Openwave Webtop Media Transcoder: fallo CVE-2026-111793 ya explotado

Openwave Webtop Media Transcoder: fallo CVE-2026-111793 ya explotado

Qué es y a quién afectaEl CVE-2026-111793 afecta a Openwave Messaging Limited Webtop Media Transcoder, el componente que convierte documentos y adjunt...

Qué es y a quién afecta

El CVE-2026-111793 afecta a Openwave Messaging Limited Webtop Media Transcoder, el componente que convierte documentos y adjuntos dentro del entorno de webmail de Webtop. Según la NVD del NIST, el producto no aplica las restricciones de tipo de archivo definidas por el administrador, de modo que un usuario autenticado podría procesar y convertir tipos de documento no previstos si se salta la experiencia habitual del webmail. El fallo se clasifica como CWE-669, transferencia incorrecta de recursos entre esferas.

Bandeja de clasificación de documentos por la que se cuela un archivo de tipo no permitido hacia el procesador equivocado

La versión afectada es openwave webtop_media_transcoder hasta 1.1.22.0 (sin incluir). La vulnerabilidad se publicó en la NVD el 16 de octubre de 2026 y su gravedad es CVSS 3.1 de 4.3 (MEDIUM), con vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L. Conviene fijarse en un detalle del vector: el atacante necesita credenciales válidas (PR:L), así que el escenario realista es una cuenta de correo comprometida o un usuario interno con pocos privilegios que aprovecha el conversor para colar documentos que la política de la empresa debería haber bloqueado.

Esto afecta sobre todo a organizaciones que despliegan Webtop con transcodificación de adjuntos activa, ya sea en servidores propios o en infraestructura gestionada por un proveedor. En pymes y comercios online españoles el webmail corporativo suele quedar fuera del radar del equipo de IT, que concentra sus esfuerzos en la tienda o en la web pública.

Por qué es urgente: ya se explota en ataques reales

El dato que cambia la prioridad es que CISA añadió CVE-2026-111793 a su catálogo KEV el 10 de noviembre de 2026, lo que significa que hay constancia de explotación activa en ataques reales. Una gravedad media deja de ser una curiosidad teórica cuando el fallo está en el catálogo de vulnerabilidades explotadas.

CISA exige a las agencias federales de EE. UU. aplicar las mitigaciones según las instrucciones del fabricante, conforme a su directriz BOD 26-04 sobre priorización de actualizaciones de seguridad y a los requisitos de triaje forense, y les da de plazo hasta el 24 de noviembre de 2026. Para los servicios en la nube, la directriz contempla seguir las indicaciones aplicables o dejar de usar el producto si no hay mitigación disponible. Además, cada organización debe evaluar la exposición a internet de cada activo antes de decidir el orden de actuación. En el material consultado no consta uso en campañas de ransomware, lo que no rebaja la urgencia: la ventana entre la explotación conocida y el parche es donde se producen la mayoría de incidentes.

Qué hacer hoy

  • Localiza el producto y su versión. Comprueba si tu organización usa Webtop Media Transcoder y si la versión instalada es anterior a 1.1.22.0. Si el webmail lo gestiona un proveedor externo, pídele confirmación por escrito de la versión y del estado del parche.
  • Aplica la actualización o mitigación del aviso del fabricante. El material no detalla la versión corregida ni pasos técnicos concretos, así que guíate por el aviso oficial de Openwave y por las referencias de terceros publicadas (el aviso CAN-2026-2032674 y la alerta JVNVU93403064). No improvises configuraciones que no estén respaldadas por el fabricante.
  • Revisa indicios de intrusión. Al requerir autenticación, el fallo invita a mirar cuentas comprometidas: inicios de sesión desde ubicaciones o horarios atípicos, envíos masivos de adjuntos, conversiones de documentos inusuales en los registros del transcodificador y reglas de reenvío creadas sin autorización.
  • Reduce lo expuesto a internet. Restringe el acceso al webmail a redes corporativas o VPN cuando sea posible, activa doble factor en todas las cuentas y limita los tipos de archivo permitidos como capa adicional mientras llega la corrección.
  • Revisa la política de conversión. Comprueba que las restricciones de tipos de archivo están bien definidas y que no hay cuentas con permisos de administración repartidos sin control.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona y Girona que tienen webs en WordPress, PrestaShop o Joomla, servidores propios y un equipo de IT pequeño que no puede estar pendiente de cada aviso. Nuestro enfoque es detectar y cerrar vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting para saber qué hay realmente expuesto, hardening de servidores para recortar la superficie de ataque y monitorización con respuesta a incidentes para reaccionar rápido si algo se mueve.

También nos ocupamos del mantenimiento y la actualización de WordPress, PrestaShop y Joomla, y de la reparación de webs hackeadas cuando el incidente ya ha ocurrido. En un caso como este, el trabajo empieza por el inventario: saber qué versiones de Webtop y de otros componentes corren en tu infraestructura, contrastarlas con el catálogo KEV de CISA y la NVD, y establecer un orden de parcheo acorde al riesgo real y a la exposición de cada activo. Si prefieres centrarte en tu negocio, ese seguimiento lo hacemos nosotros.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.