CVE-2026-109573: Inyección SQL crítica en phpMyFAQ

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-109573 es una inyección SQL (CWE-89) localizada en la función PdoMysql::escape() de phpMyFAQ, un sistema de preguntas frecuentes (FAQ) de código abierto. El fallo reside en la forma en que esta función escapa las comillas simples: utiliza barras invertidas como carácter de escape, un comportamiento que resulta ineficaz cuando el servidor de base de datos MySQL o MariaDB opera en modo NO_BACKSLASH_ESCAPES.

En este modo, las barras invertidas se tratan como caracteres literales y no como secuencias de escape. Esto permite a un atacante no autenticado enviar una comilla simple Unicode derecha (U+2019) en el parámetro search del endpoint api/autocomplete. La aplicación normaliza este carácter Unicode a una comilla simple ASCII estándar, que no es correctamente escapada por la función vulnerable. De esta forma, el atacante puede inyectar código SQL arbitrario en las consultas que la aplicación ejecuta contra la base de datos.

La explotación de esta vulnerabilidad no requiere credenciales válidas, lo que incrementa significativamente su criticidad. El vector de ataque es remoto y la complejidad del ataque se considera alta debido a la necesidad de que el servidor de base de datos esté configurado con el modo NO_BACKSLASH_ESCAPES activo, una configuración que no es la predeterminada en la mayoría de las instalaciones de MySQL y MariaDB, pero que puede estar presente en entornos con políticas de configuración específicas.

El fabricante ha publicado una actualización correctiva en la versión 4.1.9, que resuelve el problema de escape de caracteres. También se ha confirmado que la versión 4.2.0-beta no se ve afectada, mientras que la versión 4.2.0-alpha sí lo está. Los administradores deben verificar la versión instalada y actualizar a una versión segura lo antes posible.

Productos y versiones vulnerables

Según la información publicada por CVE.org, la vulnerabilidad afecta a phpMyFAQ, el sistema de preguntas frecuentes de código abierto desarrollado por Thorsten Rinne. Las versiones afectadas y no afectadas se detallan a continuación:

La versión 4.1.9 corrige la vulnerabilidad en la rama estable, mientras que la versión 4.2.0-beta la corrige en la rama de desarrollo. Se recomienda encarecidamente actualizar a estas versiones o posteriores. No se han publicado versiones adicionales afectadas en las fuentes consultadas.

Impacto y riesgo

La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.2, permite a un atacante no autenticado ejecutar consultas SQL arbitrarias contra la base de datos subyacente. El vector de ataque es CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, lo que indica que el ataque se realiza a través de la red, no requiere privilegios ni interacción del usuario, y tiene un impacto alto en la confidencialidad, integridad y disponibilidad de los datos.

El fallo reside en la función PdoMysql::escape(), que escapa las comillas simples con barras invertidas. Sin embargo, cuando MySQL o MariaDB se ejecutan en modo NO_BACKSLASH_ESCAPES, estas barras se tratan como caracteres literales, lo que permite que la inyección SQL prospere. Un atacante puede enviar una comilla simple Unicode de cierre (U+2019) en el parámetro search del endpoint api/autocomplete; esta comilla se normaliza a una comilla simple ASCII, evadiendo la protección y permitiendo la manipulación de la consulta SQL.

Las consecuencias prácticas de una explotación exitosa incluyen:

• Lectura de credenciales almacenadas en la base de datos, incluidas las de administradores y usuarios.
• Exfiltración de secretos de configuración, como claves de API o contraseñas de servicios externos.
• Modificación de registros, lo que podría alterar el contenido del FAQ o comprometer la integridad del sistema.
• Eliminación de tablas, provocando una denegación de servicio y pérdida permanente de datos.

Dado que el ataque no requiere autenticación, cualquier instancia de phpMyFAQ expuesta a Internet con una versión vulnerable y una base de datos MySQL/MariaDB en modo NO_BACKSLASH_ESCAPES está en riesgo inmediato.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre la existencia de exploits públicos o explotación activa en entornos reales para esta vulnerabilidad. No se ha confirmado ni desmentido la existencia de código de prueba de concepto (PoC) disponible públicamente.

Sin embargo, la criticidad de la vulnerabilidad, la facilidad de acceso al endpoint afectado y la naturaleza no autenticada del ataque hacen que sea altamente probable que los actores maliciosos intenten explotarla en un plazo corto. Se recomienda aplicar la actualización disponible con carácter urgente, sin esperar a que se confirme la existencia de exploits públicos.

Indicadores de compromiso (IOC)

El campo enrichment.ioc del contexto proporcionado está vacío. Las fuentes consultadas (NVD, CVE.org y las referencias del aviso) no publican indicadores de compromiso estructurados, como direcciones IP, hashes de archivos o dominios maliciosos asociados a esta vulnerabilidad.

No se deben inventar IOC que no estén respaldados por las fuentes oficiales. En su lugar, se recomienda a los administradores:

• Revisar los registros de acceso al endpoint api/autocomplete en busca de peticiones anómalas que contengan caracteres Unicode inusuales o patrones de inyección SQL.
• Monitorizar la actividad de la base de datos en busca de consultas anómalas o intentos de acceso a tablas sensibles.
• Verificar la integridad de las tablas de usuarios y configuración tras aplicar la actualización.

Si se detecta actividad sospechosa, se recomienda asumir un compromiso y proceder con la correspondiente investigación forense.

