CVE-2026-67598: Vulnerabilidad crítica en Emlog Pro

🚨 CVE-2026-67598 expone una vulnerabilidad crítica en Emlog Pro que permite a atacantes interceptar solicitudes HTTPS y extraer claves API. La afectación afecta a versiones 2.6.23 y anteriores. Es imprescindible aplicar la actualización o mitigación publicada.

Cadena de riesgo y respuesta para CVE-2026-67598

Resumen ejecutivo

CVE	Fabricante	Producto	Fecha de publicación	Severidad	CVSS	Puntuación de prioridad	Acción recomendada
CVE-2026-67598	emlog	Emlog Pro	2026-08-03	CRITICAL	9.1	205	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-67598 afecta a Emlog Pro versiones hasta la 2.6.23. Se trata de una desactivación intencional de la validación de certificados TLS en el archivo include/service/ai.php. Los parámetros CURLOPT_SSL_VERIFYPEER y CURLOPT_SSL_VERIFYHOST se establecen a false de forma incondicional en las funciones sendStream(), sendImageRequest(), send() y fetchSearchHtml(), sin ofrecer una opción para reactivar la verificación.

Esta configuración permite a atacantes que estén en la misma red local o que puedan interceptar el tráfico (MITM) presentar certificados TLS arbitrarios y, de esta manera, capturar todas las solicitudes HTTPS salientes dirigidas a proveedores de modelos de lenguaje (LLM). Como resultado, los atacantes pueden extraer las claves API de tipo Authorization Bearer incluidas en cada petición y, además, inyectar respuestas de IA manipuladas que el sistema podría ejecutar a través de su canal de llamadas a herramientas.

Productos y versiones vulnerables

Fabricante	Producto	Versión afectada
emlog	Emlog Pro	0 a 2.6.23 (inclusive)

Impacto y riesgo

El impacto principal es la exposición de las claves API que permiten el acceso a los servicios de IA. Si un atacante logra obtener estas credenciales, puede:

Realizar peticiones a los proveedores de LLM con los recursos del usuario.
Inyectar respuestas de IA que desencadenen acciones no autorizadas a través de la ejecución de herramientas.
Acceder a datos sensibles que el sistema pueda procesar durante la interacción con la IA.

El riesgo es alto debido a la criticidad del CVSS (9.1) y la posibilidad de que el atacante controle la comunicación TLS.

Estado de explotación conocida

No publicado por las fuentes consultadas.

Indicadores de compromiso (IOC)

No existen IOC estructurados extraídos de las fuentes consultadas.

Cómo comprobar si estás afectado

Para determinar si tu instalación de Emlog Pro está vulnerable, sigue estos pasos:

Verifica la versión instalada. Si es 2.6.23 o inferior, la aplicación es vulnerable.
Revisa el archivo include/service/ai.php y busca las funciones sendStream(), sendImageRequest(), send() y fetchSearchHtml().
Comprueba que los parámetros CURLOPT_SSL_VERIFYPEER y CURLOPT_SSL_VERIFYHOST estén configurados a false.

Mitigación y actualización

La mitigación recomendada es:

Actualizar Emlog Pro a la versión 2.6.24 o superior, donde la validación TLS se reactivó.
Si la actualización no es posible, modificar el código de ai.php para habilitar la verificación TLS:
Establecer CURLOPT_SSL_VERIFYPEER a true y CURLOPT_SSL_VERIFYHOST a 2 en las funciones mencionadas.

Checklist para administradores

☐ Verificar la versión de Emlog Pro instalada.
☐ Revisar la configuración de TLS en ai.php.
☐ Aplicar la actualización oficial a la versión más reciente.
☐ Configurar alertas de tráfico HTTPS anómalo.
☐ Revisar los logs de autenticación para detectar uso indebido de claves API.

Preguntas frecuentes

¿Qué es CVE-2026-67598?: Es una vulnerabilidad crítica que desactiva la validación de certificados TLS en Emlog Pro, permitiendo la interceptación de solicitudes HTTPS y la extracción de claves API.
¿A quién afecta?: A cualquier instalación de Emlog Pro 2.6.23 o inferior que utilice el módulo de IA.
¿Cómo se puede mitigar sin actualizar?: Reactivando la verificación TLS en el archivo ai.php y estableciendo los parámetros CURLOPT_SSL_VERIFYPEER y CURLOPT_SSL_VERIFYHOST a valores seguros.
¿Hay evidencia de explotación en producción?: No se ha publicado evidencia de explotación activa por parte de las fuentes consultadas.
¿Qué debo hacer si detecto tráfico HTTPS sospechoso?: Revisa los logs de la aplicación y consulta a tu equipo de seguridad para determinar si se trata de un ataque MITM.