Alerta CRÍTICA: Microsoft ha publicado una actualización de seguridad para corregir una vulnerabilidad de HTTP Request/Response Smuggling (CWE-444) en ASP.NET Core que permite a un atacante no autenticado eludir una característica de seguridad mediante peticiones HTTP manipuladas. La vulnerabilidad, identificada como CVE-2026-70188, afecta a múltiples versiones de ASP.NET Core y Visual Studio, y ha recibido una puntuación CVSS de 9.1 (Crítico). Se recomienda encarecidamente revisar el aviso oficial y aplicar las actualizaciones publicadas por el fabricante.
Resumen ejecutivo
Se ha detectado una vulnerabilidad crítica en ASP.NET Core que permite a un atacante remoto no autenticado realizar ataques de HTTP Request Smuggling, lo que podría comprometer la integridad y confidencialidad de las aplicaciones afectadas. La causa raíz reside en una interpretación inconsistente de las peticiones HTTP entre el servidor y los proxies intermediarios, lo que permite al atacante inyectar peticiones maliciosas que eluden las restricciones de seguridad.
| CVE | CVE-2026-70188 |
|---|---|
| Fabricante | Microsoft |
| Producto | ASP.NET Core (múltiples versiones) |
| Fecha de publicación | 13 de octubre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) |
| Prioridad RyzerBot | 215 (Alta prioridad) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-70188 es un fallo de tipo HTTP Request/Response Smuggling, clasificado como CWE-444. Este tipo de vulnerabilidad surge cuando un servidor web y un proxy intermediario (o balanceador de carga) interpretan de manera diferente los límites de una petición HTTP. Un atacante puede explotar esta discrepancia para «envenenar» la conexión entre el proxy y el servidor backend, haciendo que una petición maliciosa sea interpretada como dos peticiones separadas.
En el contexto de ASP.NET Core, la interpretación inconsistente de las peticiones HTTP permite a un atacante no autenticado eludir una característica de seguridad. Esto significa que un atacante podría inyectar una petición HTTP maliciosa que, al ser procesada por el servidor, podría omitir controles de autenticación, autorización o cualquier otra política de seguridad implementada en la aplicación. El impacto potencial es alto, ya que el atacante podría obtener acceso a recursos restringidos o manipular el comportamiento de la aplicación.
La vulnerabilidad afecta a varias versiones de ASP.NET Core, incluyendo las ramas 8.0, 9.0, 10.0 y 11.0 (esta última en versión Release Candidate), así como a Microsoft Visual Studio 2022 y 2026. La actualización publicada por Microsoft corrige la forma en que ASP.NET Core procesa las peticiones HTTP, asegurando una interpretación consistente y eliminando la posibilidad de realizar ataques de smuggling.
Es importante destacar que la vulnerabilidad es explotable a través de la red, sin necesidad de credenciales previas, lo que aumenta su gravedad. La puntuación CVSS de 9.1 refleja el alto impacto en la confidencialidad e integridad de los datos, aunque no afecta a la disponibilidad del servicio.
Productos y versiones vulnerables
Según la información publicada por CVE.org, la vulnerabilidad afecta a varias versiones de ASP.NET Core y a dos versiones de Microsoft Visual Studio. La siguiente tabla resume los productos, las versiones afectadas y las versiones corregidas, cuando han sido publicadas por las fuentes consultadas:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| ASP.NET Core 10.0 | 10.0 | 10.0.13 |
| ASP.NET Core 11.0 | 11.0 | 11.0.0-rc.2 |
| ASP.NET Core 8.0 | 8.0 | 8.0.32 |
| ASP.NET Core 9.0 | 9.0 | 9.0.21 |
| Microsoft Visual Studio 2022 versión 17.14 | 17.14.0 | 17.14.42 |
| Microsoft Visual Studio 2026 versión 18.10 | 18.10.0 | 18.10.4 |
No se han publicado otras versiones afectadas en las fuentes consultadas. Se recomienda revisar el aviso oficial del fabricante para confirmar el alcance exacto y obtener los paquetes de actualización correspondientes.
Impacto y riesgo
La vulnerabilidad CVE-2026-70188 presenta una puntuación CVSS v3.1 de 9.1, clasificada como CRÍTICA. El vector asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, lo que indica:
- Vector de ataque (AV): Red (N). El ataque puede realizarse de forma remota.
- Complejidad del ataque (AC): Baja (L). No se requieren condiciones especiales para explotarla.
- Privilegios necesarios (PR): Ninguno (N). No se requiere autenticación.
- Interacción del usuario (UI): Ninguna (N). No se necesita interacción de un usuario.
- Impacto en confidencialidad (C): Alto (H). Un atacante podría acceder a información sensible.
- Impacto en integridad (I): Alto (H). Un atacante podría modificar datos.
- Impacto en disponibilidad (A): Ninguno (N). No se afecta la disponibilidad del servicio.
La causa raíz se describe como una interpretación inconsistente de las peticiones HTTP (CWE-444), comúnmente conocida como HTTP Request/Response Smuggling. Esta clase de vulnerabilidad permite a un atacante no autenticado enviar peticiones especialmente diseñadas que son interpretadas de forma diferente por los componentes involucrados (por ejemplo, un proxy y el servidor de aplicaciones). El impacto práctico puede incluir el bypass de controles de seguridad, como reglas de firewall de aplicación web (WAF), listas de control de acceso o mecanismos de autenticación, así como la posibilidad de envenenar la caché o secuestrar sesiones de otros usuarios.
