CVE-2026-76834: Vulnerabilidad crítica en b2evolution CMS

Resumen ejecutivo

La vulnerabilidad CVE-2026-76834 afecta a b2evolution CMS, un sistema de gestión de contenidos de código abierto. Se trata de una deserialización insegura de datos no confiables (CWE-502) que permite a un atacante no autenticado enviar objetos PHP serializados manipulados a través del endpoint htsrv/call_plugin.php. El fallo reside en un parche incompleto de la CVE-2016-8901, lo que permite evadir la validación existente en la función param_check_serialized_array() mediante el uso de claves de array con números enteros negativos.

Qué es la vulnerabilidad

La CVE-2026-76834 es una vulnerabilidad de inyección de objetos PHP (PHP Object Injection) causada por una deserialización insegura de datos proporcionados por el usuario. El problema se origina en la función param_check_serialized_array(), ubicada en el archivo inc/_core/_param.funcs.php (línea 2860). Esta función fue diseñada para validar que los datos serializados recibidos no contengan objetos PHP, como medida de protección contra ataques de deserialización.

Sin embargo, la validación implementada es incompleta. El código de verificación falla al rechazar payloads que utilizan claves de array con números enteros negativos. Esta deficiencia permite a un atacante construir una cadena serializada que evada la comprobación de seguridad y llegue hasta la función unserialize() sin ser bloqueada.

El endpoint vulnerable es htsrv/call_plugin.php (línea 49), accesible de forma remota y sin requerir autenticación previa. Un atacante puede enviar una petición POST con un payload malicioso que, al ser procesado por unserialize(), instancia objetos PHP arbitrarios con propiedades controladas por el atacante. Si el sistema contiene cadenas de gadgets POP (Property-Oriented Programming) adecuadas, el atacante podría lograr la ejecución de código arbitrario en el servidor.

Es importante destacar que esta vulnerabilidad representa un parche incompleto de la CVE-2016-8901, lo que indica que la corrección original no abordó todos los vectores de ataque posibles. La clasificación CWE-502 (Deserialization of Untrusted Data) confirma la naturaleza del problema.

El fabricante b2evolution ya ha publicado avisos y commits de corrección en su repositorio oficial de GitHub, aunque es fundamental que los administradores revisen el estado de soporte de su versión, ya que el proyecto anunció su fin de vida (EOL) en marzo de 2022.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-76834 afecta al CMS de código abierto b2evolution en las versiones comprendidas entre la 6.7.8 y la 7.2.5, ambas inclusive. Según los metadatos de CVE.org, el fabricante es b2evolution y el producto afectado es b2evolution CMS. La siguiente tabla resume el rango de versiones afectadas:

Desde la propia entrada de NVD, el aviso oficial del fabricante publicado en b2evolution.net/news/2022/03/26/2022-update-eol indica el fin de vida útil del producto a partir de 2022, lo que sugiere que los administradores que aún ejecuten estas versiones no recibirán parches oficiales de mantenimiento. No se han publicado en las fuentes consultadas versiones corregidas concretas que no sean los commits referenciados en GitHub (25c21cf9cc4261324001f9039509710b37ee2c4d, 335abf09bcea61717bd00bc1e3889f8100ebd1bb y 999b5ad1d59760d7e450ceb541f55432fc74cd27) sobre la rama de desarrollo, por lo que la única mitigación sólida documentada es actualizar fuera de ese rango, si existe una versión posterior, o aplicar los parches manuales citados.

Es importante recalcar que no hay en el contexto una versión «fixed» explícita más allá de los commits mencionados; cualquier instancia que ejecute una versión dentro del rango 6.7.8 – 7.2.5 debe considerarse vulnerable.

Impacto y riesgo

Esta vulnerabilidad se ha clasificado como CRITICAL con una puntuación CVSS v4.0 de 9.2 (vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N). El impacto potencial es muy elevado por tres motivos clave:

• Acceso no autenticado: el vector indica PR:N y UI:N, lo que significa que un atacante remoto sin credenciales y sin interacción de usuario puede explotar la vulnerabilidad.
• Compromiso total de disponibilidad, integridad y confidencialidad: la métrica de impacto muestra VC:H/VI:H/VA:H, es decir, compromiso alto de confidencialidad, integridad y disponibilidad de los datos y del sistema.
• Ejecución potencial de código arbitrario: la causa raíz es una deserialización insegura de datos no confiables (CWE-502) que, combinada con cadenas de gadgets adecuadas en el código de la aplicación o sus dependencias, puede derivar en ejecución remota de código (RCE).

