Se ha descubierto una vulnerabilidad crítica en el OWASP Core Rule Set (CRS) que permite a los atacantes eludir protecciones de seguridad importantes diseñadas para prevenir ataques basados en conjuntos de caracteres. La vulnerabilidad, identificada como CVE-2026-21876, afecta a la regla 922110 y tiene una puntuación de gravedad de 9.3 (CRÍTICA). 

Se ha descubierto una vulnerabilidad crítica en el OWASP Core Rule Set (CRS) que permite a los atacantes eludir protecciones de seguridad importantes diseñadas para prevenir ataques basados en conjuntos de caracteres.

La vulnerabilidad, registrada como CVE-2026-21876, afecta a la regla 922110 y tiene una puntuación de gravedad de 9.3 (CRÍTICA).

Vulnerabilidad en OWASP CRS

La regla 922110 está diseñada para bloquear codificaciones de caracteres peligrosas, como UTF-7 y UTF-16, en solicitudes de formularios multiparte.

Estas codificaciones se explotan comúnmente para eludir filtros y lanzar ataques de cross-site scripting (XSS).

Sin embargo, la regla contiene un fallo crítico: solo valida la última parte de una solicitud multiparte, ignorando las partes anteriores.

Los atacantes pueden explotar esto colocando JavaScript malicioso codificado en UTF-7 en la primera parte de una solicitud multiparte, mientras que en la última parte colocan contenido legítimo en UTF-8.

La regla solo revisa la última parte, permitiendo que el ataque pase desapercibido. La vulnerabilidad afecta a todos los usuarios que ejecutan versiones de CRS 3.3.x (hasta la 3.3.7) y de la 4.0.0 a la 4.21.0.

Estas versiones se utilizan en instalaciones de Apache ModSecurity v2, ModSecurity v3 y Coraza en todo el mundo. Sin esta protección, los atacantes pueden enviar cargas útiles codificadas en conjuntos de caracteres directamente a las aplicaciones backend.

Los ataques XSS con UTF-7 están bien documentados y son difíciles de defender cuando eluden la capa de WAF. Esto elimina una capa crítica de defensa en los sistemas afectados.

¿Qué deben hacer los usuarios?

El equipo de OWASP CRS ha publicado parches disponibles de inmediato: los usuarios de CRS 4.x deben actualizar a la versión 4.22.0, y los usuarios de CRS 3.3.x deben actualizar a la versión 3.3.8.

Las correcciones son compatibles con versiones anteriores y no requieren cambios de configuración. Debes actualizar lo antes posible y verificar que la solución esté activa en tus sistemas.

En lugar de revisar solo la última parte multiparte, las reglas parcheadas ahora almacenan y validan todas las partes individualmente mediante un sistema basado en contadores.

Ahora se verifica el conjunto de caracteres de cada parte, asegurando que las codificaciones maliciosas no puedan pasar sin importar su posición.

Los parches se desarrollaron y publicaron el 6 de enero de 2026, con una divulgación pública coordinada. El CVE se rastrea con el ID interno 9AJ-260102.

El equipo de OWASP CRS recomienda que todos los usuarios tomen medidas inmediatas para proteger sus aplicaciones de esta vulnerabilidad crítica de elusión.