🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-74872 que afecta a la biblioteca openssl_encrypt en versiones anteriores a la 1.4.0. Permite ejecución de código arbitrario a través de un patrón glob inseguro en la implementación del hash Whirlpool. La puntuación CVSS es 9.3 (CRÍTICA). Se recomienda actualizar inmediatamente.
Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-74872 |
| Fabricante | jahlives (OpenSSL como proveedor declarado) |
| Producto | openssl_encrypt |
| Fecha de publicación | 17 de agosto de 2026 |
| Severidad | CRÍTICA |
| CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) |
| Puntuación de prioridad | 215 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-74872 reside en la biblioteca openssl_encrypt, concretamente en la implementación del hash Whirlpool. El código utiliza patrones glob amplios (whirlpool*py313*.so) para cargar módulos .so sin verificar su integridad. Esto permite que un atacante coloque un archivo malicioso con un nombre que coincida con el patrón en los directorios site-packages del sistema, logrando ejecución de código nativo cuando el módulo se carga.
La debilidad se clasifica como CWE-426: Ruta de búsqueda no confiable. El vector de ataque es remoto (AV:N), no requiere autenticación (PR:N) ni interacción del usuario (UI:N), y el impacto en confidencialidad, integridad y disponibilidad es alto (VC:H/VI:H/VA:H).
Productos y versiones vulnerables
Según las fuentes oficiales, el producto afectado es openssl_encrypt del desarrollador jahlives.
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| openssl_encrypt | Todas las versiones anteriores a 1.4.0 | 1.4.0 |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto es crítico. Un atacante puede ejecutar código arbitrario en el sistema afectado con los mismos privilegios que el proceso que carga la biblioteca. Dado que el ataque es remoto y no requiere autenticación, el riesgo de explotación masiva es alto si la biblioteca se utiliza en servicios expuestos. La puntuación CVSS 9.3 refleja la gravedad.
Estado de explotación conocida
No se ha reportado explotación activa en las fuentes consultadas. La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS superior a 9.0, no en evidencia de explotación.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si su sistema está afectado, verifique la versión instalada de openssl_encrypt. Si es anterior a la 1.4.0, está en riesgo. Consulte la documentación oficial del paquete para obtener instrucciones específicas de verificación. No se proporcionan comandos en las fuentes oficiales.
Mitigación y actualización
La única mitigación confirmada es actualizar a la versión 1.4.0 o superior de openssl_encrypt. No se han publicado parches alternativos ni workarounds. Siga las instrucciones del aviso oficial del fabricante.
Checklist para administradores
- ☐ Identificar todos los sistemas que utilizan la biblioteca
openssl_encrypt. - ☐ Verificar la versión instalada de
openssl_encrypt. - ☐ Si la versión es anterior a 1.4.0, planificar la actualización inmediata.
- ☐ Revisar los directorios
site-packagesen busca de archivos.sosospechosos que coincidan con el patrónwhirlpool*py313*.so. - ☐ Monitorizar logs de sistema en busca de cargas inesperadas de módulos.
- ☐ Aplicar la actualización a la versión 1.4.0 tan pronto como sea posible.
- ☐ Verificar que la actualización se ha aplicado correctamente.
Preguntas frecuentes
¿Qué es openssl_encrypt?
Es una biblioteca de cifrado que proporciona funciones hash y de encriptación. No debe confundirse con OpenSSL oficial.
¿Esta vulnerabilidad afecta a OpenSSL?
No. Aunque el nombre incluye «openssl», se trata de un proyecto independiente llamado openssl_encrypt. OpenSSL oficial no está afectado.
¿Cómo puedo saber mi versión de openssl_encrypt?
Consulte la documentación del paquete o utilice el gestor de paquetes correspondiente (por ejemplo, pip show openssl-encrypt si está instalado vía pip).
¿Existe algún parche temporal?
No se han publicado parches temporales. La única solución es actualizar a la versión 1.4.0.
¿Se requiere reinicio tras la actualización?
Depende del entorno. Se recomienda reiniciar los servicios que utilicen la biblioteca para asegurar que se carga la nueva versión.
¿Hay algún IOC conocido?
No. Las fuentes consultadas no proporcionan indicadores de compromiso.