🚨 Alerta de seguridad crítica
Se ha identificado una vulnerabilidad crítica en xShop, una tienda online open-source desarrollada en Laravel. La falla, registrada como CVE-2026-49849, permite a un administrador autenticado subir archivos .php maliciosos, lo que puede derivar en ejecución remota de código (RCE) en el servidor. Se recomienda aplicar la actualización a la versión 3.0.4 de forma inmediata.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-49849 |
| Fabricante | PHP Group |
| Producto | PHP (xShop, tienda Laravel) |
| Fecha de publicación | 2026-08-21 |
| Severidad | CRITICAL |
| CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) |
| Puntuación de prioridad | 215 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-49849 corresponde a una subida de archivos sin restricciones (CWE-434) en xShop, una aplicación de tienda online open-source desarrollada con Laravel. En la versión 3.0.3, un administrador autenticado puede subir archivos ejecutables, como archivos .php, sin validación adecuada. Al subir un archivo .php especialmente manipulado, un atacante puede lograr ejecución remota de código (RCE) en el servidor, comprometiendo completamente el sistema.
Esta vulnerabilidad fue reportada y corregida en la versión 3.0.4. El CVE ha sido asignado por el PHP Group y publicado en el NVD con una puntuación CVSS de 9.1 (CRITICAL).
Productos y versiones vulnerables
Según las fuentes consultadas, el producto afectado es:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| xShop (Laravel) | 3.0.3 | 3.0.4 |
No se han publicado otras versiones afectadas en las fuentes oficiales. Se recomienda a los usuarios de xShop verificar su versión y actualizar si es necesario.
Impacto y riesgo
La vulnerabilidad tiene un impacto crítico. El vector CVSS es AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, lo que significa:
- Acceso de red (AV:N): el ataque se realiza de forma remota.
- Complejidad baja (AC:L): no requiere condiciones especiales.
- Privilegios altos requeridos (PR:H): el atacante debe ser administrador autenticado.
- Sin interacción del usuario (UI:N).
- Cambio de alcance (S:C): el impacto puede afectar a componentes más allá del vulnerable.
- Confidencialidad, integridad y disponibilidad altas (C:H/I:H/A:H).
La puntuación de explotabilidad es 2,3 y la de impacto es 6,0. La puntuación de prioridad asignada por RyzerBot es de 215, lo que indica una atención urgente.
Estado de explotación conocida
⚠️ No publicado por las fuentes consultadas. No se ha confirmado explotación activa de esta vulnerabilidad en el momento de la publicación. La selección del bot se basa en la publicación reciente y en una puntuación CVSS igual o superior a 9.0, no en explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detecta actividad sospechosa, se recomienda realizar un análisis forense del sistema.
Cómo comprobar si estás afectado
Para determinar si tu instalación de xShop es vulnerable, verifica la versión de la aplicación. Si estás utilizando la versión 3.0.3, estás afectado. Puedes consultar la versión en el panel de administración o en el archivo composer.json del proyecto. No se han publicado otros métodos de comprobación en las fuentes oficiales.
Mitigación y actualización
La acción recomendada es actualizar a la versión 3.0.4 de xShop, que soluciona la vulnerabilidad. El fabricante ha publicado el parche en el repositorio oficial de GitHub. Los enlaces de referencia se incluyen en la sección de fuentes oficiales. No se han publicado mitigaciones temporales alternativas.
Pasos recomendados:
- Realizar una copia de seguridad completa de la aplicación y la base de datos.
- Actualizar xShop a la versión 3.0.4 mediante el gestor de paquetes o descargando la última versión desde el repositorio.
- Verificar que la actualización se ha aplicado correctamente.
- Revisar los logs del servidor en busca de posibles accesos no autorizados.
Checklist para administradores
- ☐ Verificar la versión actual de xShop.
- ☐ Realizar una copia de seguridad antes de la actualización.
- ☐ Actualizar a la versión 3.0.4 desde el repositorio oficial.
- ☐ Validar que la actualización se ha instalado correctamente.
- ☐ Revisar los logs de acceso y errores del servidor web.
- ☐ Monitorear la integridad de los archivos subidos por administradores.
- ☐ Informar al equipo de seguridad sobre la vulnerabilidad.
Preguntas frecuentes
¿Qué es CVE-2026-49849?
Es una vulnerabilidad crítica de subida de archivos sin restricciones en xShop, que permite a un administrador autenticado ejecutar código remoto en el servidor.
¿Qué productos están afectados?
Según las fuentes, solo xShop versión 3.0.3 está afectado.
¿Cómo puedo protegerme?
Actualizando a la versión 3.0.4, que corrige la vulnerabilidad.
¿Se requiere autenticación para explotar la vulnerabilidad?
Sí, el atacante debe ser un administrador autenticado en la aplicación.
¿Existe una puntuación CVSS?
Sí, 9.1 (CRITICAL) con vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.
¿Hay pruebas de explotación activa?
No publicado por las fuentes consultadas. No se ha confirmado explotación activa.