Alerta CRÍTICA: Se ha publicado la vulnerabilidad CVE-2026-37719, que afecta a dormakaba evolo Service (todas las versiones). Un atacante remoto sin autenticación podría ejecutar código arbitrario con privilegios de SYSTEM en el sistema afectado, comprometiendo por completo la confidencialidad, integridad y disponibilidad del servicio. La puntuación CVSS v3.1 es de 9.8 (Crítica), por lo que se recomienda revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada de forma inmediata.
Resumen ejecutivo
La vulnerabilidad CVE-2026-37719 ha sido publicada el 5 de octubre de 2026 y afecta a dormakaba evolo Service en todas sus versiones. El fallo, clasificado como CRÍTICO con una puntuación CVSS v3.1 de 9.8, permite a un atacante remoto ejecutar código arbitrario como SYSTEM a través de un componente .NET. La explotación no requiere autenticación ni interacción del usuario, lo que eleva significativamente el riesgo asociado.
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-37719 |
| Fabricante | dormakaba |
| Producto | evolo Service (todas las versiones) |
| Fecha de publicación | 5 de octubre de 2026 |
| Severidad | CRÍTICA |
| Puntuacion CVSS v3.1 | 9.8 (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-37719 es una vulnerabilidad de ejecución remota de código (RCE) que reside en un componente .NET de dormakaba evolo Service. Según la descripción publicada por NVD y CVE.org, un atacante remoto puede explotar este fallo para ejecutar código arbitrario con privilegios de SYSTEM, es decir, con el máximo nivel de privilegios en el sistema operativo Windows donde se ejecute el servicio.
La causa raíz se asocia a la categoría CWE-502: Deserialización de datos no confiables, lo que sugiere que el servicio procesa datos serializados sin validar adecuadamente su origen o contenido. Esta debilidad permite a un atacante manipular la entrada para inyectar objetos maliciosos que el componente .NET deserializa, ejecutando así código arbitrario en el contexto del servicio.
El vector CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H confirma que la vulnerabilidad es explotable de forma remota, sin necesidad de autenticación ni interacción del usuario, y que su impacto es total en cuanto a confidencialidad, integridad y disponibilidad. Aunque el alcance (S:U) es limitado, el impacto técnico es máximo, lo que justifica la clasificación de criticidad.
Es importante señalar que, aunque el recolector inicial clasificó el fabricante y producto como «n/a», las referencias oficiales del fabricante (dormakaba.com y el aviso DKSA-26-31-031) confirman que el producto afectado es dormakaba evolo Service.
Productos afectados
Según la información publicada por CVE.org y NVD, el producto afectado es:
- dormakaba evolo Service — todas las versiones.
No se han publicado versiones específicas no afectadas ni parches concretos en las fuentes consultadas.
Impacto
La explotación exitosa de esta vulnerabilidad permite a un atacante remoto:
- Ejecutar código arbitrario con privilegios de SYSTEM.
- Comprometer por completo la confidencialidad, integridad y disponibilidad del sistema afectado.
- Potencialmente, utilizar el sistema comprometido como punto de partida para movimientos laterales dentro de la red.
Dado que el servicio afectado es evolo Service, un componente de gestión de sistemas de control de acceso de dormakaba, el impacto podría extenderse a la infraestructura física de seguridad si el servicio se ejecuta en servidores críticos.
Explotación
El vector CVSS indica que la explotación es remota, con baja complejidad y sin requisitos de autenticación. No se han publicado detalles técnicos adicionales, exploits públicos ni pruebas de concepto en las fuentes consultadas.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. Se recomienda monitorizar los sistemas afectados en busca de actividad anómala y revisar los registros de eventos del servicio.
Cómo comprobar si estás afectado
Para determinar si tu instalación está afectada:
- Identifica si utilizas dormakaba evolo Service en tu infraestructura.
- Consulta el aviso oficial del fabricante: DKSA-26-31-031.
- Revisa la página de avisos de seguridad de dormakaba: dormakaba Security Advisories.
Mitigación y remediación
La acción recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Hasta que se disponga de un parche oficial, se recomienda:
- Restringir el acceso remoto al servicio mediante reglas de firewall.
- Limitar la exposición del servicio a redes no confiables.
- Monitorizar los registros del servicio en busca de actividad sospechosa.
Checklist de actuación
- Confirmar si se utiliza dormakaba evolo Service en el entorno.
- Revisar el aviso oficial DKSA-26-31-031.
- Aplicar la actualización o mitigación publicada por el fabricante.
- Restringir el acceso remoto al servicio afectado.
- Monitorizar los sistemas en busca de compromiso.
Preguntas frecuentes
¿Qué es dormakaba evolo Service?
Es un componente de la familia de productos evolo de dormakaba, utilizado en sistemas de control de acceso.
¿La vulnerabilidad es explotable de forma remota?
Sí, el vector CVSS indica que la explotación es remota y no requiere autenticación.
¿Existe parche disponible?
