CVE-2026-111911: Bypass de autenticación crítico en phpMyFAQ

Cómo comprobar si estás afectado

Para determinar si tu instalación de phpMyFAQ es vulnerable a CVE-2026-111911, debes verificar la versión exacta del software. Según los datos publicados por CVE.org y NVD, las versiones afectadas son todas las comprendidas entre 4.0.0 y anteriores a 4.1.9. La versión 4.1.9 figura como no afectada.

El método más fiable para conocer tu versión es consultar la interfaz de administración de phpMyFAQ o el archivo de configuración del propio software. No se han publicado comandos específicos de detección en las fuentes consultadas, por lo que no deben utilizarse scripts externos no verificados.

Además de la versión, debes considerar el factor de exposición. Esta vulnerabilidad requiere acceso de red al endpoint de registro de WebAuthn. Si tu instancia está expuesta a Internet o a redes no confiables, el riesgo es significativamente mayor. Si está únicamente en una red interna segmentada, el riesgo se reduce, pero no se elimina por completo.

Revisa también los registros de acceso y autenticación en busca de intentos de registro de credenciales WebAuthn no autorizados o de inicios de sesión con métodos de autenticación de paso (passkey) que no hayan sido solicitados por usuarios legítimos. La presencia de este tipo de eventos podría indicar un intento de explotación.

Mitigación y actualización

La acción principal recomendada por las fuentes consultadas es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. En este sentido, se han publicado dos avisos de seguridad del propio fabricante (GHSA-g6cq-6rqg-6c9p y GHSA-rg9h-f29v-xhxr) que debes consultar para obtener instrucciones detalladas.

Dado que la versión 4.1.9 se considera no afectada, la medida prioritaria es actualizar a dicha versión o a una posterior si el fabricante ya ha publicado alguna. No se han publicado en las fuentes consultadas parches específicos ni versiones corregidas adicionales, por lo que no deben aplicarse parches no oficiales.

Mientras se planifica la actualización, se pueden adoptar las siguientes medidas temporales de mitigación:

• Restringir el acceso a los endpoints de registro de WebAuthn mediante reglas de firewall o de la propia aplicación, permitiendo únicamente conexiones desde direcciones IP confiables.
• Deshabilitar temporalmente la autenticación WebAuthn si no es imprescindible para la operación del servicio.
• Reforzar la monitorización de los registros de autenticación para detectar intentos de registro de credenciales no autorizados.
• Revisar periódicamente las cuentas de usuario para identificar cuentas sospechosas o modificaciones no autorizadas en los métodos de autenticación.

Estas medidas son complementarias y no sustituyen a la actualización del software.

Checklist para administradores

• ☐ Verificar la versión exacta de phpMyFAQ instalada en todos los entornos (producción, pruebas, desarrollo).
• ☐ Confirmar si la versión instalada se encuentra en el rango afectado (4.0.0 hasta antes de 4.1.9).
• ☐ Consultar los avisos oficiales del fabricante (GHSA-g6cq-6rqg-6c9p y GHSA-rg9h-f29v-xhxr) para obtener instrucciones detalladas.
• ☐ Planificar y ejecutar la actualización a la versión 4.1.9 o posterior en cuanto sea posible.
• ☐ Revisar los registros de autenticación en busca de intentos de registro WebAuthn no autorizados.
• ☐ Auditar las cuentas de usuario y los métodos de autenticación asociados para detectar credenciales de paso (passkey) no autorizadas.
• ☐ Restringir el acceso a los endpoints de registro de WebAuthn mediante reglas de red o de aplicación.
• ☐ Considerar la desactivación temporal de WebAuthn si no es imprescindible y la actualización no puede realizarse de inmediato.
• ☐ Documentar todas las acciones tomadas y mantener un registro de seguimiento.

Preguntas frecuentes

¿Qué es CVE-2026-111911?

Es una vulnerabilidad crítica de autenticación en phpMyFAQ, con una puntuación CVSS de 9.3 (severidad CRITICAL). Permite a un atacante registrar una credencial WebAuthn (passkey) en la cuenta de un usuario víctima sin autenticación ni validación de desafío, lo que facilita la toma de control de la cuenta.

¿Qué versiones de phpMyFAQ están afectadas?

Según los datos publicados, todas las versiones desde 4.0.0 hasta antes de 4.1.9 están afectadas. La versión 4.1.9 se considera no afectada.

¿Cómo se explota esta vulnerabilidad?

El atacante debe conocer el nombre de usuario de la víctima. A continuación, envía una solicitud al endpoint de registro de WebAuthn con una atestación forjada de tipo fmt=none, logrando registrar una passkey en la cuenta de la víctima. Posteriormente, puede iniciar sesión con esa passkey, omitiendo la contraseña y el TOTP.

¿Qué impacto tiene esta vulnerabilidad?

El impacto es alto en confidencialidad, integridad y disponibilidad, ya que un atacante puede tomar el control total de la cuenta de un usuario legítimo. La puntuación CVSS es de 9.3 sobre 10.

¿Existen indicadores de compromiso (IOC) publicados?

No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse indicadores que no hayan sido publicados oficialmente.

¿Qué debo hacer si creo que mi instalación ha sido comprometida?

Debes revisar los registros de autenticación en busca de eventos sospechosos, auditar las cuentas de usuario y sus métodos de autenticación, y aplicar la actualización a la versión 4.1.9 o posterior lo antes posible. También es recomendable contactar con el fabricante a través de los canales oficiales.