CVE-2026-26978
¿Qué es CVE-2026-26978?
FreePBX es una PBX IP de código abierto. En las versiones inferiores a 16.0.71 y 17.0.6, el módulo de copia de seguridad no desinfecta adecuadamente los datos durante las operaciones de restauración, lo que podría poner en peligro si la copia de seguridad contiene datos hostiles cuidadosamente elaborados. Durante las operaciones de restauración de copias de seguridad, FreePBX extrae los archivos seleccionados de un archivo tar proporcionado por el usuario. Si existe un archivo malicioso en el archivo comprimido, se lee y se pasa directamente a unserialize() sin validación, restricciones de clase ni comprobaciones de integridad. Este problema permite la ejecución remota de código durante la restauración de la copia de seguridad como usuario del servidor web (normalmente ast).
Preguntas frecuentes
CVE-2026-26978 tiene una puntuación CVSS de N/D/10, clasificada como Desconocido. Revise la lista de productos afectados y aplique los parches del fabricante.
El CVSS (Common Vulnerability Scoring System) califica la gravedad de las vulnerabilidades de 0,0 a 10,0. CVE-2026-26978 obtiene N/D/10 (Desconocido). Las puntuaciones de 9,0–10,0 son Críticas, 7,0–8,9 Altas, 4,0–6,9 Medias y por debajo de 4,0 Bajas.
La lista de dispositivos confirmados como afectados por CVE-2026-26978 se muestra en la sección "Dispositivos afectados" arriba. Compare su versión de firmware con el aviso de seguridad del proveedor y aplique el último parche.
Aplique la última actualización de firmware o software del proveedor. Consulte la sección de Referencias arriba para ver avisos oficiales y notas de parches. Si no hay parche disponible, considere deshabilitar la función afectada o aislar el dispositivo de redes no confiables.