CRITICALCVE-2026-44194CVSS 9.1

CVE-2026-44194: RCE in OPNsense Core

Plataforma

linux

Componente

opnsense

Corregido en

26.1.8

La vulnerabilidad CVE-2026-44194 es una ejecución remota de código (RCE) presente en OPNsense Core, un firewall y plataforma de enrutamiento basado en FreeBSD. Esta falla permite a un usuario con privilegios de gestión de usuarios ejecutar comandos arbitrarios en el sistema operativo subyacente como root, comprometiendo la integridad y confidencialidad del sistema. La vulnerabilidad afecta a las versiones 26.1.0 hasta la 26.1.7 y ha sido solucionada en la versión 26.1.8.

Impacto y Escenarios de Ataque

Un atacante que explote esta vulnerabilidad puede obtener control total sobre el sistema OPNsense, permitiéndole modificar la configuración del firewall, robar datos confidenciales, instalar malware o utilizar el sistema como punto de apoyo para ataques a otros sistemas en la red. La capacidad de ejecutar comandos como root amplifica significativamente el impacto, permitiendo la manipulación de cualquier aspecto del sistema. La vulnerabilidad se aprovecha mediante la manipulación de la validación de entrada en el flujo de sincronización de usuarios, permitiendo la inyección de comandos del sistema operativo a través de direcciones de correo electrónico maliciosas. Esto es particularmente preocupante en entornos donde OPNsense se utiliza como la primera línea de defensa de una red.

Contexto de Explotación

La vulnerabilidad CVE-2026-44194 ha sido publicada recientemente (2026-05-13) y su probabilidad de explotación es considerada alta debido a la facilidad de explotación y el impacto crítico. No se han reportado campañas de explotación activas en este momento, pero la disponibilidad de la información técnica podría llevar a su explotación en el futuro. Se recomienda monitorear activamente los sistemas OPNsense para detectar cualquier actividad sospechosa.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta
Informes4 informes de amenaza

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H9.1CRITICALAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredHighNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeChangedImpacto más allá del componente afectadoConfidentialityHighRiesgo de exposición de datos sensiblesIntegrityHighRiesgo de modificación no autorizada de datosAvailabilityHighRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Alto — se requiere cuenta de administrador o privilegiada.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Cambiado — el ataque puede pivotar a otros sistemas más allá del componente vulnerable.
Confidentiality
Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
Integrity
Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
Availability
Alto — caída completa o agotamiento de recursos. Denegación de servicio total.

Software Afectado

Componenteopnsense
Proveedoropnsense
Versión mínima26.1.0
Versión máxima< 26.1.8
Corregido en26.1.8

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workarounds

La mitigación principal para CVE-2026-44194 es actualizar OPNsense Core a la versión 26.1.8 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una reversión a una versión anterior conocida como estable antes de aplicar la actualización. Como medida temporal, se puede implementar un firewall de aplicaciones web (WAF) o un proxy inverso para filtrar el tráfico malicioso y bloquear intentos de explotación. Además, revise y endurezca las políticas de gestión de usuarios para limitar los privilegios de los usuarios y reducir la superficie de ataque. Después de la actualización, confirme la corrección ejecutando una auditoría de seguridad y verificando que el flujo de sincronización de usuarios esté funcionando correctamente.

Cómo corregirlotraduciendo…

Actualice OPNsense a la versión 26.1.8 o posterior para mitigar la vulnerabilidad de ejecución remota de código. Esta actualización corrige la validación de entrada en el flujo de sincronización de usuarios locales, evitando la ejecución de comandos arbitrarios del sistema.

Preguntas frecuentes

What is CVE-2026-44194 — RCE in OPNsense Core?

CVE-2026-44194 es una vulnerabilidad de Ejecución Remota de Código (RCE) en OPNsense Core que permite a un atacante con privilegios de usuario ejecutar comandos arbitrarios como root.

Am I affected by CVE-2026-44194 in OPNsense Core?

Si está utilizando OPNsense Core en las versiones 26.1.0 hasta la 26.1.7, es vulnerable a esta vulnerabilidad.

How do I fix CVE-2026-44194 in OPNsense Core?

Actualice OPNsense Core a la versión 26.1.8 o superior para solucionar esta vulnerabilidad.

Is CVE-2026-44194 being actively exploited?

Aunque no se han reportado campañas de explotación activas, la vulnerabilidad es crítica y podría ser explotada en el futuro.

Where can I find the official OPNsense advisory for CVE-2026-44194?

Consulte el sitio web oficial de OPNsense para obtener la información más reciente sobre esta vulnerabilidad: [https://opnsense.org/](https://opnsense.org/)

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Pruébalo ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...