El INCIBE-CERT ha alertado de una vulnerabilidad crítica en Wazuh Manager que permite ejecutar comandos con privilegios de root.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado un aviso de severidad crítica por una vulnerabilidad de validación de comandos en Wazuh Manager.
- ¿Dónde y cuándo? El aviso se publicó el viernes 16 de octubre a las 09:37 horas y afecta a despliegues sobre Linux.
- ¿Qué resultado? Un usuario autenticado con permiso manager:update_config puede ejecutar comandos como root; la corrección está en la versión 4.14.8.
El aviso, catalogado con la máxima severidad, 5 sobre 5, no registra por el momento evidencias de explotación activa. La falla afecta al gestor central de Wazuh, la plataforma de código abierto que administraciones públicas y empresas utilizan para detectar intrusiones y vigilar la integridad de sus sistemas.
El fallo queda registrado como CVE-2026-74041 y con el identificador interno INCIBE-2026-753. Su origen es una gestión incorrecta de mayúsculas y minúsculas: el validador de comandos del archivo ossec.conf y el componente wazuh-logcollector no interpretan igual el texto, y esa discrepancia abre una vía de escape a la validación remota.
La explotación exige un usuario ya autenticado con el permiso manager:update_config. Ese perfil puede introducir una directiva LOG_FORMAT escrita en mayúsculas, lo que elude la validación de comandos remotos, y deja preparado un comando que se ejecutará con privilegios de root en cuanto se recargue el servicio. El vector pide credenciales previas y una configuración concreta, pero el salto de privilegios final es total.
Los recursos afectados son las versiones de Wazuh Manager desde la 4.14.3, inclusive, hasta la 4.14.8, excluida. La solución indicada por el INCIBE-CERT (el equipo de respuesta a incidentes del INCIBE, el instituto público que gestiona la ciberseguridad de empresas y ciudadanos en España) pasa por actualizar a la 4.14.8 o a cualquier versión posterior, tal y como recoge el aviso oficial.
Una escalada a root en el gestor central compromete la totalidad del servidor y, con él, la telemetría de seguridad de toda la red vigilada.
Cómo se encadena el salto a root
El fallo pertenece a una familia especialmente sensible: los errores de validación de entrada en herramientas de administración. El atacante no necesita un exploit complejo ni acceso físico; le basta con escribir en mayúsculas una directiva que el sistema espera en minúsculas para que el filtro y el colector de registros interpreten cosas distintas. La discrepancia entre dos componentes del mismo producto es lo que convierte una errata de formato en una puerta trasera.
La vulnerabilidad fue notificada por namd0ng y vikman90, según el propio aviso. El fabricante ya ha publicado la corrección y el INCIBE-CERT ha trasladado la recomendación de actualización a los administradores de sistemas afectados, con etiquetas que la clasifican como código arbitrario sobre Linux.
Versiones afectadas y actualización a la 4.14.8
Quedan expuestas todas las instalaciones de Wazuh Manager desde la 4.14.3 hasta la 4.14.7. Las versiones anteriores a la 4.14.3 no figuran en el aviso y la 4.14.8 corrige el comportamiento. Conviene comprobar la versión en el propio panel del gestor antes de dar por buena la protección.
La actualización exige reiniciar el servicio, un paso que en muchos despliegues se planifica fuera del horario de producción. Mientras el parche no esté aplicado, la recomendación operativa es revisar qué cuentas conservan el permiso manager:update_config, auditar las directivas LOG_FORMAT escritas en mayúsculas y vigilar los registros del colector en busca de recargas anómalas.
El panorama de la ciberseguridad
Las herramientas de gestión y monitorización se han convertido en objetivo prioritario del cibercrimen porque concentran privilegios y visión sobre toda la red. Un fallo en Wazuh Manager no compromete un equipo aislado: entrega la raíz del servidor que recibe la telemetría de seguridad de la organización, es decir, la llave del sistema que debía vigilar a los demás.
El INCIBE-CERT mantiene un catálogo público de avisos de alerta temprana a través del cual traslada a empresas y administraciones el detalle técnico de cada vulnerabilidad, su severidad y la versión que la resuelve, en coordinación con el CCN-CERT (el equipo de respuesta ante incidentes del Centro Criptológico Nacional, dependiente del CNI, que protege las infraestructuras críticas y las administraciones públicas). Esa anticipación, el dato que separa un parche rutinario de un incidente grave, es la que permite a los equipos de seguridad actuar antes de que exista explotación, tal y como se detalla en el portal del instituto.
El aviso no registra explotación conocida, pero la ausencia de ataques confirmados no equivale a riesgo bajo: la ventana entre la publicación de un CVE y la aparición de código de explotación se mide en muchos casos en días. La previsión es que el INCIBE-CERT actualice el aviso si aparecen nuevas evidencias y que la actualización a la 4.14.8 se convierta en la referencia obligatoria para los responsables de sistemas que aún operan en ramas anteriores.
Cuando una vulnerabilidad pasa del aviso a la intrusión, la respuesta deja de ser técnica y entra en el terreno operativo: los grupos de delitos informáticos de la Policía Nacional y de la Guardia Civil asumen la investigación del acceso ilícito y del daño causado. La vía preventiva sigue siendo la misma y no admite atajos: parchear, restringir permisos y conservar los registros.
