la información publicada por CVE.org, el producto afectado es:
| Fabricante | Producto | Versiones afectadas | Versión corregida |
|---|---|---|---|
| jahlives | openssl_encrypt | anteriores a 1.4.0 | 1.4.0 |
No se han identificado otros productos afectados en las fuentes consultadas.
Impacto y riesgo
La explotación de esta vulnerabilidad permite a un atacante:
- Modificar datos cifrados en tránsito sin ser detectado.
- Realizar ataques de bit-flipping, alterando el contenido de los mensajes cifrados.
- Eludir la verificación de integridad que proporciona AES-GCM, comprometiendo la confidencialidad e integridad de los datos.
Dado que el vector de ataque es remoto, no requiere autenticación ni interacción del usuario, y la complejidad del ataque es baja, el riesgo es muy alto. La puntuación CVSS 9.3 refleja la criticidad del fallo.
Estado de explotación conocida
No se ha publicado información sobre explotación activa en las fuentes consultadas. La selección de esta CVE se ha realizado por su reciente publicación y su puntuación CVSS 9.0 o superior, no por evidencia de explotación.
Indicadores de compromiso (IOC)
No se han extraído Indicadores de Compromiso estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de openssl_encrypt es vulnerable:
- Comprueba la versión instalada de
openssl_encrypt. Si es inferior a 1.4.0, estás afectado. - Revisa la documentación oficial del proyecto para conocer el método de actualización.
No se dispone de comandos de verificación específicos en las fuentes consultadas.
Mitigación y actualización
La acción recomendada es actualizar a la versión 1.4.0 de openssl_encrypt. El fabricante (jahlives) ha publicado un aviso de seguridad en GitHub:
https://github.com/jahlives/openssl_encrypt/security/advisories/GHSA-w4j7-wfgw-r52w
No se dispone de parches temporales ni mitigaciones alternativas en las fuentes consultadas.
Checklist para administradores
- Identificar la versión de openssl_encrypt en todos los sistemas.
- Verificar que la versión sea 1.4.0 o superior.
- Aplicar la actualización a la versión 1.4.0 siguiendo las instrucciones oficiales.
- Revisar los logs en busca de posibles intentos de explotación (ataques de bit-flipping).
- Monitorear fuentes de seguridad para futuras actualizaciones de IOC.
- Incluir esta CVE en el plan de parcheo prioritario.
Preguntas frecuentes
- ¿Qué es openssl_encrypt?
Es una librería que proporciona funciones de cifrado basadas en OpenSSL, utilizada en aplicaciones que requieren protección de datos. - ¿Cómo funciona el ataque?
Al fallar la desencriptación con AES-GCM, el código cae a modo AES-CTR sin autenticación, permitiendo al atacante modificar el ciphertext sin ser detectado. - ¿Está siendo explotada activamente esta vulnerabilidad?
No hay información pública sobre explotación activa en las fuentes consultadas. - ¿Qué debo hacer si mi versión es anterior a 1.4.0?
Actualizar inmediatamente a la versión 1.4.0. No hay mitigaciones alternativas documentadas. - ¿Afecta a OpenSSL oficial?
No, el producto afectado es la librería openssl_encrypt, no la biblioteca OpenSSL de código abierto. - ¿Dónde puedo obtener más información?
En las fuentes oficiales listadas a continuación.