🚨 Alerta crítica: Se ha publicado CVE-2026-64625, una vulnerabilidad de inyección de comandos del sistema en AVideo (anterior a la versión 29.0) con una puntuación CVSS de 9.3. La vulnerabilidad permite a un atacante remoto no autenticado ejecutar comandos arbitrarios en el servidor. Se recomienda aplicar la actualización disponible de forma urgente.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-64625 |
| Fabricante | PHP Group (según NVD) / WWBN (según CVE.org) |
| Producto | PHP (según NVD) / AVideo (según CVE.org) |
| Fecha de publicación | 2026-07-20 |
| Severidad | CRÍTICA |
| CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) |
| Puntuación de prioridad | 205 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-64625 es una vulnerabilidad de inyección de comandos del sistema (OS Command Injection) en AVideo, una plataforma de gestión de vídeo. La vulnerabilidad reside en el plugin Live, específicamente en el endpoint on_publish.php. Aunque se utiliza la función escapeshellarg() para escapar argumentos, la función execAsync() vuelve a envolver los comandos escapados en una cadena con comillas dobles pasada a sh -c, lo que permite la sustitución de comandos mediante $() y backticks. Esto permite a un atacante remoto no autenticado ejecutar comandos arbitrarios del sistema operativo.
Esta vulnerabilidad es una corrección incompleta de CVE-2026-45578, lo que indica que el parche anterior no fue suficiente. La vulnerabilidad afecta a todas las versiones de AVideo anteriores a la 29.0.
Productos y versiones vulnerables
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| AVideo | Todas las versiones anteriores a 29.0 | 29.0 o superior |
Nota: Según la fuente NVD, el fabricante indicado es PHP Group y el producto PHP, pero la descripción y el aviso de CVE.org señalan que el producto afectado es AVideo de WWBN. Se recomienda verificar ambas fuentes.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante remoto no autenticado puede ejecutar comandos arbitrarios en el servidor donde se ejecuta AVideo. Esto puede llevar a:
- Compromiso total del sistema (confidencialidad, integridad y disponibilidad altas).
- Exfiltración de datos sensibles.
- Instalación de malware o ransomware.
- Uso del servidor como punto de partida para ataques internos.
La puntuación CVSS de 9.3 refleja la facilidad de explotación (sin autenticación, red accesible) y el alto impacto en los tres pilares de seguridad.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su publicación reciente y su puntuación CVSS superior a 9.0, no en evidencia de explotación. Se recomienda actuar con la máxima urgencia debido a la criticidad.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. En caso de sospecha de compromiso, se recomienda realizar un análisis forense del sistema.
Cómo comprobar si estás afectado
Para determinar si tu instalación de AVideo es vulnerable, verifica la versión instalada. Si es anterior a la 29.0, estás afectado. Puedes consultar la versión en el panel de administración o en el archivo de configuración. No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción recomendada es actualizar AVideo a la versión 29.0 o superior, que contiene la corrección completa para esta vulnerabilidad. El fabricante WWBN ha publicado un aviso de seguridad en GitHub (ver fuentes). Si no es posible actualizar de inmediato, se recomienda deshabilitar el plugin Live o restringir el acceso al endpoint on_publish.php mediante reglas de firewall o autenticación adicional. No se dispone de parches alternativos en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar todas las instancias de AVideo en la organización.
- ☐ Verificar la versión instalada de AVideo.
- ☐ Si la versión es anterior a 29.0, planificar la actualización inmediata.
- ☐ Revisar los registros del servidor en busca de posibles intentos de explotación (cadenas como
$()o backticks en peticiones aon_publish.php). - ☐ Aplicar la actualización a la versión 29.0 o superior siguiendo las instrucciones oficiales.
- ☐ Si no es posible actualizar, implementar medidas compensatorias (deshabilitar plugin Live, restringir acceso por IP, etc.).
- ☐ Monitorear las fuentes oficiales para posibles actualizaciones adicionales.
- ☐ Documentar el incidente y las acciones tomadas.
Preguntas frecuentes
¿Qué es CVE-2026-64625?
Es una vulnerabilidad crítica de inyección de comandos en AVideo que permite a un atacante ejecutar comandos arbitrarios en el servidor.
¿Qué versiones de AVideo están afectadas?
Todas las versiones anteriores a la 29.0.
¿Cómo se explota esta vulnerabilidad?
Mediante el envío de peticiones especialmente diseñadas al endpoint on_publish.php del plugin Live, utilizando sustitución de comandos con $() o backticks.
¿Hay evidencia de explotación activa?
No, las fuentes consultadas no indican explotación activa. Sin embargo, la criticidad hace recomendable actuar de inmediato.
¿Qué debo hacer si no puedo actualizar?
Deshabilitar el plugin Live o restringir el acceso al endpoint vulnerable mediante reglas de firewall o autenticación.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación.