🚨 Alerta crítica: Se ha publicado CVE-2026-38447, una vulnerabilidad que afecta a osTicket 1.18.3. La generación de claves API utiliza MD5 con entradas predecibles, lo que permite a atacantes remotos forzar las claves y comprometer la confidencialidad, integridad y disponibilidad del sistema. La puntuación CVSS es 9.8 (CRÍTICO). Se recomienda aplicar la actualización disponible de inmediato.
Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-38447 |
| Fabricante | PHP Group |
| Producto | osTicket 1.18.3 |
| Fecha de publicación | 2026-08-03 |
| Severidad | CRÍTICO |
| CVSS | 9.8 (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-38447 es una vulnerabilidad crítica en la generación de claves API de osTicket 1.18.3. El sistema utiliza el algoritmo MD5 para construir las claves, combinando entradas predecibles como la marca de tiempo actual y la dirección IP del cliente. Esto reduce drásticamente la entropía, permitiendo a un atacante aproximar el momento de generación de la clave y realizar un ataque de fuerza bruta sobre el espacio de claves en un intervalo de tiempo factible. La debilidad radica en el uso de un hash criptográficamente obsoleto (MD5) y la falta de aleatoriedad suficiente en los inputs.
Productos y versiones vulnerables
Según la descripción de la CVE, el producto afectado es osTicket 1.18.3. No se han publicado otras versiones en las fuentes consultadas. Se recomienda verificar la versión exacta de tu instalación.
| Producto | Versión | Estado |
|---|---|---|
| osTicket | 1.18.3 | Vulnerable |
Impacto y riesgo
La vulnerabilidad tiene un impacto crítico. El vector CVSS indica que el ataque es remoto, de baja complejidad, no requiere privilegios ni interacción del usuario. Un atacante podría obtener acceso no autorizado a la API de osTicket, comprometiendo la confidencialidad (lectura de datos), integridad (modificación de datos) y disponibilidad (denegación de servicio). Dado que las claves API suelen otorgar acceso administrativo, el riesgo es máximo.
Estado de explotación conocida
No se ha confirmado explotación activa según las fuentes consultadas. La CVE fue publicada recientemente y seleccionada por su criticidad y puntuación, no por evidencia de ataques en curso.
Indicadores de compromiso (IOC)
No se han publicado IOC en las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Verifica la versión de osTicket en tu instalación. Si es la 1.18.3, estás afectado. Consulta la documentación oficial de osTicket para obtener instrucciones precisas sobre cómo identificar la versión. No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
Se recomienda aplicar la actualización proporcionada por el fabricante. El repositorio oficial de osTicket incluye un commit que soluciona el problema: feccb6a. Además, se ha publicado un aviso detallado por parte del investigador: CVE-2026-38447 disclosure. Como medida temporal, considera restringir el acceso a la API mediante reglas de firewall o listas de control de acceso (ACL) hasta que se pueda aplicar el parche.
Checklist para administradores
- ☐ Identificar la versión de osTicket en todos los servidores.
- ☐ Si la versión es 1.18.3, planificar la actualización inmediata.
- ☐ Revisar los registros de acceso a la API en busca de actividad sospechosa.
- ☐ Aplicar el parche disponible en el repositorio oficial.
- ☐ Regenerar todas las claves API después de la actualización.
- ☐ Monitorear la red en busca de intentos de fuerza bruta contra la API.
- ☐ Documentar el incidente y las acciones tomadas.
Preguntas frecuentes
¿Qué es CVE-2026-38447?
Es una vulnerabilidad crítica en osTicket 1.18.3 que permite a atacantes remotos obtener claves API mediante fuerza bruta debido al uso de MD5 con entradas predecibles.
¿Qué versión de osTicket está afectada?
Según las fuentes, la versión 1.18.3 es la vulnerable. No se han mencionado otras versiones.
¿Cómo se explota esta vulnerabilidad?
El atacante puede aproximar el momento de generación de la clave (basado en timestamp e IP) y realizar un ataque de fuerza bruta sobre el espacio reducido de claves MD5.
¿Existe un parche disponible?
Sí, el repositorio oficial de osTicket incluye un commit correctivo. Se recomienda aplicarlo cuanto antes.
¿Cómo puedo protegerme si no puedo actualizar inmediatamente?
Como medida temporal, restringe el acceso a la API mediante reglas de firewall, limita las IPs que pueden consumirla y monitorea los logs de autenticación.
¿Se ha detectado explotación activa?
No, las fuentes consultadas no indican explotación activa en el momento de la publicación.