Se ha descubierto una grave falla de seguridad en ExifTool, una herramienta de código abierto muy utilizada para leer y editar metadatos de archivos de imagen. Registrada como CVE-2026-3102, esta vulnerabilidad afecta a sistemas macOS y permite a los atacantes ocultar comandos de shell dentro de archivos de imagen que se ejecutan silenciosamente al ser procesados. El hallazgo ha generado alertas en industrias que dependen de la automatización

Se ha descubierto una grave falla de seguridad en ExifTool, una herramienta de código abierto muy popular utilizada para leer y editar metadatos de archivos de imagen.

Registrada como CVE-2026-3102, esta vulnerabilidad afecta a sistemas macOS y permite a los atacantes ocultar comandos de shell dentro de archivos de imagen que se ejecutan silenciosamente al ser procesados.

El hallazgo ha generado alarmas en industrias que dependen de flujos de trabajo automatizados con imágenes, desde laboratorios forenses hasta grandes organizaciones de medios.

ExifTool se ha ganado una sólida reputación como la solución preferida para manejar metadatos en cientos de formatos de archivo.

Fotógrafos, archivistas digitales, investigadores forenses y analistas de datos lo utilizan para extraer detalles como coordenadas GPS, configuraciones de cámara y marcas de tiempo incrustadas en los archivos de imagen.

Además de su uso individual, su biblioteca de código abierto está profundamente integrada en herramientas de terceros, como plataformas de gestión de fotos y software de automatización de imágenes, incluyendo Exif Photoworker, MetaScope y ImageIngester.

En grandes empresas, ExifTool suele ejecutarse de forma silenciosa a través de sistemas de gestión de activos digitales, lo que amplía considerablemente la superficie de ataque.

Investigadores de Kaspersky identificaron esta vulnerabilidad y la reportaron directamente al desarrollador de ExifTool, Phil Harvey, quien lanzó un parche en la versión 13.50 poco después de ser notificado.

El equipo señaló que este tipo de vector de ataque basado en metadatos suele pasar desapercibido para los escáneres de seguridad convencionales, ya que la mayoría de las herramientas se centran en el contenido del archivo en lugar de los campos de metadatos incrustados. Sus hallazgos revelan cómo una herramienta cotidiana y ampliamente confiable puede convertirse silenciosamente en una puerta de entrada para atacantes que apuntan a entornos macOS.

Cuando se explota con éxito, esta vulnerabilidad otorga a los atacantes acceso no autorizado al sistema macOS afectado. Desde allí, pueden descargar y ejecutar una carga útil remota, implementar troyanos o instalar infostealers diseñados para robar datos sensibles almacenados en el dispositivo.

Lo que hace que este ataque sea especialmente preocupante es su casi invisibilidad: la imagen maliciosa puede parecer perfectamente normal e incluso cumplir un propósito legítimo, mientras los comandos de shell dañinos se ejecutan completamente fuera de la vista.

La amenaza es particularmente grave para organizaciones donde las imágenes fluyen a través de pipelines automatizados diariamente, como laboratorios forenses, redacciones de noticias, bufetes de abogados y centros de imágenes médicas.

En estos entornos, los archivos llegan regularmente desde fuentes externas, y una sola imagen manipulada enviada a través de un canal de envío rutinario podría comprometer silenciosamente toda la infraestructura backend de una organización.

Cómo se activa el exploit a través de los metadatos

La raíz de este exploit reside en cómo ExifTool en macOS maneja el campo DateTimeOriginal, una etiqueta EXIF estándar que normalmente almacena cuándo se tomó una foto.

Los atacantes manipulan este campo registrándolo en un formato inválido e incrustando comandos de shell maliciosos dentro de él. Cuando ExifTool procesa dicho archivo en el modo -n (también conocido como la bandera --printConv), genera datos en un formato crudo y sin procesar.

Esta salida sin procesar evita el paso de formateo que, de otro modo, neutralizaría los comandos ocultos, haciendo que sean interpretados y ejecutados directamente por el shell de macOS.

Detalles del CVE:

La bandera -n se usa ampliamente en pipelines automatizados de procesamiento de imágenes porque produce una salida limpia, concisa y legible por máquinas, exactamente el tipo de formato en el que confían los flujos de trabajo empresariales.

Esto la convierte en un ajuste predeterminado natural en operaciones a gran escala, lo que también significa que las dos condiciones necesarias para activar el exploit —ejecutarse en macOS con -n habilitado— suelen cumplirse juntas.

Sin esta bandera, ExifTool muestra la salida de metadatos en un formato legible para humanos, lo que interrumpe involuntariamente el exploit. Pero como los sistemas orientados a máquinas rara vez usan ese formato de visualización, la falla sigue siendo completamente funcional en la mayoría de las implementaciones del mundo real.

El autor de ExifTool ha lanzado la versión 13.50 para corregir el CVE-2026-3102, y todos los usuarios que ejecuten la versión 13.49 o anterior deben actualizar de inmediato.

Las organizaciones deben auditar todas las plataformas de gestión de activos, aplicaciones de procesamiento de fotos y scripts personalizados en macOS para confirmar que están llamando a ExifTool 13.50 o una versión posterior, y no a una copia antigua incrustada de la biblioteca.

Como protección adicional, las imágenes de fuentes no confiables o desconocidas deben procesarse en entornos virtuales aislados con acceso restringido a la red.

También es recomendable monitorear continuamente los componentes de código abierto utilizados en flujos de trabajo internos para detectar nuevas vulnerabilidades divulgadas, mediante herramientas dedicadas de seguimiento de la cadena de suministro.