Índice
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-55579 | PHP Group | PHP | 27/07/2026 | CRITICAL | 9.8 | 250 | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
Pheditor es un editor y gestor de archivos de una sola página escrito en PHP. Desde la versión 2.0.1 hasta antes de la 2.0.6, Pheditor incluye una contraseña por defecto codificada (admin) cuyo hash SHA‑512 se almacena en pheditor.php:11. No existe un mecanismo que obligue a cambiar la contraseña al primer acceso. Cualquier despliegue que utilice las credenciales por defecto otorga al atacante acceso completo al editor, a la subida de archivos y a la terminal, lo que permite leer y escribir archivos arbitrarios y ejecutar código remoto.
Productos y versiones vulnerables
| Fabricante | Producto | Versión afectada |
|---|---|---|
| pheditor | Pheditor | >= 2.0.1, < 2.0.6 |
Impacto y riesgo
El uso de credenciales por defecto permite al atacante obtener control total sobre el sistema donde se ejecuta Pheditor. El riesgo incluye:
- Lectura y escritura de archivos sensibles.
- Ejecución de código arbitrario en el servidor.
- Posible escalada de privilegios y compromisos de la infraestructura.
Estado de explotación conocida
No se dispone de información sobre explotación activa publicada por fuentes oficiales.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
1. Verifica la versión de Pheditor instalada (debe ser 2.0.6 o superior).
2. Comprueba si el archivo pheditor.php contiene el hash SHA‑512 de la contraseña admin (ubicado en la línea 11).
3. Intenta acceder a la interfaz de Pheditor con las credenciales por defecto (admin/admin). Si el acceso es exitoso, el sistema está comprometido.
Mitigación y actualización
La solución definitiva es actualizar a la versión 2.0.6 o superior, donde la contraseña por defecto ha sido eliminada y se requiere un cambio de contraseña al primer inicio de sesión. En caso de que la actualización no sea posible de inmediato, se recomienda:
- Reemplazar el archivo
pheditor.phpcon la versión corregida. - Forzar un cambio de contraseña para todos los usuarios.
- Deshabilitar la funcionalidad de terminal y subida de archivos si no es necesaria.
Checklist para administradores
- ☐ Verificar la versión de Pheditor instalada.
- ☐ Revisar la presencia del hash SHA‑512 de la contraseña por defecto.
- ☐ Actualizar a la versión 2.0.6 o superior.
- ☐ Forzar el cambio de contraseña al primer acceso.
- ☐ Deshabilitar funciones no esenciales (terminal, subida de archivos).
- ☐ Realizar pruebas de penetración para confirmar la mitigación.
Preguntas frecuentes
- ¿Qué es Pheditor? Pheditor es un editor y gestor de archivos de una sola página escrito en PHP.
- ¿Cuál es el riesgo de usar la contraseña por defecto? Permite al atacante obtener control total sobre el servidor, ejecutar código remoto y comprometer la infraestructura.
- ¿Cómo puedo saber si mi instalación está comprometida? Intenta acceder con
admin/admin; si el acceso es exitoso, la instalación es vulnerable. - ¿La actualización a 2.0.6 elimina la vulnerabilidad? Sí, la versión 2.0.6 elimina la contraseña por defecto y requiere un cambio de contraseña al primer inicio.
- ¿Existen parches alternativos? No, la única mitigación recomendada es la actualización oficial a 2.0.6 o superior.
- ¿Hay indicadores de compromiso disponibles? No se han identificado IOC estructurados.