No se ha publicado información sobre parches específicos en las fuentes consultadas. Se recomienda revisar el aviso oficial del fabricante.
Fuentes y referencias
Productos y versiones vulnerables
Según la información publicada por NVD y CVE.org, el producto afectado es dormakaba evolo Service. La descripción de la vulnerabilidad indica que el problema está presente en todas las versiones de este componente. Sin embargo, es importante señalar que tanto NVD como CVE.org no han publicado una lista estructurada de versiones específicas afectadas, ni rangos de versiones con condiciones concretas (como «menor que» o «menor o igual que»).
La entrada de CVE.org en el campo affected muestra un único registro con el valor n/a tanto para el proveedor como para el producto y la versión, lo que impide confirmar mediante datos estructurados el alcance exacto de las versiones vulnerables. No obstante, la descripción textual es clara al afirmar que la afección abarca todas las versiones de dormakaba evolo Service.
Nota: No se dispone de una tabla de versiones específicas porque las fuentes consultadas no han publicado esa información de forma estructurada. Se recomienda consultar el aviso oficial del fabricante (DKSA-26-31-031) para obtener el listado detallado de versiones afectadas y las actualizaciones disponibles.
Impacto y riesgo
La vulnerabilidad CVE-2026-37719 ha sido clasificada con una puntuación CVSS v3.1 de 9.8 (CRITICAL), con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Este vector refleja un riesgo extremadamente alto por varias razones:
- Acceso remoto sin autenticación (AV:N / PR:N): Un atacante puede explotar la vulnerabilidad a través de la red sin necesidad de credenciales válidas.
- Complejidad de ataque baja (AC:L): No se requieren condiciones especiales ni conocimientos avanzados para llevar a cabo el ataque.
- Sin interacción del usuario (UI:N): La explotación no requiere que un usuario realice ninguna acción.
- Impacto total en la confidencialidad, integridad y disponibilidad (C:H/I:H/A:H): El atacante puede comprometer por completo la confidencialidad de los datos, modificarlos o destruirlos, y provocar la denegación del servicio.
La descripción de la vulnerabilidad indica que un atacante remoto puede ejecutar código arbitrario como SYSTEM a través de un componente .NET. Esto implica que el atacante obtendría los máximos privilegios del sistema operativo en el host donde se ejecuta el servicio, lo que podría permitirle:
- Instalar programas o malware.
- Crear cuentas con privilegios administrativos.
- Acceder a datos sensibles almacenados en el sistema.
- Deshabilitar medidas de seguridad y controles del sistema.
La puntuación de prioridad asignada por RyzerBot es de 220, lo que subraya la urgencia de aplicar medidas correctivas. El CWE asociado es CWE-502 (Deserialización de datos no confiables), lo que sugiere que la causa raíz podría estar relacionada con el procesamiento inseguro de datos serializados.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre la explotación activa de esta vulnerabilidad. No se menciona en el contexto que haya ataques conocidos en curso, ni se hace referencia a exploits públicos o pruebas de concepto disponibles. El campo ransomware indica que el uso en campañas de ransomware no se utiliza como criterio de selección, pero no confirma ni descarta su uso.
Dado que la CVE fue publicada recientemente (5 de octubre de 2026) y tiene una antigüedad de aproximadamente 35 horas en el momento de la evaluación, es posible que la investigación de explotación activa aún esté en curso. Se recomienda monitorizar los avisos del fabricante y las fuentes de inteligencia de amenazas para detectar cualquier indicio de explotación en el futuro.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad en NVD o CVE.org.
Es importante no inventar indicadores que no estén respaldados por las fuentes oficiales. En caso de que se necesiten IOC para labores de detección o búsqueda de amenazas, se recomienda consultar directamente los avisos de seguridad del fabricante dormakaba y las actualizaciones de NVD, que podrían incluir información adicional en el futuro.
Cómo comprobar si estás afectado
La información publicada por NVD y CVE.org indica que todas las versiones de dormakaba evolo Service están afectadas por esta vulnerabilidad crítica. Dado que el fabricante no ha especificado una lista de versiones concretas, la comprobación debe centrarse en identificar la presencia del componente .NET vulnerable dentro de la infraestructura.
Para determinar si tu despliegue está expuesto, sigue estas pautas:
- Inventario de activos: Localiza todos los sistemas donde esté instalado dormakaba evolo Service. Esto incluye servidores Windows que actúen como controladores de acceso, estaciones de gestión y cualquier equipo que ejecute el servicio.
- Verificación de versión: Consulta la versión exacta del software en cada sistema. Aunque el aviso indica que todas las versiones están afectadas, conocer la versión instalada es esencial para aplicar la mitigación correcta cuando el fabricante publique una actualización.
