Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-109357, que afecta a LibreNMS en versiones anteriores a la 26.9.0. Esta falla permite a un atacante no autenticado eludir la autenticación LDAP y obtener acceso administrativo al sistema mediante una inyección en el filtro LDAP. Se recomienda aplicar la actualización oficial de manera inmediata.
Resumen ejecutivo
| CVE | CVE-2026-109357 |
|---|---|
| Fabricante | LibreNMS |
| Producto | LibreNMS |
| Fecha de publicación | 12 de octubre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.2 (CVSS:4.0) |
| Prioridad RyzerBot | 205 (Alta prioridad) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-109357 es una vulnerabilidad de tipo inyección de filtro LDAP (CWE-90) que afecta a LibreNMS, una popular plataforma de monitorización de red de código abierto. El fallo reside en los modos de autorización ldap-authorization y ad-authorization, donde los nombres de usuario se insertan sin escapar adecuadamente en los filtros de búsqueda LDAP.
La raíz del problema es doble. En primer lugar, los nombres de usuario no se sanitizan antes de ser incorporados a las consultas LDAP, lo que permite a un atacante manipular la estructura del filtro. En segundo lugar, el mecanismo de autenticación únicamente verifica que el usuario exista en el directorio LDAP, sin comprobar adecuadamente las credenciales cuando se utiliza la cabecera REMOTE_USER.
La explotación se produce cuando el servidor no reenvía la cabecera REMOTE_USER. En ese escenario, un atacante no autenticado puede enviar un nombre de usuario comodín a través de la autenticación básica HTTP (parámetro PHP_AUTH_USER). Al emplear caracteres comodín en el filtro LDAP, la consulta puede coincidir con todos los usuarios y grupos del directorio, lo que permite al atacante autenticarse como administrador sin conocer ninguna credencial válida.
Esta vulnerabilidad es especialmente grave porque no requiere autenticación previa ni interacción del usuario. El vector de ataque es completamente remoto y explotable a través de la red, lo que la convierte en un objetivo atractivo para campañas automatizadas. La puntuación CVSS de 9.2 refleja el alto impacto en la confidencialidad, integridad y disponibilidad del sistema afectado.
El fabricante ha publicado un aviso de seguridad en su repositorio oficial de GitHub (GHSA-7cmx-65c5-8h8v) y ha corregido el problema en la versión 26.9.0. Se recomienda encarecidamente a los administradores que actualicen sus instalaciones a esta versión o posterior lo antes posible.
Productos y versiones vulnerables
Según la información publicada por CVE.org, la vulnerabilidad afecta a LibreNMS en todas las versiones anteriores a 26.9.0. La versión 26.9.0 se considera no afectada y corrige el fallo.
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| LibreNMS | < 26.9.0 | 26.9.0 |
La vulnerabilidad está presente específicamente en los modos de autorización ldap-authorization y ad-authorization. Los administradores que utilicen estos métodos de autenticación deben considerar sus despliegues como afectados hasta que se aplique la actualización correspondiente.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.2, permite a un atacante no autenticado eludir por completo el mecanismo de autenticación de LibreNMS. El vector CVSS CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N indica que el ataque se realiza de forma remota (AV:N) sin necesidad de credenciales previas (PR:N) ni interacción del usuario (UI:N).
El impacto potencial es severo:
- Confidencialidad alta (VC:H): Un atacante podría obtener acceso de administrador a la plataforma, comprometiendo la confidencialidad de los datos de monitorización de red, credenciales almacenadas y otra información sensible.
- Integridad alta (VI:H): Con acceso administrativo, el atacante podría modificar la configuración de la plataforma, alterar dispositivos monitorizados o inyectar configuraciones maliciosas.
- Disponibilidad alta (VA:H): El atacante podría interrumpir el servicio de monitorización, eliminar datos críticos o provocar denegaciones de servicio.
Dado que LibreNMS se utiliza habitualmente para la monitorización de infraestructuras de red, una compromisión total de la plataforma podría servir como punto de partida para movimientos laterales dentro de la red corporativa, afectando a la seguridad general de la organización.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa en entornos reales para esta vulnerabilidad. El aviso de seguridad del fabricante (GHSA-7cmx-65c5-8h8v) y el análisis de terceros (VulnCheck) describen la vulnerabilidad y su mecanismo de explotación teórico, pero no se confirma explotación pública o activa en la naturaleza.
No obstante, la naturaleza de la vulnerabilidad —inyección en filtros LDAP mediante un comodín en el nombre de usuario— es técnicamente sencilla de reproducir y no requiere autenticación previa. Se recomienda asumir un riesgo elevado de explotación inminente y priorizar la aplicación de la actualización.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas para esta vulnerabilidad. Las referencias disponibles (NVD, CVE.org, aviso de GitHub y análisis de VulnCheck) no publican IOC específicos como direcciones IP, hashes de archivos o dominios maliciosos asociados a esta CVE.
En ausencia de IOC publicados, se recomienda a los administradores revisar los registros de autenticación de LibreNMS y los logs del servidor LDAP en busca de intentos de autenticación con nombres de usuario inusuales, especialmente patrones que contengan caracteres comodín (*) o secuencias de escape LDAP anómalas.
