Una explicación de un fallo en Webtop Media Transcoder, la función que, según el aviso, convierte documentos para el correo web en la plataforma de Openwave Messaging, donde no se aplican las restricciones de tipos de archivo. La puntuación es baja pero se han observado ataques, así que esta breve nota es para los operadores de plataformas de mensajería que usan Openwave Messaging: cómo comprobarlo y qué hacer.
- CVE
- CVE-2026-111793 (aviso del proveedor CAN-2026-2032674, JVNVU#93403064)
- Gravedad
- Proveedor y CVE: CVSS v3.1 4.3 (medio). JVN: calificado de crítico
- Tipo
- Transferencia incorrecta de recursos entre esferas (CWE-669). Las restricciones de tipos de archivo definidas por el administrador no se aplican
- Afectado
- Webtop Media Transcoder anterior a 1.1.22.0 (el registro CVE indica Linux)
- Corrección
- 1.1.22.0. El proveedor pide a los clientes que actualicen a la última versión compatible de Media Server 2.0
- Impacto descrito
- Proveedor y CVE: se pueden convertir tipos de documento no previstos (impacto bajo en la disponibilidad). JVN: puede obtenerse información sensible
- Fechas
- Difieren según la fuente (véase la tabla más abajo)
- Explotación
- JVN: el desarrollador afirma que se observaron ataques. Añadido a CISA KEV el 10 de noviembre (plazo: 24 de noviembre)
Qué es la vulnerabilidad
El aviso del proveedor y el registro CVE dicen que Webtop Media Transcoder no aplica las restricciones de tipos de archivo que ha fijado un administrador. Un usuario autenticado que eluda la interfaz de Webmail podría procesar y convertir tipos de documento no previstos. El aviso no da el método y este sitio tampoco.
El impacto se expresa de forma distinta según la fuente, y este sitio no se decanta por ninguna.
| Fuente | Qué dice |
|---|---|
| Aviso del proveedor y registro CVE | Se pueden convertir tipos de documento no previstos. El aviso da un CVSS v3.1 de 4.3; el vector figura en el registro CVE (sin impacto en la confidencialidad ni en la integridad, bajo en la disponibilidad) |
| JVN | Un atacante que pueda iniciar sesión y suba un archivo manipulado podría obtener información sensible. Calificado de crítico. El desarrollador afirma que se observaron ataques |
| CISA KEV | Un usuario autenticado puede procesar y convertir tipos de documento no previstos (mismo texto que el proveedor) |
Las fechas difieren
| Fuente | Fecha |
|---|---|
| Aviso del proveedor | Fecha de divulgación: 7 de octubre de 2026. Indica que la versión corregida 1.1.22.0 se publicó el 6 de diciembre de 2021 |
| Registro CVE | Publicado el 16 de octubre de 2026 |
| JVN | Publicado y actualizado por última vez el 9 de noviembre de 2026 |
| CISA KEV | Añadido el 10 de noviembre de 2026 (plazo: 24 de noviembre) |
Hay una diferencia de más de cuatro años entre la fecha del aviso (2026) y la fecha de publicación indicada de la corrección (2021). Este sitio no pudo confirmar el motivo a partir de la información pública y no se queda con ninguna fecha.
Quién está afectado
| Elemento | Detalle |
|---|---|
| Producto | Openwave Messaging Webtop Media Transcoder |
| Versiones afectadas | Anteriores a 1.1.22.0 |
| Corrección | 1.1.22.0. El proveedor pide a los clientes que actualicen a la última versión compatible de Media Server 2.0 |
| Solución provisional | Ninguna indicada en el aviso |
| Procedimiento y descarga | JVN remite a los lectores al desarrollador |
Cómo comprobar si está afectado
Compruebe la versión de Webtop Media Transcoder
Compruebe la versión en ejecución en los registros de configuración de su plataforma o a través del contacto de soporte del proveedor. Anterior a 1.1.22.0 significa afectado. Si producción, preproducción y los sistemas de reserva son distintos, compruebe cada uno (lista de comprobación del inventario de activos).
Haga una lista de las vías que llegan a la función de conversión
Compruebe si se puede llegar a la función de conversión directamente, no solo a través de la interfaz de Webmail, por ejemplo desde redes internas o de abonados o mediante una API.
Qué hacer hoy
Confirme la versión y pida la corrección al proveedor
Si está afectado, actualice a 1.1.22.0 o posterior (la última versión compatible de Media Server 2.0) como indica el proveedor. Pregúntele cómo obtenerla y qué precauciones tomar en la actualización. El plazo de KEV es el 24 de noviembre.
Mientras tanto, reduzca lo que puede llegar a ella
El aviso no enumera ninguna solución provisional. Como añadido propio de este sitio, limite los orígenes que pueden llegar a la función de conversión a lo que necesita la plataforma de Webmail. Esto no sustituye a la actualización.
Busque conversiones o subidas inesperadas
En los registros de conversión, busque tipos de documento que el administrador no ha permitido, llamadas que no pasan por la interfaz de Webmail y volúmenes inusualmente altos. JVN menciona la obtención de información, así que no se quede en actualizar; anote el alcance y el periodo que revisó. El proceso se describe en La guía de corrección de vulnerabilidades.
Estado de la explotación
- JVN dice que el desarrollador afirma que se han observado ataques que explotan esta vulnerabilidad. El aviso del proveedor no menciona la explotación.
- CISA lo añadió a KEV el 10 de noviembre de 2026 con un plazo del 24 de noviembre (versión de KEV 2026.11.10). El uso en ransomware figura como Desconocido y el triaje forense como No.
- El registro CVE incluye la valoración de CISA (explotación activa, no automatizable, impacto técnico parcial).
- No se pudo confirmar información pública sobre la escala, los métodos ni los daños.
Fuentes
- Openwave Messaging (Ireland) Ltd — Public Security Advisory CAN-2026-2032674 (versiones afectadas, versión corregida, CVSS 4.3, fecha de divulgación)
- JVN — JVNVU#93403064 (publicado el 9 de noviembre de 2026; declaración de que se observaron ataques)
- CVE.org — CVE-2026-111793 (publicado el 16 de octubre de 2026; incluye la inclusión por CISA)
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadido el 10 de noviembre, plazo el 24 de noviembre)
Última verificación: 11 de noviembre de 2026.
Lee a continuación
- Práctica: La guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Decidir: Priorizar con CVSS, EPSS y KEV
- Términos: ¿Qué es CVSS?