La compañía de software seguro para compartir archivos Kiteworks ha publicado actualizaciones de seguridad para resolver 126 vulnerabilidades, entre las que se incluye una falla de máxima severidad que afecta a su solución de seguridad Email Protection Gateway (EPG).
EPG es un componente de la Kiteworks Private Content Network (PCN), que integra correo electrónico empresarial, transferencia gestionada de archivos (MFT), uso compartido de archivos, API y formularios web en una única plataforma.
Anteriormente conocida como Accellion, Kiteworks presta servicios a miles de corporaciones y agencias gubernamentales en todo el mundo, y su Private Content Network cuenta con más de 100 millones de usuarios finales.
Dentro del mismo conjunto de parches de seguridad, Kiteworks también ha corregido 11 vulnerabilidades críticas de omisión de autenticación, toma de control de cuentas de administrador, cross-site scripting (XSS) almacenado, control de acceso inadecuado y autenticación incorrecta en los componentes Core y EPG.
Identificada como CVE-2026-54154, la vulnerabilidad de máxima severidad fue reportada a través del programa de bug bounty de Kiteworks en YesWeHack.
Su explotación exitosa puede permitir a actores de amenazas remotos sin privilegios obtener ejecución de código y tomar el control del dispositivo EPG objetivo mediante una cadena de path traversal, inyección de código y falta de autenticación en ataques de baja complejidad que no requieren interacción del usuario.
La falla afecta a todas las versiones de Kiteworks Email Protection Gateway anteriores a la 9.4.1 y ya está parcheada en las versiones 9.4.1 o posteriores.
Una combinación de fallos en el manejo de entradas en puntos finales de acceso público del Kiteworks Email Protection Gateway podría haber permitido a un atacante remoto no autenticado lograr ejecución de código arbitrario y, encadenando debilidades locales adicionales, escalar hasta el control administrativo total (root) del dispositivo.
La semana pasada, Kiteworks instó a los clientes a apagar sus servidores tras recibir inteligencia sobre amenazas que advertía de un posible ciberataque de día cero inminente.
La compañía levantó el aviso preventivo el lunes después de parchear una vulnerabilidad crítica y volvió a poner en línea todos los sistemas alojados de los clientes, y afirmó que no encontró evidencia de compromiso o actividad sospechosa. Sin embargo, Kiteworks aún no ha compartido detalles adicionales sobre la vulnerabilidad corregida ni ha asignado un identificador CVE para facilitar su seguimiento.
El vigilante de amenazas Shadowserver rastrea actualmente casi 400 instancias de Kiteworks expuestas en Internet, pero no proporciona información sobre cuántas ya han sido parcheadas o son honeypots.
Deja una respuesta