El vector de ataque es de red (AV:N) y la complejidad es baja (AC:L), aunque existe un requisito de ataque de taladro (AT:P, probing) que matiza ligeramente el esfuerzo necesario. Aun así, el impacto combinado sitúa esta CVE entre las de mayor prioridad para cualquier organización que utilice b2evolution. El puntaje de prioridad calculado por el recolector es de 215, reflejo de su criticidad y de lo reciente de su publicación.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no declaran explícitamente que exista explotación activa en la naturaleza. No se incluye ninguna referencia a campañas, exploits funcionales publicados ni inclusiones en catálogos de explotación conocida (KEV). Sin embargo, la existencia de un gist técnico con detalles de la vulnerabilidad (https://gist.github.com/axg11/3e29501c33f6e1e05ac2a00107afd64e) y de un aviso de terceros de VulnCheck indica que la investigación de la falla es pública y que los detalles técnicos ya han sido divulgados, lo que incrementa significativamente la probabilidad de que se desarrollen exploits a corto plazo. Se recomienda asumir que es explotable y actuar de forma preventiva.

Indicadores de compromiso (IOC)

El campo ioc del contexto aparece vacío. Las fuentes consultadas (NVD, CVE.org y VulnCheck) no han publicado indicadores de compromiso estructurados para esta vulnerabilidad. No se incluyen IOC porque no se han extraído de las fuentes y no deben inventarse. En su lugar, se recomienda supervisar los registros de acceso al endpoint vulnerable htsrv/call_plugin.php, prestando especial atención a peticiones POST con parámetros que contengan cadenas serializadas de PHP anómalas o que no correspondan al patrón esperado por la aplicación.

Cómo comprobar si estás afectado

Para determinar si tu instalación de b2evolution CMS es vulnerable a CVE-2026-76834, debes verificar la versión exacta del software. Según los datos publicados por CVE.org y NVD, las versiones afectadas son todas aquellas comprendidas entre la 6.7.8 y la 7.2.5, ambas inclusive. Si tu versión se encuentra dentro de este rango, la instalación es susceptible a la vulnerabilidad.

El método más fiable para conocer la versión es consultar el panel de administración de b2evolution o revisar el archivo de configuración principal del CMS. La ruta exacta del archivo que contiene el número de versión no ha sido publicada en las fuentes consultadas, por lo que se recomienda revisar la documentación oficial del producto o inspeccionar los archivos del núcleo en busca de una constante de versión definida.

Adicionalmente, se debe prestar atención a la funcionalidad de plugins. La vulnerabilidad se explota mediante peticiones POST dirigidas al script htsrv/call_plugin.php. Si tu instalación tiene plugins habilitados y el archivo mencionado es accesible desde Internet, el riesgo de exposición es mayor. Un atacante no autenticado podría enviar payloads maliciosos serializados que, al ser procesados por unserialize(), podrían instanciar objetos PHP arbitrarios.

No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Por tanto, la revisión de logs del servidor web en busca de peticiones anómalas a call_plugin.php puede ser una medida complementaria, aunque no existen patrones oficiales publicados para esta detección.

Mitigación y actualización

La acción principal recomendada por las fuentes es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Sin embargo, es importante señalar que no se ha publicado en las fuentes consultadas una versión corregida específica que resuelva esta vulnerabilidad. El fabricante declaró el fin de vida útil (EOL) del producto en marzo de 2022, según la referencia oficial https://b2evolution.net/news/2022/03/26/2022-update-eol.

Dado el estado EOL del producto, es probable que no se publique un parche oficial. Como medida de mitigación inmediata, se recomienda aplicar las siguientes acciones:

• Restringir el acceso al script htsrv/call_plugin.php desde Internet mediante reglas de firewall o configuración del servidor web (por ejemplo, denegando peticiones POST a esta ruta).
• Deshabilitar plugins innecesarios que utilicen la funcionalidad de carga de plugins, reduciendo así la superficie de ataque.
• Evaluar la migración a un CMS alternativo con soporte activo, dado que el producto ha alcanzado su fin de vida.