Cómo comprobar si estás afectado

Para determinar si tu instalación de phpMyFAQ es vulnerable a CVE-2026-109573, debes verificar la versión exacta del software que estás ejecutando. Según la información publicada por CVE.org, todas las versiones anteriores a 4.1.9 están afectadas. También se considera afectada la versión 4.2.0-alpha, mientras que la versión 4.2.0-beta no lo está.

El primer paso es identificar la versión instalada. Puedes hacerlo consultando el panel de administración de phpMyFAQ, donde normalmente se muestra el número de versión en la sección de información del sistema o en el pie de página. También puedes revisar el archivo de configuración o la documentación interna de tu despliegue para localizar este dato.

Además de la versión, debes prestar atención a la configuración del servidor de base de datos. La vulnerabilidad explota una condición específica: el modo NO_BACKSLASH_ESCAPES en MySQL o MariaDB. Si tu servidor de base de datos está configurado con este modo activado, el riesgo de explotación es significativamente mayor. Para confirmar esta configuración, consulta la documentación de tu motor de base de datos o revisa los parámetros de arranque del servicio. No se han publicado comandos específicos de verificación en las fuentes consultadas.

También es recomendable revisar los registros de acceso al endpoint api/autocomplete. Si observas peticiones inusuales con caracteres Unicode en el parámetro search, podrías estar siendo objeto de un intento de explotación. Sin embargo, no se han publicado indicadores de compromiso (IOC) estructurados en las fuentes oficiales, por lo que esta revisión debe considerarse una medida preventiva adicional.

Mitigación y actualización

La acción principal recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Según los datos disponibles, la versión 4.1.9 es la primera versión corregida, y la versión 4.2.0-beta también se considera no afectada. Si tu instalación es anterior a estas versiones, debes planificar una actualización inmediata.

Mientras tanto, si no puedes actualizar de forma inmediata, considera las siguientes medidas temporales:

• Restringir el acceso al endpoint api/autocomplete mediante reglas de firewall o listas de control de acceso, limitando su uso únicamente a direcciones IP confiables.
• Revisar la configuración del servidor de base de datos para evaluar si el modo NO_BACKSLASH_ESCAPES es realmente necesario. Si puedes desactivarlo de forma segura, reducirás la superficie de ataque.
• Monitorizar los registros de acceso y las consultas a la base de datos en busca de patrones anómalos que puedan indicar intentos de explotación.

Es importante señalar que estas medidas son paliativas y no sustituyen la aplicación del parche oficial. La actualización a una versión corregida es la única solución definitiva. Consulta el aviso de seguridad del fabricante en GitHub para obtener instrucciones detalladas sobre el proceso de actualización y cualquier consideración adicional.

Checklist para administradores

• ☐ Identificar la versión exacta de phpMyFAQ instalada en todos los entornos (producción, desarrollo y pruebas).
• ☐ Verificar si la versión instalada es anterior a 4.1.9 o si se trata de la versión 4.2.0-alpha.
• ☐ Confirmar si el servidor MySQL o MariaDB está ejecutándose con el modo NO_BACKSLASH_ESCAPES activado.
• ☐ Revisar los registros de acceso al endpoint api/autocomplete en busca de peticiones sospechosas con caracteres Unicode.
• ☐ Planificar la actualización a la versión 4.1.9 o superior en un entorno de pruebas antes de aplicarla en producción.
• ☐ Aplicar la actualización oficial siguiendo las instrucciones del fabricante.
• ☐ Restringir temporalmente el acceso al endpoint vulnerable si la actualización no puede realizarse de inmediato.
• ☐ Monitorizar los logs de la base de datos y de la aplicación tras la actualización para detectar cualquier actividad anómala.
• ☐ Documentar el incidente y las acciones tomadas para futuras referencias y auditorías.

Preguntas frecuentes

¿Qué es CVE-2026-109573?

Es una vulnerabilidad crítica de inyección SQL en phpMyFAQ, con una puntuación CVSS de 9.2. Permite a atacantes no autenticados leer credenciales y secretos de configuración, modificar registros o eliminar tablas de la base de datos.

¿Qué versiones de phpMyFAQ están afectadas?

Todas las versiones anteriores a 4.1.9 están afectadas. La versión 4.2.0-alpha también se considera vulnerable, mientras que 4.2.0-beta no lo está.

¿Cómo se explota esta vulnerabilidad?

El atacante envía una comilla simple Unicode en el parámetro search del endpoint api/autocomplete. Este carácter se normaliza a una comilla ASCII, que no es escapada correctamente cuando el servidor de base de datos opera en modo NO_BACKSLASH_ESCAPES.

¿Necesito estar autenticado para explotar la vulnerabilidad?

No. Según el vector CVSS publicado, la explotación no requiere privilegios de usuario (PR:N), lo que significa que un atacante remoto sin autenticación puede aprovechar la vulnerabilidad.

¿Qué debo hacer si mi instalación es vulnerable?

Debes actualizar a la versión 4.1.9 o superior lo antes posible. Mientras tanto, restringe el acceso al endpoint afectado y monitoriza los registros de actividad.

¿Existen indicadores de compromiso conocidos?

No. Las fuentes consultadas no han publicado indicadores de compromiso (IOC) estructurados para esta vulnerabilidad. No deben inventarse indicadores que no estén respaldados por fuentes oficiales.