CVE-2026-55695: Ejecución de código en FearlessCMS

Cómo comprobar si estás afectado

Para determinar si tu instalación de FearlessCMS es vulnerable a CVE-2026-55695, debes verificar la versión exacta del software. Según la información publicada por NVD y CVE.org, todas las versiones 0.1.2b y anteriores están afectadas. La versión corregida es 0.1.3b.

Realiza las siguientes comprobaciones:

• Identifica la versión instalada: Accede al panel de administración de FearlessCMS y busca la información de versión en la sección de ajustes o en el pie de página. También puedes revisar el archivo de configuración principal del CMS o el archivo composer.json si está disponible en el servidor.
• Revisa el historial de actualizaciones: Si has aplicado actualizaciones recientemente, confirma que la versión instalada sea la 0.1.3b o posterior. Cualquier versión anterior a esta debe considerarse vulnerable.
• Comprueba el estado del servicio de actualización: El vector de ataque requiere que un administrador autenticado pueda acceder a admin/updater-handler.php. Si tu instalación no expone este archivo o el panel de administración está restringido por IP, el riesgo de explotación se reduce, pero la vulnerabilidad subyacente persiste.
• Audita los directorios críticos: Revisa los contenidos de los directorios plugins/, admin/ e includes/ en busca de archivos PHP sospechosos o modificaciones recientes no autorizadas. Un atacante que haya explotado esta vulnerabilidad podría haber dejado una puerta trasera persistente.

Nota importante: Si no puedes confirmar la versión exacta, trata la instalación como vulnerable y aplica las medidas de mitigación descritas a continuación.

Mitigación y actualización

La única solución completa confirmada por el fabricante es actualizar a la versión 0.1.3b. Esta versión corrige la vulnerabilidad al verificar la identidad y el contenido del repositorio Git antes de aplicar cualquier actualización. No se han publicado parches alternativos para versiones anteriores.

Mientras tanto, puedes aplicar las siguientes medidas de mitigación temporal:

• Restringe el acceso al panel de administración: Limita el acceso a admin/ mediante autenticación adicional (por ejemplo, autenticación HTTP básica) o restricción por dirección IP. Esto reduce la superficie de ataque, ya que la explotación requiere un administrador autenticado.
• Deshabilita el actualizador: Si no necesitas la funcionalidad de actualización automática, elimina o renombra el archivo admin/updater-handler.php y el script update.sh. Esto impide que un atacante pueda invocar el proceso de actualización malicioso.
• Supervisa los directorios críticos: Implementa un sistema de monitorización de integridad de archivos (FIM) en los directorios plugins/, admin/ e includes/ para detectar cambios no autorizados.
• Revisa los registros del servidor: Examina los registros de acceso y error del servidor web en busca de peticiones sospechosas a admin/updater-handler.php o a archivos PHP dentro de plugins/.

Para actualizar a la versión segura, consulta el aviso oficial del fabricante y sigue las instrucciones publicadas en el repositorio oficial de FearlessCMS. La actualización debe realizarse desde una fuente confiable y verificando la integridad del paquete descargado.

Checklist para administradores

• ☐ Confirmar la versión instalada de FearlessCMS (si es 0.1.2b o anterior, está afectada).
• ☐ Actualizar a la versión 0.1.3b siguiendo las instrucciones oficiales del fabricante.
• ☐ Verificar que la actualización se ha aplicado correctamente y que la versión mostrada es la 0.1.3b.
• ☐ Auditar los directorios plugins/, admin/ e includes/ en busca de archivos sospechosos o modificaciones no autorizadas.
• ☐ Revisar los registros del servidor en busca de actividad inusual relacionada con admin/updater-handler.php.
• ☐ Restringir el acceso al panel de administración mediante autenticación adicional o listas de control de acceso.
• ☐ Deshabilitar el actualizador automático si no es imprescindible.
• ☐ Implementar un sistema de monitorización de integridad de archivos en los directorios críticos.
• ☐ Cambiar las credenciales de administrador como medida de precaución.
• ☐ Mantenerse informado sobre futuros avisos de seguridad del fabricante.

Preguntas frecuentes

¿Qué es CVE-2026-55695?

Es una vulnerabilidad crítica (CVSS 9.1) en FearlessCMS, un sistema de gestión de contenidos de archivo plano. Permite a un administrador autenticado ejecutar código arbitrario en el servidor mediante la manipulación del proceso de actualización, que no verifica la identidad ni el contenido del repositorio Git clonado.

¿Qué versión de FearlessCMS está afectada?

Todas las versiones 0.1.2b y anteriores están afectadas. La versión corregida es la 0.1.3b.

¿Qué impacto tiene esta vulnerabilidad?

Un atacante con privilegios de administrador puede ejecutar código PHP arbitrario con los privilegios del proceso del servidor web, lo que puede comprometer completamente el sitio y persistir como puerta trasera. El impacto en confidencialidad, integridad y disponibilidad es alto.

¿Se requiere autenticación para explotar la vulnerabilidad?

Sí. El vector de ataque requiere un administrador autenticado que pueda acceder a admin/updater-handler.php. Sin embargo, no se requiere interacción del usuario y el impacto se extiende a otros componentes del sistema (alcance cambiado).

¿Existen exploits públicos disponibles?

No publicado por las fuentes consultadas. La información disponible se limita al aviso de seguridad y a las referencias oficiales del fabricante.

¿Qué debo hacer si ya he sido comprometido?

Si sospechas que tu instalación ha sido comprometida, aísla el servidor, realiza una auditoría forense de los directorios críticos y los registros, restaura desde una copia de seguridad limpia anterior a la fecha de publicación de la vulnerabilidad y aplica la actualización a la versión 0.1.3b antes de volver a poner el servicio en producción.