Los commits de referencia publicados en el repositorio oficial de b2evolution pueden contener correcciones parciales relacionadas con la validación de arrays serializados, pero no se ha confirmado que resuelvan completamente esta vulnerabilidad. Se recomienda revisar estos cambios en el repositorio de GitHub para valorar si pueden aplicarse manualmente como medida temporal.

Checklist para administradores

• ☐ Identificar la versión exacta de b2evolution CMS instalada.
• ☐ Verificar si la versión está en el rango afectado (6.7.8 a 7.2.5).
• ☐ Confirmar si el archivo htsrv/call_plugin.php es accesible desde Internet.
• ☐ Revisar el aviso oficial del fabricante sobre el fin de vida del producto.
• ☐ Aplicar reglas de firewall para bloquear peticiones POST a call_plugin.php.
• ☐ Deshabilitar plugins no esenciales que utilicen la funcionalidad vulnerable.
• ☐ Evaluar la migración a un CMS con soporte activo y mantenimiento continuo.
• ☐ Monitorizar los logs del servidor en busca de actividad anómala hacia el script vulnerable.

Preguntas frecuentes

¿Qué es exactamente CVE-2026-76834?

Es una vulnerabilidad de tipo inyección de objetos PHP (CWE-502: Deserialización de Datos No Confiables) en b2evolution CMS, que afecta a las versiones 6.7.8 hasta 7.2.5. Se trata de una corrección incompleta de CVE-2016-8901, donde la validación de arrays serializados falla al rechazar claves de array con enteros negativos. Esto permite a atacantes no autenticados enviar objetos PHP serializados que llegan a unserialize().

¿Puede explotarse remotamente sin autenticación?

Sí. Según el vector CVSS publicado (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/...), el ataque requiere acceso de red (AV:N), no requiere privilegios (PR:N) ni interacción del usuario (UI:N). La complejidad de ataque es baja (AC:L), aunque existe un requisito de técnicas de ataque (AT:P).

¿Existe alguna versión corregida disponible?

No publicado por las fuentes consultadas. El fabricante declaró el fin de vida del producto en marzo de 2022, por lo que no se ha confirmado la existencia de una versión parcheada. Se recomienda contactar con el soporte oficial o considerar la migración.

¿Qué consecuencias puede tener la explotación?

La deserialización de datos no confiables puede permitir la instanciación de objetos PHP arbitrarios con propiedades controladas por el atacante. Si existen cadenas de gadgets (POP chains) adecuadas en el código, podría lograrse ejecución de código remoto, comprometiendo completamente la confidencialidad, integridad y disponibilidad del sistema.

¿La vulnerabilidad afecta a todos los plugins de b2evolution?

La explotación se realiza a través de htsrv/call_plugin.php, un script que gestiona llamadas a plugins. Si la instalación tiene plugins habilitados, el riesgo existe. Los plugins no esenciales deben deshabilitarse como medida de mitigación mientras no se aplique una solución definitiva.

¿Debo desplegar algún parche manual de los commits referenciados?

Los commits publicados en el repositorio oficial (25c21cf, 999b5ad, 335abf0) pueden contener mejoras en la validación de parámetros serializados. Sin embargo, no se ha confirmado que resuelvan completamente esta vulnerabilidad. Cualquier modificación manual del código debe realizarse con extrema precaución y realizando copias de seguridad previas.

Fuentes oficiales

Las siguientes referencias han sido publicadas en las fuentes consultadas (NVD y CVE.org) y se proporcionan como enlaces externos:

• NVD – Detalle de CVE-2026-76834
• Aviso del fabricante sobre EOL (2022)
• Descripción técnica (gist)
• Repositorio oficial de b2evolution
• Script vulnerable call_plugin.php
• Función param_check_serialized_array()
• Commit de referencia 25c21cf
• Commit de referencia 335abf0
• Commit de referencia 999b5ad
• Advisory de VulnCheck