¿Qué es y cómo funciona la falla?
La vulnerabilidad CVE-2026-126380 (CVSS 9.1) es una omisión de lista de bloqueo (CWE-434) en el sistema de gestión de contenido Vvveb. El archivo system/traits/media.php configura incorrectamente la extensión '.phar' con un punto inicial, lo que permite a administradores autenticados eludir las restricciones y subir archivos PHP con extensión .phar. Los atacantes pueden aprovechar esto para cargar un webshell poliglota (que combina un GIF con código PHP) que evade la inspección binaria y ejecuta comandos arbitrarios del sistema operativo con los privilegios del usuario del servidor web.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del CMS Vvveb anteriores a la 1.0.9.0.
Impacto y probabilidad de explotación
El impacto es crítico, ya que puede conducir a la ejecución remota de comandos (RCE) en el servidor. Según los datos disponibles, el EPSS indica una probabilidad del 0.6% de explotación en los próximos 30 días (percentil 51%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos inmediatamente visibles.
¿Qué hacer?
Los administradores de sistemas que utilicen Vvveb deben actualizar inmediatamente a la versión 1.0.9.0 o superior para aplicar el parche correspondiente.
| CVE | CVE-2026-126380 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| EPSS | 0.6% en 30 días (percentil 51) |
| CWE | CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.