Dado que el vector de ataque es remoto y no requiere privilegios, el riesgo de explotación en entornos expuestos a Internet es elevado. Se recomienda priorizar la aplicación de las actualizaciones publicadas por Microsoft.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en el momento de la publicación del aviso. No se debe asumir explotación en curso sin evidencia adicional. No obstante, la criticidad de la vulnerabilidad y su facilidad de explotación hacen recomendable aplicar las actualizaciones de forma inmediata.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. En caso de sospechar actividad maliciosa relacionada con esta vulnerabilidad, se recomienda monitorizar los registros de acceso y los logs de las aplicaciones ASP.NET Core en busca de patrones anómalos de peticiones HTTP, así como revisar la integridad de los archivos y configuraciones del servidor.
Cómo comprobar si estás afectado
Para determinar si tu entorno está expuesto a esta vulnerabilidad, debes verificar la versión exacta de los productos afectados. Según la información publicada por CVE.org, los siguientes productos y rangos de versiones están afectados:
| Producto | Versión afectada | Versión corregida (límite) |
|---|---|---|
| ASP.NET Core 10.0 | 10.0 | Anterior a 10.0.13 |
| ASP.NET Core 11.0 | 11.0 | Anterior a 11.0.0-rc.2 |
| ASP.NET Core 8.0 | 8.0 | Anterior a 8.0.32 |
| ASP.NET Core 9.0 | 9.0 | Anterior a 9.0.21 |
| Microsoft Visual Studio 2022 versión 17.14 | 17.14.0 | Anterior a 17.14.42 |
| Microsoft Visual Studio 2026 versión 18.10 | 18.10.0 | Anterior a 18.10.4 |
Para verificar tu versión, consulta la información de compilación de tu aplicación o el administrador de paquetes NuGet. Si utilizas una versión dentro de los rangos indicados, se considera que el producto está afectado. No se han publicado versiones exactas corregidas más allá de los límites indicados en la tabla.
Es importante señalar que la vulnerabilidad permite a un atacante no autenticado evadir una característica de seguridad mediante la interpretación inconsistente de solicitudes HTTP (smuggling). La explotación requiere acceso a la red, pero no credenciales ni interacción del usuario.
Mitigación y actualización
La acción recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Microsoft ha publicado un aviso oficial en su portal de actualizaciones, que es la referencia principal para obtener los parches correspondientes.
Dado que la vulnerabilidad tiene una puntuación CVSS de 9.1 (CRITICAL) y permite comprometer la confidencialidad e integridad sin necesidad de autenticación, se recomienda priorizar la actualización de los sistemas afectados. La referencia oficial del fabricante está disponible en el siguiente enlace:
Hasta que se aplique la actualización, se recomienda revisar las configuraciones de los servidores que ejecutan ASP.NET Core para minimizar la exposición. No se han publicado mitigaciones alternativas específicas en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar todos los servidores y aplicaciones que ejecutan ASP.NET Core 8.0, 9.0, 10.0 o 11.0.
- ☐ Verificar si las versiones instaladas están dentro de los rangos afectados (consulta la tabla anterior).
- ☐ Revisar el aviso oficial de Microsoft en MSRC para obtener detalles del parche.
- ☐ Planificar la aplicación de la actualización en un entorno de pruebas antes de producción.
- ☐ Aplicar la actualización correspondiente a todas las instancias afectadas.
- ☐ Verificar que Visual Studio 2022 (17.14) y Visual Studio 2026 (18.10) estén actualizados si se utilizan para desarrollo.
- ☐ Monitorizar los registros de acceso HTTP en busca de patrones anómalos que puedan indicar intentos de explotación.
- ☐ Documentar el estado de actualización de cada sistema para futuras auditorías.
Preguntas frecuentes
¿Qué es el HTTP request/response smuggling?
Es una técnica de ataque que explota la interpretación inconsistente de solicitudes HTTP entre diferentes componentes (como un proxy y el servidor de aplicaciones). Un atacante puede enviar solicitudes malformadas que son interpretadas de manera diferente por cada componente, permitiendo evadir controles de seguridad o envenenar la comunicación entre clientes y servidores.
¿Esta vulnerabilidad afecta a todas las aplicaciones ASP.NET Core?
Según la información publicada, las versiones afectadas son ASP.NET Core 8.0 (anterior a 8.0.32), 9.0 (anterior a 9.0.21), 10.0 (anterior a 10.0.13) y 11.0 (anterior a 11.0.0-rc.2). Si tu aplicación utiliza una versión dentro de estos rangos, está potencialmente afectada.
¿Se requiere autenticación para explotar esta vulnerabilidad?
No. El vector CVSS indica que la explotación no requiere privilegios (PR:N) ni interacción del usuario (UI:N). Un atacante remoto no autenticado podría explotar la vulnerabilidad a través de la red.
¿Qué impacto puede tener la explotación?
El impacto se centra en la confidencialidad y la integridad (C:H/I:H). Un atacante podría evadir características de seguridad, lo que podría permitir el acceso a información sensible o la modificación de datos. No se indica impacto en la disponibilidad.
¿Existen exploits públicos disponibles?
No se ha publicado información sobre exploits públicos en las fuentes consultadas. Sin embargo, dado el nivel de criticidad, se recomienda aplicar la actualización lo antes posible.
¿Cómo puedo obtener más información técnica?
La referencia principal es el aviso oficial de Microsoft en MSRC. También puedes consultar la entrada en NVD para obtener la descripción técnica y la puntuación CVSS.