El INCIBE-CERT ha publicado un aviso de severidad crítica por una inyección SQL en Profleet 12.004.01, el software de repostage de flotas de TSG.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? INCIBE-CERT ha coordinado la publicación de una vulnerabilidad crítica en Profleet, la solución de abastecimiento de combustible de flotas comerciales e industriales de TSG.
- ¿Dónde y cuándo? El aviso, con identificador INCIBE-2026-754, se publicó el viernes 16 de octubre de 2026 y afecta exclusivamente a la versión 12.004.01 del producto.
- ¿Qué resultado? Un fallo de inyección SQL con puntuación CVSS v4.0 de 9,3 sobre 10, sin parche disponible por parte del fabricante en el momento de la notificación.
Una petición GET capaz de leer, escribir y borrar la base de datos
El fallo quedó registrado como CVE-2026-111472 y con el identificador interno INCIBE-2026-754. La puntuación base asignada es de 9,3 sobre 10 en la escala CVSS v4.0, dentro del rango crítico. La clasificación corresponde a CWE-89, la categoría estándar para las inyecciones SQL, un tipo de fallo en el que el atacante introduce instrucciones propias en las consultas que la aplicación envía a su base de datos.
El vector descrito en el aviso no deja margen a la interpretación: ataque en red, complejidad baja, sin privilegios requeridos y sin interacción de la víctima. El impacto sobre confidencialidad, integridad y disponibilidad se sitúa en el nivel alto, mientras que el aviso no contempla efectos posteriores sobre otros sistemas conectados. Traducido: quien tenga acceso al endpoint vulnerable no necesita cuenta, contraseña ni engañar a un empleado.
La explotación, tal y como la detalla el comunicado técnico, pasa por una petición GET dirigida al parámetro denominado ‘Identificación’ del endpoint ‘/cgi-bin/index.php’. Con ese único vector, un atacante podría recuperar, crear, actualizar y borrar la base de datos del producto. El aviso se publicó el viernes 16 de octubre y atribuye el descubrimiento al investigador Rubén Barrios. La etiqueta 0day acompaña al registro, lo que confirma que el fallo llegó sin correctivo.
Sin parche del fabricante: la ventana de exposición de las flotas
En el apartado de solución, el aviso es explícito: no hay solución reportada por el momento. TSG no ha publicado todavía una actualización que cierre la inyección, de modo que cualquier instalación de Profleet 12.004.01 expuesta a internet mantiene abierta la vía de ataque descrita. El documento no recoge evidencia de explotación activa, pero tampoco un calendario de parcheo confirmado por el fabricante.
Una puntuación de 9,3 sobre 10 sitúa el fallo en el umbral crítico de CVSS v4.0, reservado a vulnerabilidades explotables en remoto y sin credenciales.
Mientras llega la corrección, las medidas de contención pasan por filtrar en el WAF (el cortafuegos de aplicaciones web que inspecciona el tráfico HTTP antes de que llegue al servidor) las peticiones sospechosas al endpoint afectado, restringir la exposición pública del servicio y revisar los registros de acceso. A esas tres medidas se añaden dos controles internos: verificar la integridad de la base de datos y operar la cuenta de conexión con privilegios mínimos, para que una inyección no pueda escalar a borrado masivo.
El producto afectado no es un software de oficina. Profleet gestiona el abastecimiento de combustible de flotas comerciales e industriales: autorizaciones de repostaje, litros servidos, tarjetas de flota y facturación asociada. Un borrado o una escritura no autorizada en esa base de datos no es un incidente estético; interrumpe la operativa de suministro de una flota entera y contamina la trazabilidad contable del combustible.
El panorama de la ciberseguridad
La explotación de vulnerabilidades sigue siendo una de las vías de entrada más rentables para el cibercrimen, y la inyección SQL es una de las categorías históricas del catálogo CWE precisamente por su relación entre esfuerzo y resultado: una sola petición mal construida abre el acceso directo al dato. El vector del CVE-2026-111472 confirma ese patrón, con privilegios no requeridos y complejidad baja, dos condiciones que convierten el fallo en herramienta reutilizable en cuanto se publica la traza técnica.
El aviso se ha canalizado a través del INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad, que actúa como Autoridad de Certificación de CVE en España y coordina la divulgación responsable entre el investigador que descubre el fallo y el fabricante que debe corregirlo. El umbral de severidad crítica de CVSS v4.0 arranca en 9,0, y el fallo de TSG lo supera en tres décimas: no es un aviso más en la lista de alertas tempranas. Para los entornos de infraestructura crítica, el CCN-CERT mantiene su propio canal de seguimiento sobre productos que alimentan servicios esenciales.
La coordinación se completa con la publicación del identificador CVE, que permite a los equipos de seguridad de los clientes localizar el producto en sus inventarios y aplicar las medidas de contención sin esperar al parche. El aviso se actualizará cuando el fabricante publique la corrección y, hasta entonces, la recomendación oficial se mantiene: aplicar mitigación perimetral, aislar el servidor y vigilar la base de datos. La detección temprana de INCIBE-CERT vuelve a marcar el calendario de reacción del sector antes de que el fallo salga del circuito controlado.
