Se han revelado dos fallos de alta gravedad en ModSecurity, el firewall de aplicaciones web (WAF) de código abierto compatible con Apache, IIS y Nginx. Estas vulnerabilidades podrían permitir la carga de archivos maliciosos y la provisión de errores que causen la caída del servidor, lo que potencialmente derivaría en una ejecución remota de código (RCE).

Se han revelado dos fallos de severidad alta en ModSecurity, el firewall de aplicaciones web (WAF) de código abierto que se utiliza con Apache, IIS y Nginx.

Dos avisos de GitHub publicados por el mantenedor airween el 30 de septiembre describen fallos que permiten la carga de archivos maliciosos y caídas del servidor que podrían conducir a la ejecución remota de código.

ModSecurity inspecciona el tráfico web y bloquea las solicitudes que parecen dañinas. Muchos sitios dependen de él, por lo que cualquier brecha en la forma en que lee una solicitud es importante.

CVE-2026-104269 (GHSA-5pww-8rfg-9crf) afecta a ModSecurity 3.0.0 y versiones posteriores, permitiendo ataques de red no autenticados que eluden las comprobaciones de archivos y comprometen la integridad; no hay una versión parcheada disponible.

ModSecurity Parchea Fallos de Severidad Alta

El problema es una discrepancia en cómo el firewall y la aplicación leen una carga de archivos. El analizador multipart de ModSecurity no soporta RFC 2231, un estándar para valores codificados en los encabezados. Muchos frameworks de aplicaciones sí lo hacen. Cuando una solicitud contiene tanto un nombre de archivo plano como uno codificado*, esos frameworks prefieren el codificado.

Un atacante puede aprovechar esto enviando filename="safe.jpg" junto con filename*=UTF-8"shell.php. El OWASP Core Rule Set ve un JPG inofensivo y lo deja pasar. Un backend en Go lee el nombre como shell.php y podría guardarlo en el disco. Si el servidor web sirve esa carpeta, el atacante puede ejecutar código en ella.

El aviso indica que los analizadores de Go, Python (Flask y FastAPI), Node.js y Java Spring se comportan de esta manera. El manejo de carga nativo de PHP lee solo filename=, por lo que no se ve afectado. Los investigadores 0xkalawy y ZeyadZonkorany encontraron el problema, y B0YK4 coordinó el informe.

El segundo fallo es CVE-2026-73857 (GHSA-jx3r-phvx-2jmj), reportado por el investigador Tobias Klein. Una sola solicitud manipulada de un usuario remoto no autenticado puede hacer que un proceso trabajador utilice un puntero no inicializado. Esto permite que la solicitud escriba un valor fijo en una dirección que el remitente elija.

El resultado puede ser una caída del sistema, una fuga de memoria o una redirección del flujo del programa, lo que podría conducir a la ejecución remota de código. Las debilidades están listadas como CWE-787 (escritura fuera de límites) y CWE-824 (acceso a un puntero no inicializado). Su vector CVSS califica el impacto como alto solo para la disponibilidad, lo que según mis cálculos sitúa la puntuación cerca de 7.5.

El riesgo es más limitado de lo que parece. El error solo se puede alcanzar cuando la configuración SecParseXmlIntoArgs está en On o OnlyArgs. Por defecto, está en Off. La ruta del código se añadió en la versión 3.0.15, por lo que las versiones 3.0.15, 3.0.16 y el v3 master actual están afectadas. Las versiones anteriores de 3.0.x y ModSecurity v2 no lo están.

Hay un punto que debes comprobar. El aviso enumera la 3.0.17 como la versión parcheada, pero su texto también dice que la solución "aún no" está disponible y vendrá en el próximo lanzamiento. Los administradores deben confirmar el lanzamiento en la página oficial del proyecto antes de asumir que están seguros.

Para el fallo de XML, asegúrate de que SecParseXmlIntoArgs esté en Off, que es la solución temporal que ofrece el aviso. Luego, actualiza una vez que confirmes la versión corregida.

Para el fallo del nombre de archivo, no se indica ningún parche, así que no confíes únicamente en el WAF para juzgar las cargas de archivos. Las aplicaciones deben ignorar el nombre enviado por el cliente y crear su propio nombre seguro. También deben bloquear extensiones de script como .php y almacenar las cargas fuera de la raíz web. Estos pasos son una buena práctica general y no forman parte del aviso.

ModSecurity ha tenido otros problemas de elusión recientemente. Se han cubierto errores anteriores de elusión del firewall de ModSecurity y múltiples fallos de elusión de reglas de ModSecurity.