Alerta crítica: Se ha publicado la CVE-2026-63146, una vulnerabilidad de inyección de código en Omnispace Agora Project anterior a la versión 26.10.0. La explotación exitosa permite ejecución remota de código (RCE) sin autenticación en el sistema subyacente, con una puntuación CVSS de 9.3 (CRITICAL). Se recomienda aplicar la actualización disponible de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-63146 |
|---|---|
| Fabricante | Omnispace |
| Producto | Agora Project |
| Fecha de publicación | 13 de octubre de 2026 |
| Severidad | CRITICAL |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Prioridad RyzerBot | 205 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-63146 es una vulnerabilidad de inyección de código que afecta a Omnispace Agora Project en versiones anteriores a la 26.10.0. El fallo combina dos debilidades técnicas que, encadenadas, permiten a un atacante remoto no autenticado ejecutar código arbitrario en el servidor.
El origen del problema se encuentra en el proceso de instalación de la aplicación. Durante este proceso, la función File::updateConfigFile() escribe valores controlados por el atacante en el archivo de configuración config.inc.php sin escapar correctamente dichos valores. Esta escritura sin saneamiento constituye la primera debilidad, clasificada como CWE-94 (Control inadecuado de la generación de código).
La segunda debilidad es una vulnerabilidad de inyección SQL habilitada por el uso de PDO::ATTR_EMULATE_PREPARES, que permite consultas apiladas. Esta configuración de PDO hace que las consultas preparadas se emulen a nivel de PHP en lugar de delegarse al motor de base de datos, lo que posibilita que un atacante inyecte múltiples sentencias SQL en una sola consulta.
El encadenamiento de ambas vulnerabilidades es lo que hace crítica esta CVE. El atacante puede explotar la inyección SQL para re-trigger el instalador de Agora Project. Al re-ejecutar el instalador, el atacante puede inyectar código PHP arbitrario en el archivo config.inc.php a través de la función DbInstall::dbControl(). Una vez que el código PHP malicioso se escribe en el archivo de configuración, cualquier petición posterior al servidor que incluya este archivo ejecutará el código inyectado, logrando así ejecución remota de código en el sistema subyacente.
La vulnerabilidad es especialmente grave porque no requiere autenticación previa. Un atacante con acceso a la red donde se encuentra el servicio puede explotarla sin necesidad de credenciales válidas. Además, el vector de ataque es de red (AV:N) y la complejidad de ataque es baja (AC:L), lo que facilita su explotación.
El fabricante Omnispace ha publicado la versión 26.10.0 como actualización correctiva. Los administradores de sistemas que utilicen Agora Project deben actualizar a esta versión o a una posterior de manera inmediata. Se recomienda también revisar el aviso de VulnCheck, que proporciona detalles técnicos adicionales sobre la vulnerabilidad.
Productos y versiones vulnerables
La vulnerabilidad afecta a Omnispace Agora Project en todas las versiones anteriores a la 26.10.0. Según la información publicada por CVE.org, el fabricante ha confirmado que las versiones afectadas son aquellas cuya versión es menor que 26.10.0 (semver). No se ha publicado una lista exhaustiva de versiones específicas afectadas más allá de este rango.
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| Agora Project | Omnispace | Todas las versiones < 26.10.0 | 26.10.0 |
La referencia al parche publicada por el fabricante está disponible en el repositorio oficial de GitHub: https://github.com/xech/agora-project/releases/tag/26.10.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.3 (vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N). El vector refleja que un atacante remoto no autenticado puede explotar la vulnerabilidad sin requerir interacción del usuario ni privilegios previos.
El impacto técnico se desglosa en dos vectores de ataque combinados:
- Inyección de código (CWE-94): durante el proceso de instalación, los valores controlados por el atacante no se escapan correctamente al escribirse en el archivo de configuración
config.inc.phpa través de las funcionesFile::updateConfigFile()yDbInstall::dbControl(). - Inyección SQL: la configuración de
PDO::ATTR_EMULATE_PREPARESpermite consultas apiladas, lo que facilita la explotación de la inyección SQL para re-ejecutar el instalador y, posteriormente, inyectar código PHP arbitrario en el archivo de configuración.
La combinación de ambos vectores permite a un atacante lograr ejecución remota de código (RCE) no autenticada en el sistema subyacente. El impacto sobre la confidencialidad, integridad y disponibilidad es alto, lo que implica que un atacante podría comprometer completamente el sistema, acceder a datos sensibles, modificar la configuración o interrumpir el servicio.
Dado el nivel de acceso que se puede obtener, se recomienda tratar esta vulnerabilidad con la máxima prioridad en entornos de producción.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre la existencia de exploits públicos o explotación activa en entornos reales para esta vulnerabilidad. El campo de explotabilidad en el vector CVSS aparece como E:X (no definido), lo que indica que el fabricante no ha proporcionado una valoración al respecto.
No obstante, la naturaleza de la vulnerabilidad (inyección de código combinada con inyección SQL que permite RCE no autenticada) y su puntuación CVSS de 9.3 la convierten en un objetivo altamente atractivo para actores maliciosos. Se recomienda aplicar la actualización disponible de manera inmediata sin esperar a que se confirme la existencia de exploits públicos.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas para esta vulnerabilidad. El campo de IOC en el enriquecimiento de datos aparece vacío, por lo que no se dispone de direcciones IP, dominios, hashes de archivos u otros indicadores específicos que puedan utilizarse para detectar actividad maliciosa relacionada con CVE-2026-63146.
