Se ha detectado una vulnerabilidad zero-day de inyección SQL en GeoServer que podría permitir la ejecución remota de código. Actualmente no existe un parche oficial y ya se han observado cientos de intentos de explotación activa. Se recomienda a las organizaciones restringir el acceso público y monitorear la plataforma hasta que haya una solución.






Un fallo de día cero recientemente revelado en GeoServer está sufriendo intentos de explotación activa, según watchTowr.

La vulnerabilidad, a la que aún no se le ha asignado un identificador CVE, es una vulnerabilidad de inyección SQL en la plataforma de código abierto que puede provocar la ejecución remota de código (RCE). El defecto de seguridad sigue sin estar parcheado.

Fue revelado por primera vez el 12 de agosto de 2026 a las 10:46 UTC por un investigador llamado @q1uf3ng en X. "GeoServer jsonArrayContains permite una inyección SQL no autorizada y, en el caso de la base de datos sa, es naturalmente posible lograr una RCE", afirmó el investigador.

La plataforma de gestión de exposición e inteligencia de amenazas señaló que comenzó a observar intentos de explotación a las pocas horas de la divulgación pública, y que ha visto cientos de intentos originados desde un pequeño grupo de direcciones IP.

"Actualmente, vemos que los atacantes sondean para identificar sistemas vulnerables en todo internet, provocando errores y sin avanzar más", dijo Jake Knott, investigador principal de seguridad de watchTowr.

"Sin embargo, es poco probable que esto siga así por mucho tiempo: GeoServer tiene un historial de ser objetivo y explotado a gran escala, con múltiples vulnerabilidades enumeradas en el catálogo de Vulnerabilidades Explotadas Conocidas de la CISA. Más importante aún, bajo ciertas configuraciones, esta última vulnerabilidad podría conducir finalmente a la ejecución remota de código".

A falta de un parche, se te recomienda, si gestionas organizaciones que ejecuten GeoServer, identificar las instancias expuestas, restringir el acceso público y monitorizar la corrección del proveedor.

En 2024, un fallo de seguridad crítico que afectaba a GeoServer GeoTools (CVE-2024-36401, puntuación CVSS: 9.8) fue objeto de explotación activa para convertir los dispositivos comprometidos en botnets de minería de criptomonedas y DDoS, así como en proxies residenciales.

(Esta es una historia en desarrollo. Por favor, vuelve a consultar para más detalles).

Fuente:
THN