CVE-2026-126624: Vulnerabilidad de ejecución de código en instalador de hMailServer

¿Qué es esta vulnerabilidad?

Una falla de verificación de propiedad en el instalador de Windows de Progressive Robot hMailServer 6.3.7 permite a un usuario local autenticado ejecutar código como la cuenta de servicio del servidor de correo o como administrador durante la instalación o actualización.

¿Cómo funciona?

El instalador no verifica la propiedad de archivos existentes en carpetas como Bin, ControlPanel, scripts de eventos, add-ons o scripts de base de datos. Si estas carpetas fueron creadas previamente con permisos de escritura para cuentas no administrativas, archivos maliciosos (programas, librerías, scripts o configuraciones) pueden ser ejecutados con privilegios elevados durante la instalación.

Productos y versiones afectadas

hMailServer 6.3.7 (la versión que intentó corregir la vulnerabilidad previa CVE-2026-107571). La instalación por defecto en Program Files no está afectada.

Impacto

Un atacante local autenticado podría lograr ejecución de código remota (RCE) con privilegios de administrador o del servicio LocalSystem, comprometiendo completamente el servidor.

Explotación

La vulnerabilidad tiene un CVSS de 7.3 (HIGH) pero no está incluida en el catálogo KEV de CISA, indicando que no se conocen explotaciones activas públicas al momento del reporte.

¿Qué hacer?

Verificar que las instalaciones no se realicen en carpetas con permisos de escritura previos para usuarios no administrativos. Se recomienda esperar actualizaciones oficiales del vendor.

CVE	CVE-2026-126624
Severidad	HIGH
CVSS	7.3 / 10
CWE	CWE-283
Exposición (Shodan)	sin hosts expuestos detectados actualmente