Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-63223 | PHP Group (CodeIgniter) | CodeIgniter 4 | 31 de julio de 2026 | CRÍTICA | 9.8 | 200 (RyzerBot) | Actualizar a CodeIgniter 4.7.4 o superior |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-63223 afecta al framework PHP CodeIgniter en su versión 4. Se trata de un error en las reglas de validación de subida de archivos is_image y mime_in. Estas reglas no verifican de forma independiente la extensión del archivo proporcionada por el cliente, lo que permite a un atacante remoto subir contenido ejecutable (como un script PHP) si la aplicación conserva el nombre de archivo original y lo almacena en un directorio accesible desde la web donde los scripts PHP pueden ejecutarse.
La vulnerabilidad ha sido clasificada como CWE-434: Subida de archivo sin restricciones de tipo peligroso. El vector CVSS es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que no requiere autenticación, puede explotarse de forma remota y tiene un impacto alto en confidencialidad, integridad y disponibilidad.
El parche se incluye en la versión 4.7.4, donde se ha añadido una comprobación independiente de extensión segura mediante la regla ext_in. Si no se puede actualizar, se recomienda implementar una validación adicional de extensiones.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, el producto afectado es:
| Producto | Versiones afectadas |
|---|---|
| CodeIgniter 4 | Versiones anteriores a 4.7.4 |
No se han publicado versiones específicas adicionales en las fuentes consultadas. Se recomienda revisar el aviso oficial del fabricante para más detalles.
Impacto y riesgo
La explotación exitosa de esta vulnerabilidad permite a un atacante remoto sin autenticación subir archivos de tipo peligroso (como scripts PHP) a un directorio accesible desde la web. Si el servidor está configurado para ejecutar scripts PHP en ese directorio, el atacante podría ejecutar código arbitrario, comprometiendo la confidencialidad, integridad y disponibilidad del sistema. El riesgo es especialmente alto en aplicaciones que permiten la subida de imágenes y validan únicamente con is_image o mime_in sin comprobación adicional de extensión.
La puntuación de prioridad de RyzerBot es de 200, lo que indica una urgencia máxima de parcheo.
Estado de explotación conocida
No se ha publicado información sobre explotación activa en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su criticidad (CVSS 9.8) y su reciente publicación, no en evidencia de explotación. Sin embargo, dada la naturaleza de la vulnerabilidad y la facilidad de explotación, se recomienda actuar con prontitud.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse. Si se sospecha de una intrusión, se recomienda realizar un análisis forense del sistema y revisar los logs de subida de archivos.
Cómo comprobar si estás afectado
Para determinar si tu instalación de CodeIgniter 4 es vulnerable, verifica la versión del framework. Puedes hacerlo consultando el archivo system/CodeIgniter.php o ejecutando php -r "echo \CodeIgniter\CodeIgniter::VERSION;" (si el entorno lo permite). Si la versión es inferior a 4.7.4, estás afectado. También revisa si tu aplicación utiliza las reglas de validación is_image o mime_in sin una comprobación adicional de extensión (como ext_in).
Nota: No se deben inventar comandos específicos de detección más allá de lo indicado en las fuentes oficiales.
Mitigación y actualización
La única mitigación completa es actualizar a CodeIgniter 4.7.4 o superior. El parche incluye una comprobación de extensión segura mediante la regla ext_in. Si no es posible actualizar de inmediato, se recomienda:
- Implementar validación adicional de extensiones permitidas en el servidor (por ejemplo, lista blanca de extensiones).
- Almacenar los archivos subidos fuera del directorio web raíz o en un directorio no ejecutable.
- Renombrar los archivos subidos con un nombre aleatorio y sin extensión peligrosa.
- Deshabilitar la ejecución de scripts PHP en el directorio de subidas mediante configuración del servidor web (por ejemplo,
php_admin_flag engine offen Apache).
Consulta el aviso de seguridad oficial de GitHub para más detalles: GHSA-mmj4-63m4-r6h5.
Checklist para administradores
- ☐ Identificar todas las instancias de CodeIgniter 4 en tu organización.
- ☐ Verificar la versión instalada (debe ser ≥ 4.7.4).
- ☐ Actualizar a la versión 4.7.4 lo antes posible.
- ☐ Revisar las reglas de validación de subida de archivos en las aplicaciones.
- ☐ Asegurar que los directorios de subida no permitan la ejecución de scripts.
- ☐ Monitorizar logs de subida de archivos en busca de actividad sospechosa.
- ☐ Comunicar el riesgo al equipo de seguridad y aplicar controles compensatorios si no se puede parchear inmediatamente.
Preguntas frecuentes
¿Qué es CodeIgniter?
CodeIgniter es un framework PHP full-stack para el desarrollo de aplicaciones web. Es mantenido por el grupo PHP Group.
¿Qué versión corrige esta vulnerabilidad?
La versión 4.7.4 de CodeIgniter 4 incluye el parche para CVE-2026-63223.
¿La vulnerabilidad requiere autenticación?
No, según el vector CVSS (AV:N) no requiere autenticación, por lo que un atacante remoto puede explotarla sin credenciales.
¿Existe algún exploit público?
No se ha publicado información sobre exploits en las fuentes consultadas. Sin embargo, la naturaleza de la vulnerabilidad la hace potencialmente explotable con relativa facilidad.
¿Qué debo hacer si no puedo actualizar inmediatamente?
Implementa las mitigaciones descritas: validación de extensiones, almacenamiento fuera del directorio web, renombrado de archivos y desactivación de ejecución de PHP en el directorio de subidas.
¿Cómo puedo obtener más información?
Consulta las fuentes oficiales enlazadas en la sección siguiente.