CVE-2026-56705: Vulnerabilidad crítica en Adminer (PHP) permite RCE

🚨 Alerta crítica: CVE-2026-56705 afecta a Adminer antes de la versión 5.4.3. La falta de sanitización del campo server permite inyección de parámetros ODBC y ejecución remota de código sin autenticación.

Cadena de riesgo y respuesta para CVE-2026-56705

Resumen ejecutivo

Campo	Detalle
CVE	CVE-2026-56705
Fabricante	vrana
Producto	Adminer
Fecha de publicación	2026-08-25
Severidad	CRITICAL
CVSS	9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/…)
Puntuación de prioridad	235
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización a la versión 5.4.3 o superior.

Qué es la vulnerabilidad

Adminer, una herramienta de administración de bases de datos escrita en PHP, no valida ni sanitiza el valor del campo server antes de usarlo para construir la cadena de conexión DSN de PDO. Un atacante no autenticado puede inyectar parámetros ODBC (como TraceFile y TraceOn) mediante punto y coma, logrando que el servidor escriba código PHP en el directorio web. Al acceder al archivo de traza generado, se ejecuta código arbitrario, lo que conduce a una ejecución remota de código (RCE) completa.

Productos y versiones vulnerables

Fabricante	Producto	Versión afectada	Versión corregida
vrana	Adminer	Todas las versiones anteriores a 5.4.3 (incluyendo la versión 0)	5.4.3

Impacto y riesgo

Confidencialidad: Alta – el atacante puede leer archivos del servidor.
Integridad: Alta – posibilidad de modificar o subir código malicioso.
Disponibilidad: Alta – ejecución de código puede detener servicios.
Vector de ataque: Red (AV:N), baja complejidad (AC:L), sin privilegios (PR:N), sin interacción de usuario (UI:N).

Estado de explotación conocida

No se ha reportado explotación activa en las fuentes consultadas (NVD, CVE.org, avisos del fabricante). La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS 9.3, no en evidencia de explotación en la naturaleza.

Indicadores de compromiso (IOC)

No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.

Cómo comprobar si estás afectado

Identifica la versión de Adminer instalada en tus servidores (por ejemplo, revisando el archivo adminer.php o la página de información de la herramienta).
Compara la versión con la lista anterior: cualquier versión inferior a 5.4.3 es vulnerable.
Si no puedes determinar la versión, asume que estás afectado y planifica la actualización.

Mitigación y actualización

Actualiza Adminer a la versión 5.4.3 o superior descargándola desde el repositorio oficial (github.com/vrana/adminer).
Si no es posible actualizar de inmediato, restringe el acceso a la interfaz de Adminer mediante reglas de firewall, VPN o autenticación adicional a nivel de servidor web.
Revisa los logs del servidor web en busca de solicitudes que contengan parámetros TraceFile o TraceOn en el campo server.

Checklist para administradores

☐ Verificar versión de Adminer en todos los entornos.
☐ Aplicar actualización a 5.4.3 o superior.
☐ Implementar controles de acceso de red a la interfaz de Adminer.
☐ Monitorizar logs por intentos de inyección DSN.
☐ Comunicar la incidencia al equipo de seguridad y documentar acciones.

Preguntas frecuentes

¿Qué versiones de Adminer son seguras?: La versión 5.4.3 y posteriores corrigen la vulnerabilidad.
¿Se necesita autenticación para explotar la falla?: No, la vulnerabilidad puede ser explotada por atacantes no autenticados.
¿Qué parámetros ODBC se pueden inyectar?: Parámetros como TraceFile y TraceOn permiten escribir archivos de traza en el directorio web.
¿Hay exploits públicos disponibles?: Las fuentes consultadas no mencionan exploits públicos; sin embargo, la facilidad de explotación sugiere que podrían aparecer pronto.
¿Qué debo hacer si no puedo actualizar ahora?: Restringe el acceso a Adminer mediante firewall, VPN o autenticación adicional y monitoriza los accesos sospechosos.