Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-67614 |
| Fabricante | Microsoft (producto CyberPanel) |
| Producto | CyberPanel |
| Fecha de publicación | 2026-08-13 |
| Severidad | CRÍTICA |
| CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X) |
| Puntuación de prioridad | 215 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-67614 reside en CyberPanel, un panel de control de alojamiento web, en versiones anteriores a la 3.0.0. El servicio WebTerminal FastAPI SSH contiene un secreto JWT hardcodeado (CWE-798: uso de credenciales hardcodeadas). Esto permite que un atacante remoto no autenticado pueda forjar tokens JWT válidos utilizando ese secreto conocido. Al especificar ssh_user=root en el token, el atacante puede autenticarse en el servicio de terminal a través de WebSocket en el puerto 8888 y obtener una shell interactiva con privilegios de root.
La vulnerabilidad es especialmente grave porque no requiere ninguna autenticación previa ni interacción del usuario. El atacante solo necesita acceso de red al puerto 8888 del servidor CyberPanel afectado.
Productos y versiones vulnerables
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| CyberPanel | Anteriores a 3.0.0 | 3.0.0 o superior |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto es crítico. Un atacante puede obtener control total del servidor CyberPanel con privilegios de root, lo que implica:
- Compromiso total de la confidencialidad: Acceso a todos los datos almacenados en el servidor.
- Compromiso total de la integridad: Capacidad de modificar, eliminar o instalar software malicioso.
- Compromiso total de la disponibilidad: Posibilidad de denegar servicio o destruir el sistema.
- Movimiento lateral: El atacante podría usar el servidor comprometido como punto de partida para atacar otros sistemas de la red.
La puntuación CVSS de 9.3 refleja la facilidad de explotación (vector de red, complejidad baja, sin privilegios ni interacción) y el alto impacto en los tres pilares de seguridad.
Estado de explotación conocida
No se ha publicado información sobre explotación activa en las fuentes consultadas. La selección de esta vulnerabilidad por RyzerBot se basa en su reciente publicación y su puntuación CVSS igual o superior a 9.0, no en evidencia de explotación en curso. Se recomienda monitorizar fuentes de inteligencia de amenazas.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detecta actividad anómala en el puerto 8888 o conexiones WebSocket no autorizadas, se debe investigar como posible indicio de compromiso.
Cómo comprobar si estás afectado
Para determinar si tu instalación de CyberPanel es vulnerable:
- Verifica la versión de CyberPanel instalada. Si es anterior a 3.0.0, estás afectado.
- Comprueba si el servicio WebTerminal FastAPI SSH está expuesto en el puerto 8888. Puedes hacerlo desde el propio servidor o mediante un escáner de puertos externo.
- Revisa los registros de acceso al puerto 8888 en busca de conexiones WebSocket sospechosas.
No se proporcionan comandos específicos en las fuentes consultadas.
Mitigación y actualización
La acción principal es actualizar CyberPanel a la versión 3.0.0 o superior, donde se ha corregido la vulnerabilidad. El fabricante ha publicado la actualización en su página de cambios: https://cyberpanel.net/KnowledgeBase/home/change-logs/.
Mientras no se pueda actualizar, se recomienda como mitigación temporal:
- Restringir el acceso al puerto 8888 mediante firewall, permitiendo solo conexiones desde direcciones IP de confianza.
- Deshabilitar el servicio WebTerminal si no es necesario.
- Monitorizar intensivamente los registros del servicio.
Checklist para administradores
- ☐ Identificar todas las instancias de CyberPanel en la organización.
- ☐ Verificar la versión de CyberPanel en cada instancia.
- ☐ Si la versión es anterior a 3.0.0, planificar la actualización inmediata.
- ☐ Revisar las reglas de firewall para el puerto 8888.
- ☐ Deshabilitar el servicio WebTerminal si no es imprescindible.
- ☐ Revisar registros de acceso al puerto 8888 en busca de actividad sospechosa.
- ☐ Notificar al equipo de seguridad sobre la vulnerabilidad.
- ☐ Mantenerse informado a través de las fuentes oficiales.
Preguntas frecuentes
¿Qué es CVE-2026-67614?
Es una vulnerabilidad crítica en CyberPanel (anterior a 3.0.0) que permite a un atacante remoto no autenticado obtener una shell root mediante un JWT secreto hardcodeado.
¿Qué productos afecta?
Afecta a CyberPanel en versiones anteriores a la 3.0.0.
¿Cómo se explota?
El atacante envía una solicitud WebSocket al puerto 8888 con un token JWT forjado usando el secreto hardcodeado y especificando ssh_user=root.
¿Hay actualización disponible?
Sí, la versión 3.0.0 de CyberPanel corrige la vulnerabilidad.
¿Se está explotando activamente?
No se ha publicado información sobre explotación activa en las fuentes consultadas.
¿Qué hago si no puedo actualizar inmediatamente?
Como mitigación temporal, restringe el acceso al puerto 8888 mediante firewall o deshabilita el servicio WebTerminal.