Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-48030 |
| Fabricante | PHP Group (producto: Pheditor) |
| Producto | Pheditor (editor de archivos en PHP) |
| Fecha de publicación | 27 de julio de 2026 |
| Severidad | CRÍTICA |
| CVSS | 9.9 (vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) |
| Puntuación de prioridad | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización a la versión 2.0.4 o mitigación publicada. |
¿Qué es la vulnerabilidad?
La vulnerabilidad CVE-2026-48030 es una inyección de comandos del sistema operativo (OS Command Injection) identificada en Pheditor, un editor de archivos y gestor de archivos de un solo archivo escrito en PHP. Afecta a las versiones desde la 2.0.1 hasta anteriores a la 2.0.4.
El fallo reside en el manejador de acciones del terminal (terminal action handler). Un usuario autenticado puede inyectar metacaracteres de shell en el parámetro POST dir, lo que permite ejecutar comandos arbitrarios del sistema operativo. La vulnerabilidad pasa por alto la lista blanca TERMINAL_COMMANDS y logra una ejecución remota de código (RCE) completa con los privilegios del servidor web.
La debilidad está clasificada como CWE-78: Neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo (Inyección de comandos del sistema operativo).
Productos y versiones vulnerables
Según la información publicada por CVE.org, el producto afectado es:
| Producto | Versión afectada | Estado |
|---|---|---|
| Pheditor (pheditor) | ≥ 2.0.1 y < 2.0.4 | Afectado |
No se han publicado más productos o versiones afectadas en las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante autenticado (con cualquier nivel de usuario) puede explotar esta falla para:
- Ejecutar comandos arbitrarios en el servidor con los mismos privilegios que el servidor web.
- Acceder a datos sensibles, modificar archivos, instalar malware o tomar el control completo del servidor.
- Propagarse a otros sistemas dentro de la red interna si el servidor está comprometido.
La puntuación CVSS de 9.9 (CRÍTICA) refleja la facilidad de explotación (acceso remoto, baja complejidad, sin interacción del usuario) y el alto impacto en confidencialidad, integridad y disponibilidad, además de que el alcance es cambiante (puede afectar a recursos fuera del componente vulnerable).
Estado de explotación conocida
No se ha publicado información oficial sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su reciente publicación y su puntuación CVSS ≥ 9.0, no en evidencia de explotación en el momento del análisis.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. Si se detecta actividad sospechosa, se recomienda realizar un análisis forense del sistema.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Pheditor es vulnerable, sigue estos pasos:
- Identifica la versión instalada de Pheditor.
- Si la versión se encuentra en el rango ≥ 2.0.1 y < 2.0.4, estás afectado.
- Consulta el archivo de configuración o la interfaz de administración para verificar la versión. No se proporcionan comandos específicos en las fuentes oficiales.
Si no estás seguro de la versión, contacta con el administrador del sistema o revisa los registros de instalación.
Mitigación y actualización
La única mitigación confirmada por el fabricante es actualizar a la versión 2.0.4 de Pheditor. Esta versión corrige la vulnerabilidad de inyección de comandos.
Pasos recomendados:
- Descargar la versión 2.0.4 desde el repositorio oficial de GitHub: https://github.com/pheditor/pheditor/releases/tag/2.0.4
- Realizar una copia de seguridad de la configuración y datos actuales.
- Reemplazar los archivos antiguos por los de la nueva versión siguiendo las instrucciones del fabricante.
- Verificar que la actualización se ha aplicado correctamente.
Si no es posible actualizar inmediatamente, se recomienda restringir el acceso a la interfaz de administración de Pheditor mediante listas de control de acceso (ACL) o firewalls, y deshabilitar temporalmente la funcionalidad de terminal si está disponible.
Checklist para administradores
- ☐ Identificar la versión de Pheditor en los sistemas.
- ☐ Si la versión está en el rango vulnerable (≥ 2.0.1 y < 2.0.4), planificar la actualización urgente.
- ☐ Descargar la versión 2.0.4 desde el repositorio oficial.
- ☐ Realizar copia de seguridad antes de actualizar.
- ☐ Aplicar la actualización siguiendo las instrucciones del fabricante.
- ☐ Verificar que la actualización se ha completado y que el sistema funciona correctamente.
- ☐ Revisar los logs del servidor en busca de actividades sospechosas anteriores a la actualización.
- ☐ Si no se puede actualizar, implementar medidas de mitigación temporales (ACL, deshabilitar terminal).
- ☐ Monitorizar la red y los sistemas para detectar posibles compromisos.
Preguntas frecuentes
¿Qué es Pheditor?
Pheditor es un editor de archivos y gestor de archivos de un solo archivo escrito en PHP, utilizado para administrar contenido web.
¿Esta vulnerabilidad afecta a PHP en sí?
No, la vulnerabilidad está en el producto Pheditor, que es un script PHP. El núcleo de PHP no está afectado según las fuentes consultadas.
¿Se requiere autenticación para explotar la vulnerabilidad?
Sí, la descripción indica que solo un usuario autenticado puede explotarla. Sin embargo, cualquier usuario autenticado, independientemente de su rol, puede ejecutar comandos.
¿Existe algún parche o actualización disponible?
Sí, la versión 2.0.4 de Pheditor corrige la vulnerabilidad. Se puede descargar desde el repositorio oficial de GitHub.
¿Hay exploits públicos disponibles?
No se ha publicado información sobre exploits públicos en las fuentes oficiales consultadas.
¿Qué debo hacer si no puedo actualizar inmediatamente?
Implemente restricciones de acceso a la interfaz de administración, deshabilite la funcionalidad de terminal si es posible, y monitorice los sistemas en busca de actividades anómalas.