Alerta crítica: Se ha publicado la CVE-2026-93352, una vulnerabilidad de ejecución remota de código (RCE) en laravel-mediable 7.0.0 anterior a 7.0.2. La causa es un parche incompleto de la CVE-2026-49972 que omite la extensión .pht en la lista negra de extensiones prohibidas. Un atacante puede subir un archivo .pht que Apache ejecutará como PHP en sistemas Debian y Ubuntu, logrando RCE con los privilegios del proceso del servidor web.
Resumen ejecutivo
| CVE | CVE-2026-93352 |
|---|---|
| Fabricante | plank |
| Producto | laravel-mediable |
| Fecha de publicación | 23 de septiembre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Prioridad RyzerBot | 235 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-93352 es una vulnerabilidad de tipo subida de archivo sin restricciones (CWE-434) que afecta a laravel-mediable, una librería para gestionar archivos multimedia en aplicaciones Laravel. El problema reside en un parche incompleto de una vulnerabilidad anterior, la CVE-2026-49972.
Para corregir la CVE-2026-49972, se introdujo una lista negra de extensiones prohibidas (forbidden_extensions) en el archivo config/mediable.php. Sin embargo, esta lista incluye la extensión phpt pero omite la extensión .pht. Esta omisión es crítica porque Apache, en su configuración predeterminada en sistemas Debian y Ubuntu, ejecuta los archivos con extensión .pht como PHP mediante la directiva FilesMatch.
El flujo de explotación es el siguiente:
- El atacante sube un archivo con extensión
.phtque contiene código PHP malicioso. - El archivo pasa las validaciones de
MediaUploader::verifyExtension()yFile::sanitizeFileName()porquephtno está en la lista negra. - El archivo se escribe en el disco del servidor.
- Cuando el atacante solicita el archivo a través del servidor web, Apache lo ejecuta como PHP.
El resultado es la ejecución remota de código (RCE) con los privilegios del proceso del servidor web, lo que puede comprometer completamente la aplicación y el servidor.
La vulnerabilidad ha sido clasificada con una puntuación CVSS de 9.3 (CRÍTICA) según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, lo que indica que es explotable de forma remota sin autenticación y sin interacción del usuario, con alto impacto en la confidencialidad, integridad y disponibilidad.
Las versiones afectadas son 7.0.0 hasta antes de 7.0.2. La versión 7.0.2 corrige el problema al incluir la extensión .pht en la lista negra.
Productos y versiones vulnerables
La vulnerabilidad afecta al paquete laravel-mediable del proveedor plank. Según la información publicada por CVE.org y NVD, la versión afectada es la siguiente:
| Producto | Proveedor | Versión afectada | Versión corregida |
|---|---|---|---|
| laravel-mediable | plank | 7.0.0 | 7.0.2 |
La versión 7.0.1 no aparece en las fuentes consultadas como publicada o afectada; la información disponible indica que la corrección se incorpora en la versión 7.0.2. No se han publicado otras versiones afectadas en los avisos oficiales referenciados.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.3 según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, permite a un atacante remoto no autenticado lograr ejecución remota de código en el servidor web con los privilegios del proceso del servidor.
El fallo se origina en un parche incompleto de la vulnerabilidad previa CVE-2026-49972. La lista negra de extensiones prohibidas en config/mediable.php incluye la extensión phpt pero omite pht. Esta omisión es explotable en sistemas Debian y Ubuntu que ejecutan Apache, ya que la directiva FilesMatch predeterminada de Apache trata los archivos .pht como PHP.
El impacto técnico se desglosa de la siguiente manera:
- Confidencialidad, integridad y disponibilidad altas: el atacante puede leer, modificar o eliminar archivos del servidor, así como interrumpir el servicio.
- Complejidad de ataque baja: no se requieren condiciones especiales de red ni configuración adicional más allá de la configuración predeterminada de Apache en las distribuciones mencionadas.
