El INCIBE-CERT ha publicado un aviso por dos vulnerabilidades de severidad alta en OpenKM Community Edition, el gestor documental de código abierto.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, ha coordinado la publicación de dos vulnerabilidades de severidad alta en OpenKM Community Edition, el sistema de gestión documental de Open Knowledge Management System S.L.
- ¿Dónde y cuándo? El aviso, con identificador INCIBE-2026-895, se publicó el viernes 13 de noviembre a las 09:42 horas.
- ¿Qué resultado? Afectadas las versiones 6.3.3 a 6.3.13 y la 7.0.3; hay parche disponible para la rama 7.x en la versión 7.0.4 y corrección pendiente para la 6.3.x, que llegará en la 6.3.14.
Dos vulnerabilidades de severidad alta en el gestor documental
El aviso, con identificador INCIBE-2026-895, se publicó el viernes 13 de noviembre tras el proceso de coordinación entre el organismo y el fabricante. Los fallos han sido descubiertos por el investigador Carlos Alejandro Smith Tay, conocido como Las3rs, y afectan a las versiones 6.3.3 a 6.3.13 y a la 7.0.3.
La primera de ellas, CVE-2026-112181, obtiene una puntuación base de 8,3 sobre 10 en CVSS v4.0 y responde al tipo CWE-611: restricción inadecuada de referencias a entidades XML externas. El procesamiento XML de los componentes FormUtils y LocalEntityResolver no limita bien la resolución de recursos externos, de modo que un atacante remoto autenticado con el rol ROLE_USER puede lanzar una petición REST y forzar el comportamiento del servidor. En la rama 6.3.x el fallo permite provocar peticiones HTTP controladas por el atacante, un SSRF; en la 7.0.3 permite leer archivos locales y alcanzar recursos HTTP internos desde el propio servidor.
La segunda, CVE-2026-112182, es más grave: 8,7 sobre 10 y tipo CWE-862, ausencia de autorización. Los endpoints REST registerProcessDefinition y runProcessDefinition exigen autenticación, pero no comprueban los roles en WorkflowService ni en las capas inferiores. Un usuario con ROLE_USER puede registrar y ejecutar una definición de proceso con scripts BeanShell, lo que abre la puerta a ejecutar código Java y comandos del sistema operativo con los privilegios del servicio. En la imagen Docker oficial ese proceso se ejecuta como root. La rama 7.x no está afectada por este segundo fallo porque no incluye el motor jBPM.
El fabricante sitúa ambas vulnerabilidades con explotación conocida en «No», lo que rebaja la urgencia inmediata pero no la gravedad del fallo. La explotación exige credenciales válidas y un rol de bajo privilegio, un requisito que en instalaciones corporativas con cientos de cuentas abre un abanico amplio de posibles atacantes.
El aviso INCIBE-2026-895 fija en 8,7 la puntuación CVSS más alta de las dos vulnerabilidades, un nivel que obliga a actualizar de inmediato los entornos corporativos expuestos.
Cómo corregir OpenKM: actualización a 7.0.4 y mitigaciones temporales
La corrección está disponible para la rama 7.x: OpenKM CE 7.0.4, ya publicada, corrige el resolver de entidades, deshabilita las entidades externas generales y de parámetros y activa FEATURE_SECURE_PROCESSING. Para las versiones 6.3.3 a 6.3.13, el fabricante remite a la versión 6.3.14, todavía pendiente de publicación, que además elimina las peticiones HTTP para DTD no locales.
El parche también endurece la gestión de workflows: el registro y el borrado de definiciones de proceso exigirán el rol de administrador en la capa de negocio, una restricción que cubre las interfaces REST, SOAP y de administración. El aviso recomienda actualizar a la 6.3.14 en cuanto esté disponible.
Como mitigación temporal, y mientras esa versión no llegue, el fabricante propone bloquear en el proxy inverso o en el firewall el acceso de los usuarios no administradores a las rutas /OpenKM/services/rest/workflow/* y /OpenKM/services/OKMWorkflow. Si la organización no utiliza los servicios web, la recomendación es bloquear /OpenKM/services/* completo.
La vía preferente que señala el fabricante es migrar a OpenKM CE 7.0.4, aunque con una advertencia relevante para quien venga de la rama 6.3.x: la versión 7 no incluye el motor de workflow jBPM, por lo que los procesos definidos sobre ese motor dejan de estar disponibles y deben replanificarse antes de la migración.
El panorama de la ciberseguridad
Los avisos de alerta temprana son una de las líneas de trabajo más consultadas del INCIBE-CERT. El organismo público, referencia para empresas y ciudadanos, gestiona cada año más de 100.000 incidentes de ciberseguridad, según sus propios balances anuales. A esa capacidad de respuesta se suma la del CCN-CERT, el equipo del Centro Criptológico Nacional dependiente del CNI que protege las infraestructuras críticas y las administraciones públicas. La coordinación de la divulgación con el fabricante antes de hacer público el fallo es, precisamente, lo que permite que el parche exista cuando el aviso se publica.
Las dos familias de fallo detectadas —referencias XML externas mal restringidas y ausencia de control de autorización en endpoints— están entre los patrones más repetidos en el software empresarial. Los gestores documentales concentran información sensible: contratos, expedientes, datos personales y documentación de recursos humanos. Por eso el interés del cibercrimen por este tipo de aplicaciones no ha dejado de crecer: son puertas de entrada silenciosas, que operan con credenciales legítimas y generan un tráfico que rara vez levanta sospechas en un firewall convencional.
No consta explotación activa de ninguna de las dos vulnerabilidades OpenKM. El aviso INCIBE-2026-895 permanecerá abierto hasta que el fabricante publique la 6.3.14, y hasta entonces la mitigación en proxy o firewall es la única barrera para los despliegues de la rama 6.3.x. La recomendación para los responsables de sistemas es inmediata: inventariar las instalaciones de OpenKM, revisar en los registros si hay peticiones a /OpenKM/services/rest/workflow/ y planificar la migración a 7.0.4 asumiendo la pérdida del motor jBPM. El aviso completo, con los vectores CVSS y las referencias técnicas, está disponible en la web de INCIBE.
