🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-63227 que afecta a Koollab LMS. Un atacante autenticado puede subir un paquete SCORM malicioso que contiene un webshell PHP y ejecutar código arbitrario en el servidor. La puntuación CVSS es 9.9 (CRÍTICA). Se recomienda aplicar la actualización oficial de inmediato.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-63227 |
| Fabricante | PHP Group (Koollab LMS) |
| Producto | Koollab LMS |
| Fecha de publicación | 2026-07-29 |
| Severidad | CRÍTICA |
| CVSS | 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) |
| Puntuación de prioridad | 210 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-63227 es un fallo de subida de archivos SCORM sin restricciones en Koollab LMS. Permite a un diseñador de módulos autenticado subir un paquete SCORM que contiene un webshell PHP a un directorio de acceso público. Una vez subido, el atacante puede ejecutar código arbitrario en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad del sistema.
El vector CVSS es AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, lo que indica que la vulnerabilidad es explotable remotamente, con baja complejidad de ataque, requiere autenticación de nivel bajo, no necesita interacción del usuario, y tiene impacto alto en todos los pilares de seguridad. La puntuación de impacto es 6.0 y la de explotabilidad es 3.1.
La debilidad asociada es CWE-434: Subida de archivos peligrosos sin restricciones.
Productos y versiones vulnerables
Según las fuentes consultadas, la versión afectada es:
| Producto | Versión | Estado |
|---|---|---|
| Koollab LMS | 5.3.2 | Afectada |
No se han publicado otras versiones afectadas por las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante autenticado puede:
- Subir un webshell PHP y ejecutar comandos arbitrarios en el servidor.
- Acceder a datos sensibles almacenados en la base de datos o en el sistema de archivos.
- Modificar o eliminar información crítica.
- Utilizar el servidor comprometido como punto de partida para ataques adicionales.
Dado que la vulnerabilidad tiene un alcance cambiado (S:C), el impacto puede extenderse a otros componentes del sistema.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La alerta se basa en la reciente publicación de la CVE y su puntuación CVSS 9.9, no en evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Koollab LMS es vulnerable:
- Identifica la versión de Koollab LMS que estás ejecutando. Puedes consultar el panel de administración o el archivo de versión en el servidor.
- Si la versión es 5.3.2, estás afectado.
- Revisa los registros de subida de archivos SCORM en busca de paquetes sospechosos o webshells.
- Comprueba los directorios públicos donde se almacenan los paquetes SCORM para detectar archivos PHP no autorizados.
No se proporcionan comandos específicos en las fuentes consultadas.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es:
Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Se recomienda contactar con el soporte de Koollab LMS para obtener el parche o la versión corregida. Mientras tanto, como medida temporal, restringir los permisos de subida de archivos SCORM solo a usuarios de confianza y monitorizar los directorios de carga.
Checklist para administradores
- ☐ Identificar la versión de Koollab LMS en uso.
- ☐ Si es 5.3.2, aplicar la actualización proporcionada por el fabricante.
- ☐ Revisar los registros de subida de SCORM en busca de actividad anómala.
- ☐ Escanear los directorios públicos en busca de webshells PHP.
- ☐ Restringir los permisos de subida a usuarios de confianza.
- ☐ Implementar reglas de firewall de aplicaciones web (WAF) para bloquear subidas de archivos PHP en directorios SCORM.
- ☐ Mantener monitorización continua de la integridad de los archivos del servidor.
Preguntas frecuentes
¿Qué es CVE-2026-63227?
Es una vulnerabilidad crítica de subida de archivos SCORM sin restricciones en Koollab LMS que permite ejecución remota de código.
¿Qué versiones están afectadas?
Según las fuentes, la versión 5.3.2 de Koollab LMS está afectada.
¿Se requiere autenticación para explotarla?
Sí, el atacante necesita ser un diseñador de módulos autenticado.
¿Hay parche disponible?
Las fuentes indican que se debe revisar el aviso oficial del fabricante para obtener la actualización.
¿Se ha explotado activamente?
No se ha publicado información sobre explotación activa en las fuentes consultadas.
¿Cómo puedo proteger mi sistema?
Aplica la actualización del fabricante, restringe permisos de subida y monitoriza los directorios públicos.