Un boletín sobre una vulnerabilidad en explotación activa (listada en CISA KEV). Qué ocurre, el rango afectado y las soluciones, explicados de forma defensiva, sin pasos de ataque.
- CVE
- CVE-2026-45247
- Severidad
- Crítica (CVSS 9.3 / v4.0)
- Clase
- Inyección de objetos PHP (deserialización de datos no confiables, CWE-502)
- Impacto
- Ejecución remota de código sin autenticación (RCE)
- Afectado
- Mirasvit Full Page Cache Warmer for Magento 2 — antes de 1.11.12
- Solución principal
- Actualizar a 1.11.12 o posterior
Por qué el descuido es peligroso
Un RCE sin autenticación es un objetivo prioritario para el escaneo masivo automatizado (por eso está listado en KEV). «Somos demasiado pequeños para ser objetivo» no se sostiene: los escáneres barren todo internet de forma mecánica.
Qué es la vulnerabilidad (inyección de objetos PHP)
PHP tiene serialize para convertir datos en cadena y unserialize para restaurarlos. Deserializar una entrada no confiable tal cual deja que un atacante pase «un objeto que provoca efectos secundarios no deseados al restaurarse». Durante la restauración (métodos mágicos, etc.), el comportamiento no previsto se encadena y puede alcanzar la ejecución de código. Eso es la inyección de objetos PHP (CWE-502).
✗ Restaurar una entrada no confiable
entrada externa → unserialize en un objeto → cadena de restauración → ejecución de código
✓ Tratar como dato
aceptar la entrada externa solo como dato (JSON, etc.) → nunca reconstruir objetos
El componente afectado es una extensión de calentamiento de caché para Magento 2. El atacante la alcanza sin autenticación, y el CVSS la califica con 9.3, entre las más graves.
Rango afectado
| Elemento | Detalle |
|---|---|
| Extensión | Mirasvit Full Page Cache Warmer for Magento 2 |
| Versiones afectadas | antes de 1.11.12 |
| Versión corregida | 1.11.12 y posteriores |
| Condición previa | No se requiere autenticación |
| Impacto alcanzado | Ejecución remota de código (RCE) |
Soluciones
Actualiza a 1.11.12+ (máxima prioridad)
Defensa en profundidad temporal hasta parchear
Comprueba si ha habido compromiso
Inventaría las extensiones + monitorización automática de CVE
La visión de este sitio: diseña para no deserializar nunca datos no confiables
Este tipo de fallo sigue apareciendo porque es «cómodo» restaurar la entrada externa directamente. La postura de este sitio es clara: nunca crees un lugar que haga unserialize de datos no confiables. Acepta la entrada externa solo como dato (p. ej. json_decode), nunca para reconstruir objetos. Así, este tipo de fallo no puede darse por diseño.
Lee a continuación
- Glosario: Qué es el RCE · Qué es un CVE · Qué es el CVSS
- Feed: Feed de amenazas
Fuentes y alcance
Estas fuentes primarias respaldan los ajustes, el alcance o las medidas anteriores; enlaces comprobados el 23 de octubre de 2026. Revisa sus condiciones de versión y configuración. Las prioridades y lecciones son recomendaciones del sitio, no una revalidación completa ni una garantía de seguridad.