Kiteworks patches max severity code injection vulnerability
BleepingComputer · 1 oct, 15:51
Kiteworks ha publicado parches de seguridad para 126 vulnerabilidades, entre ellas CVE-2026-54154, un fallo de máxima severidad en su Email Protection Gateway que permite a atacantes remotos no autenticados ejecutar código arbitrario y tomar el control completo del dispositivo. La vulnerabilidad afecta a versiones anteriores a 9.4.1 y se corrige en 9.4.1 o posterior.
El fallo CVE-2026-54154 reside en el componente Email Protection Gateway del Private Content Network de Kiteworks, una plataforma que integra correo empresarial, transferencia de archivos gestionada, intercambio de archivos, APIs y formularios web. La vulnerabilidad resulta de una cadena de fallos de manipulación de entrada en extremos públicamente accesibles, incluyendo path traversal, code injection y autenticación faltante. El ataque es de baja complejidad y no requiere interacción del usuario.
Kiteworks opera servicios para miles de corporaciones globales y agencias gubernamentales, con más de 100 millones de usuarios finales. La empresa también ha corregido 11 vulnerabilidades críticas adicionales (bypass de autenticación, takeover de cuentas administrador, XSS almacenado, control de acceso impropio y autenticación inadecuada). Hace una semana, Kiteworks había ordenado a sus clientes apagar servidores tras advertencias de inteligencia de amenazas sobre un posible ataque zero-day; la empresa retiró esa recomendación el lunes tras parchear la vulnerabilidad sin encontrar evidencias de compromiso.
Puntos clave
- CVE-2026-54154 afecta a Kiteworks Email Protection Gateway anteriores a versión 9.4.1
- Actualizar a versión 9.4.1 o posterior
- Ataque remoto sin autenticación, ejecución de código y escalada a acceso root
- 11 vulnerabilidades críticas adicionales incluyen bypass de autenticación y takeover de cuenta administrador
- Kiteworks opera con más de 100 millones de usuarios finales