Índice
- Resumen ejecutivo
- ¿Qué es la vulnerabilidad?
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-70554 |
| Fabricante | MaxSite |
| Producto | MaxSite CMS |
| Fecha de publicación | 2026-08-04 |
| Severidad | CRITICAL |
| CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X) |
| Puntuación de prioridad | 235 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
¿Qué es la vulnerabilidad?
La vulnerabilidad CVE-2026-70554 es una inyección de objetos PHP (PHP Object Injection) que afecta a MaxSite CMS. El fallo reside en la cookie maxsite_comuser, que es pasada directamente a la función unserialize() sin ninguna validación ni lista blanca de clases. Esto permite a un atacante no autenticado enviar un payload serializado malicioso en una única petición HTTP.
Al deserializar el objeto, se activan métodos mágicos durante la reconstrucción del grafo de objetos, lo que posibilita ataques de programación orientada a propiedades (Property-Oriented Programming, POP) o ejecución remota de código mediante cadenas de gadgets disponibles, como las que apuntan a las extensiones SoapClient o Imagick. El ataque no requiere autenticación previa y puede ejecutarse con un solo request.
Productos y versiones vulnerables
Según la información publicada por CVE.org, las versiones afectadas son las siguientes:
| Producto | Versión afectada | Estado |
|---|---|---|
| MaxSite CMS | 0.78 hasta 109.5 (incluida) | Vulnerable |
| MaxSite CMS | 109.6 | No vulnerable (parcheada) |
No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante remoto no autenticado puede:
- Ejecutar código arbitrario en el servidor.
- Comprometer la confidencialidad, integridad y disponibilidad del sistema (CVSS: Alta en los tres ejes).
- Utilizar cadenas de gadgets como SoapClient o Imagick para ejecutar comandos o realizar peticiones SSRF.
Dado que la vulnerabilidad se explota a través de una cookie sin necesidad de autenticación, cualquier sitio web que utilice MaxSite CMS en versiones anteriores a la 109.6 está expuesto a ataques remotos.
Estado de explotación conocida
No se ha publicado información en las fuentes consultadas que indique explotación activa de esta vulnerabilidad. La selección de esta CVE se basa en su alta criticidad (CVSS 9.3) y en su publicación reciente, no en la existencia de exploits públicos.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) de las fuentes consultadas. No deben inventarse. Si aparecieran en futuros avisos, se actualizará esta sección.
Cómo comprobar si estás afectado
Para determinar si tu instalación de MaxSite CMS es vulnerable, sigue estos pasos:
- Accede al panel de administración o revisa el archivo de configuración para conocer la versión instalada.
- Compara la versión con las indicadas en la tabla de versiones vulnerables. Si es igual o inferior a 109.5, estás afectado.
- Si la versión es 109.6 o posterior, no estás afectado.
No se han publicado scripts de comprobación automática en las fuentes consultadas.
Mitigación y actualización
La única mitigación confirmada es actualizar a la versión 109.6 de MaxSite CMS, que corrige la vulnerabilidad. El fabricante ha publicado el parche en su sitio oficial:
Como medida temporal mientras se aplica la actualización, se puede restringir el acceso a la cookie maxsite_comuser mediante reglas de firewall de aplicación web (WAF) o deshabilitar la funcionalidad que utiliza la deserialización de esta cookie, si es posible. Sin embargo, la actualización es la solución definitiva.
Checklist para administradores
- ☐ Identificar la versión de MaxSite CMS en todos los entornos (producción, pruebas, desarrollo).
- ☐ Si la versión es inferior a 109.6, planificar la actualización de forma urgente.
- ☐ Realizar copia de seguridad completa antes de aplicar la actualización.
- ☐ Aplicar el parche descargado desde el sitio oficial del fabricante.
- ☐ Verificar que la versión post-actualización es 109.6 o superior.
- ☐ Monitorizar los logs de acceso en busca de peticiones sospechosas que contengan la cookie
maxsite_comusercon valores serializados. - ☐ Revisar si existen otros sistemas que utilicen MaxSite CMS y repetir el proceso.
Preguntas frecuentes
¿Qué es una inyección de objetos PHP?
Es un tipo de vulnerabilidad que ocurre cuando una aplicación deserializa datos proporcionados por el usuario sin validar las clases que se van a instanciar. Esto permite a un atacante inyectar objetos maliciosos que pueden ejecutar código arbitrario.
¿Cómo se explota CVE-2026-70554?
El atacante envía un payload serializado en la cookie maxsite_comuser. Al ser procesado por unserialize() sin restricciones, se reconstruye un objeto que activa métodos mágicos y permite la ejecución remota de código mediante cadenas de gadgets.
¿Qué versiones están afectadas?
Las versiones desde la 0.78 hasta la 109.5 inclusive. La versión 109.6 corrige el fallo.
¿Necesito autenticarme para explotar esta vulnerabilidad?
No, el ataque no requiere autenticación. Basta con enviar una petición HTTP con la cookie manipulada.
¿Existe algún exploit público disponible?
No se ha publicado información sobre exploits en las fuentes consultadas.
¿Qué debo hacer si no puedo actualizar inmediatamente?
Como medida temporal, implemente reglas de WAF para inspeccionar y bloquear la cookie maxsite_comuser con contenido serializado, o deshabilite la funcionalidad que la utiliza. Sin embargo, la actualización es la única solución completa.