Cómo comprobar si estás afectado
Para determinar si tu instancia de LibreNMS es vulnerable a CVE-2026-109357, debes verificar la versión exacta del software que estás ejecutando. La vulnerabilidad afecta a todas las versiones anteriores a 26.9.0. Si tu versión es igual o superior a 26.9.0, no estás afectado por esta CVE.
Además de la versión, es crucial revisar la configuración de autenticación. Esta vulnerabilidad solo es explotable si tu instancia utiliza los modos ldap-authorization o ad-authorization. Si utilizas autenticación local, MySQL u otros métodos, no estás expuesto a este vector de ataque específico.
Para verificar la versión, accede a la interfaz web de LibreNMS y navega hasta la sección de «Acerca de» o «About», donde normalmente se muestra el número de versión. También puedes revisar el archivo composer.json en el directorio raíz de la instalación o consultar la salida del comando ./validate.php si está disponible en tu instalación. No se deben ejecutar comandos no documentados oficialmente.
Si no puedes determinar la versión con certeza, contacta con el administrador del sistema o revisa la documentación interna de despliegue. Es recomendable asumir que estás afectado si no puedes confirmar que tu versión es la 26.9.0 o posterior.
Mitigación y actualización
La acción principal recomendada es actualizar LibreNMS a la versión 26.9.0 o posterior, que es la versión que corrige esta vulnerabilidad según la información publicada por el fabricante. No se han publicado parches alternativos ni mitigaciones temporales oficiales en las fuentes consultadas.
Mientras se planifica la actualización, se deben considerar las siguientes medidas de contención:
- Restringir el acceso a la interfaz web: Limita el acceso a LibreNMS mediante reglas de firewall o listas de control de acceso (ACL) para que solo sea accesible desde redes o direcciones IP confiables.
- Revisar la configuración de
REMOTE_USER: Asegúrate de que el servidor web no esté configurado para reenviar la cabeceraREMOTE_USERde forma insegura. La vulnerabilidad es explotable cuando esta cabecera no se reenvía, pero la configuración debe revisarse para evitar otros vectores. - Monitorizar los logs de autenticación: Revisa los registros de acceso y autenticación en busca de intentos de inicio de sesión con nombres de usuario inusuales, especialmente aquellos que contengan caracteres comodín como
*.
Es fundamental seguir el aviso oficial del fabricante para obtener instrucciones detalladas y cualquier actualización adicional. La referencia oficial es el aviso de seguridad de GitHub: GHSA-7cmx-65c5-8h8v.
Checklist para administradores
- ☐ Identificar la versión exacta de LibreNMS en producción.
- ☐ Confirmar si la autenticación está configurada en modo
ldap-authorizationoad-authorization. - ☐ Si la versión es anterior a 26.9.0, planificar la actualización inmediata a la versión corregida.
- ☐ Revisar los logs de acceso en busca de intentos de autenticación sospechosos con caracteres comodín.
- ☐ Verificar que el servidor web no reenvía la cabecera
REMOTE_USERde forma insegura. - ☐ Restringir el acceso a la interfaz web de LibreNMS mediante reglas de firewall o ACL.
- ☐ Consultar el aviso oficial del fabricante para obtener información adicional o actualizaciones.
- ☐ Tras la actualización, validar que la autenticación LDAP/AD funciona correctamente.
Preguntas frecuentes
¿Qué es CVE-2026-109357?
Es una vulnerabilidad crítica de inyección en filtros LDAP en LibreNMS, con una puntuación CVSS de 9.2. Permite a un atacante no autenticado, mediante el envío de un nombre de usuario con comodín en la cabecera HTTP Basic Authorization, eludir la autenticación y obtener acceso de administrador.
¿Qué versiones de LibreNMS están afectadas?
Todas las versiones anteriores a la 26.9.0 están afectadas. La versión 26.9.0 es la que corrige la vulnerabilidad.
¿Qué modos de autenticación son vulnerables?
Los modos ldap-authorization y ad-authorization son los afectados. Si utilizas autenticación local u otros métodos, no estás expuesto a este vector específico.
¿Cómo puedo saber si he sido atacado?
Revisa los logs de autenticación en busca de intentos de inicio de sesión con nombres de usuario que contengan caracteres comodín (*) o que no correspondan a usuarios legítimos. La monitorización de logs es la única forma de detectar un posible intento de explotación.
¿Existe algún parche o mitigación temporal?
La única solución publicada es actualizar a la versión 26.9.0 o posterior. No se han publicado parches alternativos en las fuentes consultadas. Las medidas de contención como restringir el acceso por red pueden reducir la exposición mientras se planifica la actualización.
¿Qué es CWE-90?
Es la clasificación de la debilidad subyacente: «Improper Neutralization of Special Elements used in an LDAP Query (LDAP Injection)». Indica que la aplicación no neutraliza correctamente los caracteres especiales en las consultas LDAP, permitiendo la inyección.
Fuentes oficiales
Para obtener información detallada y actualizaciones, consulta las siguientes fuentes oficiales: