Qué es y cómo funciona
Se ha identificado una vulnerabilidad crítica de ejecución remota de código (RCE) en el módulo de informes de varios productos de ManageEngine de Zoho. La falla, clasificada como CWE-89 (Inyección SQL), permite a un usuario autenticado que posea el permiso "Crear informes de consulta" explotar consultas de base de datos especialmente manipuladas para ejecutar comandos arbitrarios en el servidor subyacente.
Productos y versiones afectadas
Los productos afectados y las versiones vulnerables son las siguientes:
ManageEngine AssetExplorer: versiones anteriores a la 7860.ManageEngine ServiceDesk Plus: versiones anteriores a la 15290.ManageEngine ServiceDesk Plus MSP: versiones anteriores a la 15150.ManageEngine SupportCenter Plus: versiones anteriores a la 15150.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 9.1, lo que la clasifica como crítica. El INCIBE-CERT de España la clasifica con severidad P (Prioritaria). Según el modelo EPSS, existe un 9.4% de probabilidad de que sea explotada activamente en los próximos 30 días. Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que reduce el volumen inmediato de objetivos.
Qué hacer
Se recomienda a los administradores de sistemas que utilicen estos productos actualizar inmediatamente a las versiones corregidas o superiores indicadas en la lista de productos afectados.
| CVE | CVE-2026-12507 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| EPSS | 9.4% en 30 días (percentil 95) |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.