🚨 Alerta crítica: Se ha publicado CVE-2026-64829, una vulnerabilidad de invalidación de sesión en Question2Answer (Q2A) hasta la versión 1.8.8. Con una puntuación CVSS 4.0 de 9.1, permite a un atacante con una cookie «remember-me» previamente obtenida mantener el acceso autenticado incluso después de que la víctima restablezca su contraseña mediante el flujo de «olvidé mi contraseña». La falla reside en que el controlador qa_finish_reset_user() no limpia el campo sessioncode, a diferencia del flujo normal de cambio de contraseña. Se recomienda aplicar la actualización disponible de inmediato.
Índice
- Resumen ejecutivo
- ¿Qué es la vulnerabilidad?
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-64829 |
| Fabricante | PHP Group (producto: PHP) – La vulnerabilidad afecta a la aplicación Question2Answer, basada en PHP. |
| Producto | Question2Answer (Q2A) |
| Fecha de publicación | 2026-07-22 |
| Severidad | CRÍTICA |
| CVSS 4.0 | 9.1 (Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N) |
| Puntuación de prioridad | 205 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
¿Qué es la vulnerabilidad?
CVE-2026-64829 es una vulnerabilidad de invalidación de sesión en Question2Answer (Q2A) hasta la versión 1.8.8. El fallo se encuentra en el flujo de restablecimiento de contraseña por olvido. Mientras que el cambio de contraseña normal en qa-include/pages/account.php limpia explícitamente el campo sessioncode para invalidar las cookies persistentes qa_session, el controlador qa_finish_reset_user() en qa-include/app/users-edit.php omite este paso. Esto permite que un atacante que haya obtenido previamente una cookie «remember-me» válida (por ejemplo, mediante robo de cookies o sesión) pueda seguir autenticándose en la cuenta incluso después de que la víctima complete el restablecimiento de contraseña. La vulnerabilidad tiene un impacto alto en la confidencialidad e integridad, ya que el atacante puede acceder a datos privados y realizar acciones en nombre del usuario.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| Question2Answer | Hasta 1.8.8 (incluida) |
Nota: El fabricante listado en las fuentes es PHP Group, pero la vulnerabilidad afecta directamente a la aplicación Question2Answer, que está desarrollada en PHP. No se han publicado versiones anteriores o posteriores afectadas más allá de 1.8.8.
Impacto y riesgo
La vulnerabilidad permite a un atacante con una cookie persistente válida mantener el acceso autenticado a una cuenta de Question2Answer incluso después de que el usuario legítimo restablezca su contraseña. Esto puede llevar a:
- 🔍 Acceso no autorizado a información privada del usuario (mensajes, perfiles, configuraciones).
- ⚠️ Realización de acciones maliciosas en nombre del usuario (publicación de contenido, cambios de configuración).
- 🛡️ Pérdida de confianza en la plataforma y posible fuga de datos.
La puntuación CVSS 9.1 refleja un impacto alto en confidencialidad e integridad, aunque la complejidad de ataque es alta (requiere obtener previamente una cookie válida). No se requiere interacción del usuario para el ataque una vez obtenida la cookie.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE por RyzerBot se basa en su publicación reciente y puntuación CVSS ≥ 9.0, no en evidencia de explotación activa. No se dispone de información sobre ataques en curso.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detecta actividad sospechosa, se recomienda revisar los registros de acceso y sesiones.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Question2Answer es vulnerable:
- Verifica la versión de Question2Answer en el archivo
qa-include/qa-base.phpo en el panel de administración. - Si la versión es igual o inferior a 1.8.8, estás afectado.
- Revisa si el parche proporcionado en GitHub PR #1017 ha sido aplicado.
Nota: No se proporcionan comandos específicos en las fuentes. Consulta la documentación de Q2A para obtener instrucciones detalladas.
Mitigación y actualización
La acción principal es aplicar la actualización disponible. Las fuentes oficiales recomiendan:
- Aplicar el parche incluido en el pull request #1017 del repositorio oficial de Question2Answer.
- Si no es posible actualizar de inmediato, considera deshabilitar temporalmente la funcionalidad de «recordar sesión» o el flujo de restablecimiento de contraseña hasta que se aplique el parche.
- Revisa el aviso de seguridad de VulnCheck: advisory.
Checklist para administradores
- ☐ Identificar todas las instancias de Question2Answer en tu infraestructura.
- ☐ Verificar la versión de cada instancia (≤1.8.8 es vulnerable).
- ☐ Aplicar el parche del PR #1017 o actualizar a una versión corregida (si está disponible).
- ☐ Invalidar todas las sesiones activas después de la actualización (forzar cierre de sesión).
- ☐ Revisar registros de acceso en busca de actividad inusual posterior a restablecimientos de contraseña.
- ☐ Comunicar a los usuarios la importancia de cambiar sus contraseñas y cerrar sesión en todos los dispositivos.
- ☐ Monitorear fuentes oficiales para futuras actualizaciones.
Preguntas frecuentes
¿Qué es CVE-2026-64829?
Es una vulnerabilidad crítica en Question2Answer que permite a un atacante mantener el acceso autenticado tras un restablecimiento de contraseña si posee una cookie «remember-me» válida.
¿Qué versiones están afectadas?
Todas las versiones de Question2Answer hasta la 1.8.8 inclusive.
¿Cómo puedo saber si mi sitio ha sido comprometido?
Revisa los registros de sesión y actividad inusual, especialmente después de restablecimientos de contraseña. No hay IOC conocidos.
¿Existe un parche disponible?
Sí, el equipo de Q2A ha publicado un pull request en GitHub (#1017) que soluciona el problema. Se recomienda aplicarlo.
¿Esta vulnerabilidad afecta a PHP directamente?
No, la vulnerabilidad está en la aplicación Question2Answer, que está escrita en PHP. El fabricante listado es PHP Group, pero el producto afectado es Q2A.
¿Debo preocuparme si uso una versión anterior a la 1.8.8?
Sí, todas las versiones hasta 1.8.8 son vulnerables. Debes actualizar o aplicar el parche.