Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-74900 |
| Fabricante | jahlives |
| Producto | openssl_encrypt |
| Fecha de publicación | 2026-08-17 |
| Severidad | CRITICAL |
| CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) |
| Puntuación de prioridad | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-74900 afecta a la biblioteca openssl_encrypt en versiones anteriores a la 1.4.0. El fallo se encuentra en el archivo pqc.py, donde los fallos de descapsulación KEM (Key Encapsulation Mechanism) caen silenciosamente en un modo de simulación. Este modo genera un secreto compartido determinista a partir de solo 16 bytes de la clave privada y datos de clave encapsulada disponibles públicamente. Como resultado, un atacante que obtenga 16 bytes de la clave privada puede calcular el secreto compartido y descifrar todo el texto cifrado. El fallo no genera ningún error, lo que dificulta su detección.
Productos y versiones vulnerables
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| openssl_encrypt | Anteriores a 1.4.0 | 1.4.0 |
Según las fuentes consultadas, solo se ha identificado este producto como afectado. No se han publicado otros productos o versiones.
Impacto y riesgo
El impacto es crítico. La vulnerabilidad permite a un atacante remoto, sin necesidad de autenticación ni interacción del usuario, comprometer la confidencialidad, integridad y disponibilidad de los datos protegidos por openssl_encrypt. El vector CVSS indica que el ataque es por red, de baja complejidad y no requiere privilegios. La puntuación de prioridad de 185 (sobre 200) refleja la urgencia de aplicar la actualización.
Estado de explotación conocida
No se ha confirmado explotación activa en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su publicación reciente y una puntuación CVSS igual o superior a 9.0, no en evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Las fuentes oficiales no proporcionan comandos específicos para la verificación. Se recomienda consultar la documentación del fabricante para identificar la versión instalada de openssl_encrypt. Si la versión es anterior a 1.4.0, el sistema está afectado.
Mitigación y actualización
La única mitigación confirmada es actualizar a la versión 1.4.0 o superior de openssl_encrypt. El fabricante ha publicado un aviso de seguridad en GitHub y se han emitido referencias adicionales desde VulnCheck. Se recomienda seguir las instrucciones oficiales para la actualización.
Checklist para administradores
- ☐ Identificar todas las instancias de
openssl_encrypten el entorno. - ☐ Verificar la versión instalada de cada instancia.
- ☐ Actualizar a la versión 1.4.0 o superior.
- ☐ Revisar los registros de errores de KEM para detectar posibles fallos silenciosos.
- ☐ Monitorear la red en busca de actividad anómala relacionada con el descifrado.
- ☐ Documentar el proceso de actualización y verificar su correcta aplicación.
Preguntas frecuentes
¿Qué es CVE-2026-74900?
Es una vulnerabilidad crítica en la biblioteca openssl_encrypt que permite a un atacante con 16 bytes de la clave privada descifrar todo el tráfico protegido.
¿A qué versiones afecta?
Afecta a todas las versiones anteriores a 1.4.0.
¿Cómo puedo saber si estoy afectado?
Compruebe la versión de openssl_encrypt en sus sistemas. Si es inferior a 1.4.0, está afectado.
¿Existe parche disponible?
Sí, la versión 1.4.0 corrige la vulnerabilidad.
¿Se ha explotado activamente?
No hay confirmación de explotación activa en las fuentes consultadas.
¿Qué hago si no puedo actualizar inmediatamente?
Consulte las mitigaciones alternativas publicadas por el fabricante. Mientras tanto, restrinja el acceso a los sistemas afectados.