Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-35048 |
| Fabricante | Piwigo |
| Producto | Piwigo (instalador) versiones 16.3.0 y anteriores |
| Fecha de publicación | 2026-07-20 |
| Severidad | CRITICAL |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-35048 afecta al instalador de Piwigo, un popular sistema de gestión de galerías fotográficas. El instalador acepta parámetros POST (prefix, dbpasswd, dbhost, dbname, dbuser) para la configuración de la base de datos y los escribe directamente en un archivo PHP de configuración (local/config/database.inc.php) sin una sanitización adecuada.
En PHP 8+, la función addslashes() utilizada como protección se vuelve ineficaz porque verifica get_magic_quotes_gpc(), una función eliminada en PHP 8.0. Esto permite que la entrada del usuario sin procesar se interpole directamente en el código fuente PHP. Un atacante no autenticado puede inyectar código PHP arbitrario a través de los parámetros POST, que se ejecutará en cada carga de página.
Productos y versiones vulnerables
| Producto | Versión afectada | Estado |
|---|---|---|
| Piwigo (instalador) | <= 16.3.0 | Afectado |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
Con una puntuación CVSS de 9.8 (crítica), esta vulnerabilidad permite a un atacante no autenticado ejecutar código PHP arbitrario en el servidor. Esto puede comprometer la confidencialidad, integridad y disponibilidad del sistema, pudiendo derivar en la toma completa del servidor, robo de datos o instalación de puertas traseras.
El vector de ataque es remoto, no requiere privilegios ni interacción del usuario, y la complejidad del ataque es baja.
Estado de explotación conocida
No se ha confirmado explotación activa en las fuentes oficiales consultadas. La selección de esta vulnerabilidad se basa en su reciente publicación y su alta puntuación CVSS, no en evidencia de explotación. Se recomienda tratar esta vulnerabilidad con la máxima prioridad.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Verificar la versión de Piwigo instalada. Si es 16.3.0 o inferior, estás afectado.
- Inspeccionar el archivo
local/config/database.inc.phpen busca de código PHP inyectado no autorizado. - Consultar el aviso oficial del fabricante para obtener instrucciones detalladas.
No se han publicado comandos específicos en las fuentes consultadas.
Mitigación y actualización
Actualmente no se ha publicado un parche específico en las fuentes consultadas, pero se recomienda:
- Revisar el aviso oficial del fabricante en GitHub Security Advisory.
- Aplicar la actualización tan pronto como esté disponible.
- Como mitigación temporal, restringir el acceso al instalador de Piwigo mediante listas de control de acceso (ACL) o firewalls.
Checklist para administradores
- ☐ Identificar todas las instancias de Piwigo en la organización.
- ☐ Verificar la versión de cada instancia.
- ☐ Si la versión es <= 16.3.0, aplicar la actualización o mitigación recomendada.
- ☐ Revisar los archivos de configuración en busca de código inyectado.
- ☐ Monitorear posibles accesos no autorizados al instalador.
- ☐ Mantener una copia de seguridad reciente de las configuraciones.
Preguntas frecuentes
¿Qué es CVE-2026-35048?
Es una vulnerabilidad crítica en el instalador de Piwigo que permite inyección de código PHP a través de parámetros de configuración de base de datos sin autenticación.
¿Estoy afectado si uso PHP 7?
La vulnerabilidad se describe específicamente para PHP 8+ debido a la eliminación de get_magic_quotes_gpc(). Sin embargo, las versiones de Piwigo <= 16.3.0 también pueden ser vulnerables en PHP 7 si el instalador no sanitiza correctamente. Se recomienda actualizar independientemente de la versión de PHP.
¿Hay parche disponible?
No se ha publicado un parche específico en las fuentes consultadas. Se espera que el fabricante publique una actualización próximamente. Consulte el aviso oficial.
¿Cómo puedo protegerme mientras no hay parche?
Como medida temporal, restringir el acceso al instalador de Piwigo mediante firewalls o autenticación adicional, y deshabilitar el instalador si no es necesario.
¿Esta vulnerabilidad afecta a PHP core?
No, la vulnerabilidad afecta al instalador de Piwigo, no al núcleo de PHP. El producto vulnerable es Piwigo, aunque el contexto inicial menciona PHP Group, la descripción detalla que es el instalador de Piwigo.
¿Qué hago si encuentro código inyectado en database.inc.php?
Asuma que el servidor está comprometido. Realice un análisis forense, restaure desde una copia de seguridad limpia y cambie todas las credenciales.