CVE-2026-82531 Crítica en Smarty por Inyección de Código

Cómo comprobar si estás afectado

Para determinar si tu instalación es vulnerable a CVE-2026-82531, debes verificar la versión exacta de Smarty que estás utilizando en tu aplicación. La vulnerabilidad afecta a todas las versiones de Smarty anteriores a 4.5.8 y a las versiones de la rama 5.x anteriores a 5.8.5.

El método más fiable es revisar el archivo de definición de versión del propio Smarty, normalmente ubicado en la raíz del paquete. Busca un archivo llamado Smarty.class.php o SmartyBC.class.php y localiza la constante SMARTY_VERSION. También puedes revisar el archivo composer.json o composer.lock de tu proyecto si gestionas dependencias con Composer, ya que ahí se registrará la versión exacta instalada.

Si utilizas un framework o CMS que integra Smarty como dependencia, como algunos módulos de PrestaShop o aplicaciones personalizadas, deberás verificar la versión a través del gestor de dependencias o consultando la documentación del propio framework. En entornos donde Smarty se ha instalado manualmente, la ruta típica del archivo de versión es /libs/Smarty.class.php.

Además, es importante revisar si tu aplicación utiliza la funcionalidad de herencia de plantillas mediante {extends} o componentes multi-plantilla, ya que la vulnerabilidad solo es explotable cuando se emplea esta característica. Si no usas herencia de plantillas, el riesgo de explotación se reduce considerablemente, aunque la actualización sigue siendo recomendada.

Mitigación y actualización

La acción principal y más efectiva es actualizar Smarty a una versión corregida. Según los datos publicados por el fabricante y NVD, las versiones que resuelven esta vulnerabilidad son 4.5.8 para la rama 4.x y 5.8.5 para la rama 5.x. Estas versiones están disponibles en el repositorio oficial de GitHub del proyecto.

Si por cualquier razón no puedes actualizar de inmediato, debes considerar las siguientes medidas temporales:

• Deshabilitar la compilación de plantillas en caché si tu aplicación lo permite, forzando la recompilación en cada petición. Esto no elimina la vulnerabilidad, pero dificulta la explotación al no reutilizar archivos de caché generados con datos manipulados.
• Restringir el acceso a los directorios de caché de Smarty mediante permisos del sistema de archivos, asegurando que solo el proceso de la aplicación pueda leer y escribir en ellos.
• Validar y sanitizar cualquier dato asignado a las plantillas que provenga de entradas de usuario, especialmente si se utiliza en combinación con herencia de plantillas. No obstante, esta medida no es suficiente por sí sola, ya que la inyección se produce a través de marcadores SmartyNocache forjados que pueden estar ocultos en datos aparentemente benignos.

Es fundamental revisar el aviso oficial del fabricante en el advisory GHSA-3w63-v7pm-cq9x para obtener instrucciones detalladas y cualquier recomendación adicional que hayan publicado. La actualización debe realizarse en todos los entornos: desarrollo, pruebas y producción, y se recomienda verificar la integridad de los archivos tras la actualización.

Checklist para administradores

• ☐ Identificar todas las aplicaciones y entornos que utilizan Smarty.
• ☐ Verificar la versión exacta de Smarty en cada entorno mediante SMARTY_VERSION o composer.lock.
• ☐ Confirmar si la aplicación utiliza herencia de plantillas con {extends} o componentes multi-plantilla.
• ☐ Actualizar Smarty a la versión 4.5.8 o 5.8.5 según corresponda en todos los entornos.
• ☐ Revisar los archivos de caché generados antes de la actualización y eliminarlos si se sospecha que puedan contener datos manipulados.
• ☐ Verificar que la actualización no introduce regresiones en la funcionalidad de las plantillas.
• ☐ Monitorizar los registros de acceso y errores en busca de intentos de explotación relacionados con la inyección de código.
• ☐ Revisar el advisory GHSA-3w63-v7pm-cq9x y las notas de la versión para conocer cualquier detalle adicional.
• ☐ Documentar el proceso de actualización y las decisiones tomadas para futuras referencias.

Preguntas frecuentes

¿Qué es Smarty y por qué es importante esta vulnerabilidad?

Smarty es un motor de plantillas para PHP muy utilizado para separar la lógica de presentación del código de aplicación. Esta vulnerabilidad es crítica porque permite a un atacante ejecutar código arbitrario en el servidor, lo que puede comprometer completamente la aplicación y los datos asociados.

¿Cómo puedo saber si mi versión de Smarty es vulnerable?

Debes comprobar la versión instalada. Si es anterior a 4.5.8 en la rama 4.x, o anterior a 5.8.5 en la rama 5.x, es vulnerable. La versión se puede consultar en el archivo Smarty.class.php o en el gestor de dependencias.

¿La vulnerabilidad se puede explotar sin autenticación?

Según el vector CVSS publicado, la explotación no requiere privilegios de red (PR:N) y la interacción con el usuario no es necesaria (UI:N). Sin embargo, la explotación depende de que la aplicación permita asignar datos controlados por el atacante a las plantillas y de que se utilice la herencia de plantillas.

¿Qué debo hacer si no puedo actualizar Smarty inmediatamente?

Si no puedes actualizar, debes aplicar las medidas de mitigación descritas, como deshabilitar la caché de compilación, restringir permisos en los directorios de caché y validar los datos asignados a las plantillas. Estas medidas reducen el riesgo pero no eliminan la vulnerabilidad, por lo que la actualización sigue siendo prioritaria.

¿Existen exploits públicos para esta vulnerabilidad?

No se ha publicado información sobre exploits públicos en las fuentes consultadas. La ausencia de exploits conocidos no debe interpretarse como una reducción del riesgo, dado el alto impacto potencial.

¿La actualización de Smarty puede romper mi aplicación?

Las versiones corregidas son lanzamientos de mantenimiento que resuelven la vulnerabilidad sin cambios disruptivos en la API. No obstante, se recomienda probar la actualización en un entorno de desarrollo o pruebas antes de desplegarla en producción.