Ante la ausencia de IOC publicados, se recomienda a los administradores:
- Revisar los registros de acceso y errores del servidor en busca de intentos de acceso al instalador de Agora Project.
- Auditar la integridad del archivo
config.inc.phpy otros archivos de configuración. - Monitorizar la creación de archivos PHP sospechosos en el directorio de instalación.
- Revisar los logs de la base de datos para detectar consultas SQL anómalas o apiladas.
Estas recomendaciones son de carácter general y no sustituyen a los indicadores específicos que el fabricante pueda publicar en futuras actualizaciones de su aviso de seguridad.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Omnispace Agora Project es vulnerable a CVE-2026-63146, debes verificar la versión exacta del producto que estás ejecutando. Según los datos publicados por CVE.org y NVD, todas las versiones anteriores a 26.10.0 se consideran afectadas.
El primer paso es identificar la versión instalada. Puedes hacerlo consultando la interfaz de administración de Agora Project, el archivo de configuración config.inc.php o la documentación interna de tu despliegue. Si tu versión es anterior a 26.10.0, asume que el sistema es vulnerable y procede con las acciones de mitigación descritas en este artículo.
Además, debes considerar el contexto de exposición. La vulnerabilidad permite ejecución remota de código sin autenticación y el vector CVSS es de red (AV:N), lo que significa que cualquier instancia accesible desde Internet o desde una red no confiable está en riesgo inmediato. Si el instalador de Agora Project ha sido ejecutado alguna vez en el servidor, o si el archivo config.inc.php existe en el sistema, la superficie de ataque está presente.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Por tanto, la comprobación debe centrarse en la versión del software y en la exposición del servicio, no en la búsqueda de artefactos específicos de un ataque.
Mitigación y actualización
La única mitigación confirmada por el fabricante es la actualización a la versión 26.10.0 o posterior. El aviso oficial de Omnispace, referenciado en el repositorio de GitHub, indica que la corrección se incluye en el lanzamiento 26.10. No se ha publicado ningún parche alternativo, workaround oficial o firma de detección en las fuentes consultadas.
Mientras se aplica la actualización, se recomienda adoptar medidas compensatorias de carácter temporal:
- Restringir el acceso a la interfaz de instalación y administración de Agora Project mediante reglas de firewall o listas de control de acceso (ACL), limitando el origen a direcciones IP administrativas de confianza.
- Deshabilitar el instalador si no es necesario, eliminando o renombrando los scripts de instalación del servidor, siempre que esto no interfiera con el funcionamiento del producto.
- Monitorizar los registros del servidor web y de la base de datos en busca de peticiones inusuales dirigidas a los scripts de instalación o a parámetros relacionados con la configuración.
- Revisar la integridad del archivo
config.inc.phpy compararlo con una copia de referencia limpia, si se dispone de ella.
Estas acciones no eliminan la vulnerabilidad, pero reducen la probabilidad de explotación mientras se programa la actualización. La aplicación de la versión corregida debe considerarse una tarea de máxima prioridad.
Checklist para administradores
- ☐ Verificar la versión exacta de Agora Project instalada en todos los entornos (producción, staging y desarrollo).
- ☐ Confirmar si la versión instalada es anterior a
26.10.0y, por tanto, afectada por CVE-2026-63146. - ☐ Evaluar la exposición del servicio: ¿es accesible desde Internet o desde redes no confiables?
- ☐ Revisar los registros de acceso y errores del servidor web en busca de intentos de acceso al instalador o a
config.inc.php. - ☐ Aplicar la actualización a la versión
26.10.0o posterior siguiendo el procedimiento oficial del fabricante. - ☐ Verificar la integridad del archivo
config.inc.phptras la actualización y confirmar que no contiene código inyectado. - ☐ Restringir el acceso administrativo al producto mediante firewall o ACL, permitiendo únicamente IPs de confianza.
- ☐ Documentar las acciones realizadas y las fechas de aplicación para futuras auditorías.
Preguntas frecuentes
¿Qué versión de Agora Project corrige esta vulnerabilidad?
Según las referencias publicadas, la versión 26.10.0 incluye la corrección. El aviso del fabricante en GitHub referencia el lanzamiento 26.10 como punto de actualización.
¿La vulnerabilidad requiere autenticación para ser explotada?
No. El vector CVSS indica PR:N (sin privilegios requeridos) y la descripción técnica señala que la explotación permite ejecución remota de código sin autenticación.
¿Qué impacto tiene la explotación de CVE-2026-63146?
Un atacante podría inyectar código PHP arbitrario en el archivo config.inc.php y ejecutarlo en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad del sistema. La puntuación CVSS v4 es 9.3 (Crítico).
¿Existen indicadores de compromiso (IOC) publicados?
No. Las fuentes consultadas (NVD y CVE.org) no incluyen IOC estructurados. No deben inventarse indicadores ni patrones de detección no confirmados.
¿Puedo aplicar un parche sin actualizar a la versión 26.10.0?
No se ha publicado ningún parche independiente ni workaround oficial. La única acción confirmada es la actualización a la versión corregida.
¿Qué hago si ya he sido comprometido?
Si sospechas que el sistema ha sido explotado, aísla el servidor, realiza una revisión forense de los registros y del archivo config.inc.php, y restaura desde una copia de seguridad limpia antes de aplicar la actualización.