El CVE-2026-72649 es una falla de deserialización de datos no confiables (CWE-502) en el componente de machine learning de Elasticsearch. Un atacante con cuenta autenticada y privilegios suficientes para crear y desplegar modelos entrenados podría subir un artefacto manipulado que ejecute lógica bajo su control, con una superficie de llamadas al sistema más amplia de lo previsto, derivando en ejecución remota de código (CAPEC-586). El puntaje CVSS es 8.8, lo que la sitúa como una vulnerabilidad de severidad alta.
El CSIRT Nacional de Chile emitió una alerta de vulnerabilidad crítica asociada a este CVE, enmarcada en el Patch Tuesday de Microsoft de septiembre de 2026, señalándolo como relevante para infraestructura chilena. La explotación requiere autenticación previa, pero el impacto potencial sobre clústeres Elasticsearch expuestos justifica priorizar la revisión de privilegios y la aplicación de parches disponibles.
| CVE | CVE-2026-72649 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.8 / 10 |
| EPSS | 0.6% en 30 días (percentil 48) |
| CWE | CWE-502 |
| Exposición (Shodan) | 2.713 host(s) expuesto(s) en internet ahora mismo |
Productos afectados (catálogo NVD)
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.