- Sin interacción del usuario: la explotación no requiere que un usuario legítimo realice ninguna acción.
- Privilegios del proceso web: el código ejecutado corre con los permisos del usuario del servidor web, lo que puede facilitar la escalada lateral si el servicio está mal aislado.
El vector CVSS no refleja impacto en la cadena de suministro (SC:N) ni en la integridad o disponibilidad del sistema (SI:N, SA:N), pero el impacto directo sobre el activo es máximo en las tres dimensiones clásicas.
Estado de explotación conocida
Las fuentes consultadas —NVD, CVE.org y el aviso de VulnCheck— describen el mecanismo de explotación de forma detallada: un atacante puede subir un archivo con extensión .pht que supera las validaciones de MediaUploader::verifyExtension() y File::sanitizeFileName() porque la extensión no está en la lista negra, y posteriormente solicitar el archivo para que Apache lo ejecute como PHP.
Sin embargo, ninguna de las fuentes del contexto confirma explotación activa en entornos reales. No se publican fechas de primer avistamiento, campañas asociadas ni muestras de exploits públicos. Por tanto, el estado de explotación conocida se considera no confirmado por las fuentes consultadas, aunque la facilidad de explotación descrita y la naturaleza del fallo elevan sustancialmente el riesgo práctico.
Indicadores de compromiso (IOC)
El campo enrichment.ioc de las fuentes consultadas está vacío. No se han extraído indicadores de compromiso estructurados —direcciones IP, dominios, hashes de archivos, rutas específicas o cadenas de red— de NVD, CVE.org ni de los avisos referenciados.
En consecuencia, no se publican IOC en este análisis. Se recomienda a los administradores que, ante la sospecha de compromiso, revisen los registros de acceso al servidor web en busca de solicitudes a archivos con extensión .pht en rutas de subida de medios, así como la presencia de archivos de este tipo en el almacenamiento de la aplicación.
La ausencia de IOC publicados no debe interpretarse como ausencia de actividad maliciosa; simplemente refleja que las fuentes oficiales no han difundido indicadores hasta la fecha de publicación de este análisis.
Cómo comprobar si estás afectado
Para determinar si tu instalación es vulnerable a CVE-2026-93352, debes verificar dos aspectos fundamentales: la versión del paquete plank/laravel-mediable y la configuración de extensiones bloqueadas. La vulnerabilidad afecta exclusivamente a las versiones 7.0.0 hasta anteriores a 7.0.2.
1. Verifica la versión instalada
Revisa el archivo composer.lock de tu proyecto o ejecuta el comando de listado de dependencias de Composer para confirmar la versión exacta de plank/laravel-mediable. Si la versión es 7.0.0 o una anterior a 7.0.2, tu instalación es vulnerable.
2. Inspecciona la lista de extensiones prohibidas
La causa raíz de esta vulnerabilidad es un parche incompleto de CVE-2026-49972. El archivo config/mediable.php contiene una lista negra denominada forbidden_extensions. En las versiones afectadas, esta lista incluye la extensión phpt pero omite pht. Debes revisar este archivo de configuración y confirmar si pht está presente en dicha lista.
Nota importante: La ausencia de
phten la lista negra permite que un atacante suba un archivo con esta extensión. En sistemas Debian y Ubuntu, Apache ejecuta los archivos.phtcomo PHP mediante la directivaFilesMatchpredeterminada, lo que deriva en ejecución remota de código.
3. Evalúa tu exposición real
No basta con tener la versión vulnerable; el riesgo se materializa si tu aplicación permite la subida de archivos a través de MediaUploader. Si no utilizas esta funcionalidad o si el servidor web no está configurado para ejecutar .pht como PHP, el impacto podría ser menor, pero la vulnerabilidad sigue presente y debe corregirse.
Mitigación y actualización
La acción principal es aplicar la actualización publicada por el fabricante. Según las fuentes consultadas, la versión 7.0.2 de plank/laravel-mediable corrige esta vulnerabilidad. El parche está disponible en el repositorio oficial del proyecto.