- Exposición de red: Determina si el servicio es accesible desde la red. El vector CVSS (
AV:N/AC:L/PR:N/UI:N) indica que la explotación es posible de forma remota sin autenticación, por lo que cualquier exposición a redes no confiables incrementa significativamente el riesgo. - Revisión de logs: Si tienes registros de eventos o logs de aplicación, busca actividad anómala relacionada con el servicio, especialmente intentos de conexión desde direcciones IP desconocidas o patrones de tráfico inusuales.
Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. No deben inventarse ni utilizarse listas de IOC no verificadas.
Mitigación y actualización
En el momento de la publicación de este análisis, no se ha confirmado la disponibilidad de un parche oficial. La acción recomendada por las fuentes es revisar el aviso del fabricante y aplicar la actualización o mitigación publicada. Mientras tanto, se deben implementar medidas compensatorias:
- Aislamiento de red: Restringe el acceso al servicio evolo Service únicamente a las subredes administrativas autorizadas. Utiliza firewalls o grupos de seguridad para bloquear el acceso desde Internet y desde segmentos de red no confiables.
- Segmentación: Si el servicio debe ser accesible desde múltiples ubicaciones, aísla los servidores que lo ejecutan en una zona de gestión dedicada con controles de acceso estrictos.
- Monitorización: Habilita la monitorización de eventos de seguridad en los sistemas afectados. Presta especial atención a la creación de procesos con privilegios elevados, modificaciones en el registro de Windows o la aparición de cuentas nuevas.
- Principio de mínimo privilegio: Verifica que las cuentas de servicio utilizadas por evolo Service tengan únicamente los permisos necesarios para su funcionamiento. La vulnerabilidad permite ejecución de código como SYSTEM, por lo que reducir el nivel de privilegio del servicio puede limitar el impacto.
- Seguimiento del aviso del fabricante: Consulta periódicamente el boletín de seguridad de dormakaba (DKSA-26-31-031) y la página de avisos de seguridad del grupo para conocer cuándo estará disponible la actualización oficial.
Es fundamental no aplicar parches no oficiales ni soluciones de terceros no verificadas. La ejecución de código arbitrario como SYSTEM implica que un atacante podría comprometer completamente el sistema operativo, por lo que cualquier mitigación debe ser implementada con cautela y validada en un entorno de pruebas.
Checklist para administradores
- ☐ Identificar todos los sistemas con dormakaba evolo Service instalado.
- ☐ Verificar la versión exacta del software en cada sistema afectado.
- ☐ Confirmar si el servicio es accesible desde redes no confiables.
- ☐ Aplicar reglas de firewall para restringir el acceso al servicio.
- ☐ Revisar logs y eventos de seguridad en busca de actividad sospechosa.
- ☐ Reducir los privilegios de las cuentas de servicio al mínimo necesario.
- ☐ Suscribirse al boletín de seguridad de dormakaba para recibir actualizaciones.
- ☐ Documentar el estado de exposición y las medidas compensatorias aplicadas.
- ☐ Planificar la aplicación del parche oficial cuando esté disponible.
- ☐ Realizar pruebas de validación tras implementar cualquier mitigación.
Preguntas frecuentes
¿Qué es CVE-2026-37719?
Es una vulnerabilidad crítica (CVSS 9.8) en dormakaba evolo Service que permite a un atacante remoto ejecutar código arbitrario como SYSTEM a través de un componente .NET. La clasificación CWE-502 indica que se trata de una deserialización insegura.
¿Qué sistemas están afectados?
Según las fuentes consultadas, todas las versiones de dormakaba evolo Service están afectadas. No se ha especificado una lista de versiones concretas ni plataformas adicionales.
¿Cómo se explota esta vulnerabilidad?
El vector CVSS (AV:N/AC:L/PR:N/UI:N) indica que la explotación es remota, no requiere autenticación ni interacción del usuario. Sin embargo, no se han publicado detalles técnicos del exploit ni pruebas de concepto en las fuentes consultadas.
¿Existe un parche disponible?
No se ha confirmado la disponibilidad de un parche oficial. La recomendación es revisar el aviso del fabricante (DKSA-26-31-031) y la página de avisos de seguridad de dormakaba para conocer las actualizaciones disponibles.
¿Qué debo hacer si estoy afectado?
Implementa las medidas compensatorias descritas en este artículo: restringe el acceso de red, monitoriza los sistemas, reduce privilegios y sigue las instrucciones del fabricante. No intentes aplicar parches no oficiales.
¿Esta vulnerabilidad está siendo explotada activamente?
Las fuentes consultadas no indican explotación activa ni uso en campañas de ransomware. La selección se basa en la criticidad, relevancia y puntuación del recolector, no en evidencia de explotación.
Fuentes oficiales
Consulta las siguientes fuentes para obtener información actualizada y verificada sobre esta vulnerabilidad:
- NVD – Detalle de CVE-2026-37719
- Aviso de seguridad dormakaba DKSA-26-31-031 (PDF)
- Avisos de seguridad de dormakaba Group
- Sitio web oficial de dormakaba
Este artículo se actualizará cuando el fabricante publique información adicional sobre parches o mitigaciones oficiales.