Pasos recomendados
- Actualiza el paquete a la versión
7.0.2o superior. Consulta la documentación oficial del proyecto para obtener las instrucciones específicas de actualización. - Verifica la integridad del parche: tras actualizar, confirma que la extensión
phtestá incluida en la listaforbidden_extensionsdel archivoconfig/mediable.php. - Revisa los archivos subidos: si sospechas que tu sistema ha sido comprometido, audita los archivos almacenados en el directorio de medios en busca de archivos con extensiones peligrosas como
.pht,.php,.pharu otras no permitidas. - Refuerza la configuración del servidor: aunque apliques el parche, es buena práctica asegurarse de que el servidor web no ejecute archivos con extensiones de script en el directorio de subida de medios. Esto se puede lograr mediante directivas de configuración específicas del servidor.
Checklist para administradores
- ☐ Confirmar la versión de
plank/laravel-mediableencomposer.lock. - ☐ Si la versión es 7.0.0 o anterior a 7.0.2, considerar el sistema como vulnerable.
- ☐ Revisar
config/mediable.phpy verificar siphtestá enforbidden_extensions. - ☐ Aplicar la actualización a la versión 7.0.2 o superior.
- ☐ Tras actualizar, verificar que
phtestá en la lista negra de extensiones. - ☐ Auditar el directorio de medios en busca de archivos
.phto sospechosos. - ☐ Revisar los registros del servidor web en busca de peticiones a archivos
.pht. - ☐ Reforzar la configuración de Apache/Nginx para impedir la ejecución de scripts en el directorio de subida.
- ☐ Si se detecta actividad maliciosa, considerar la rotación de credenciales y la revisión de otros sistemas conectados.
Preguntas frecuentes
¿Qué es CVE-2026-93352?
Es una vulnerabilidad crítica de ejecución remota de código en plank/laravel-mediable 7.0.0 hasta 7.0.1. Se debe a un parche incompleto de CVE-2026-49972 que omite la extensión .pht de la lista de extensiones prohibidas, permitiendo que Apache la ejecute como PHP.
¿Qué versión corrige la vulnerabilidad?
Según las fuentes consultadas, la versión 7.0.2 de plank/laravel-mediable incluye el parche que añade pht a la lista negra de extensiones.
¿Cómo puedo saber si mi servidor ha sido comprometido?
Revisa el directorio de medios en busca de archivos con extensión .pht y consulta los registros de acceso del servidor web para identificar peticiones a este tipo de archivos. La presencia de archivos .pht no autorizados es un indicador claro de explotación.
¿La vulnerabilidad afecta a todos los entornos?
El riesgo de ejecución se materializa en servidores Apache sobre Debian o Ubuntu que ejecutan archivos .pht como PHP por defecto. En otros entornos, el impacto podría ser menor, pero la vulnerabilidad de subida de archivos peligrosos sigue presente.
¿Qué es CWE-434?
Es la clasificación de la debilidad subyacente: «Unrestricted Upload of File with Dangerous Type». Esta categoría agrupa vulnerabilidades donde la aplicación no restringe adecuadamente los tipos de archivo que se pueden subir.
¿Debo preocuparme si no uso la funcionalidad de subida de archivos?
Aunque no utilices la funcionalidad de subida, es recomendable actualizar el paquete para eliminar cualquier superficie de ataque potencial. La vulnerabilidad podría explotarse a través de otras rutas que utilicen el componente.
Fuentes oficiales
Para obtener información detallada y actualizaciones oficiales, consulta las siguientes referencias:
- NVD – CVE-2026-93352
- Commit de parche en el repositorio oficial
- Pull request con la corrección
- Notas de la versión 7.0.2
- Aviso de VulnCheck sobre la vulnerabilidad
Se recomienda revisar periódicamente estas fuentes para estar al tanto de cualquier actualización o información adicional sobre esta vulnerabilidad.