Imagen ilustrativa; no es el equipo afectado. Foto: Derrick Coetzee / Wikimedia Commons, CC0, sin cambios. Muestra un sala de servidores ilustrativa; no representa la aplicación Integratec. Foto original · Licencia.

Qué se ha confirmado

INCIBE-CERT publicó el aviso INCIBE-2026-682 el 30 de septiembre de 2026 y lo clasificó con importancia crítica.

El recurso afectado indicado es la aplicación de Integratec, una plataforma de gestión del talento y recursos humanos.

El aviso asigna a la vulnerabilidad el identificador CVE-2026-13695, la puntuación base CVSS v4.0 de 9.1 y la categoría CWE-89.

Según INCIBE, la inyección SQL basada en UNION afecta al parámetro sInfo enviado por POST al punto final /login/ap_Login.aspx/start.

La fuente señala que una explotación exitosa podría permitir robo de datos de la base de datos, incluidos credenciales e información de usuario, además de errores y denegaciones parciales de servicio.

En el momento del aviso, INCIBE indicaba que no había una solución reportada.

Análisis de Defensops

El riesgo descrito se concentra en una entrada de la aplicación que recibe solicitudes por POST. Para una organización que utilice este producto, la prioridad es determinar si la instancia afectada está accesible, quién puede alcanzarla y qué datos quedan detrás de esa función. La puntuación publicada orienta la urgencia, pero no sustituye la comprobación del despliegue concreto.

El posible acceso a credenciales e información de usuario obliga a mirar más allá de la disponibilidad del servicio. Si se confirmara una exposición, la investigación tendría que evaluar cuentas, privilegios y trazas de acceso en el periodo pertinente. Nada de esto equivale a afirmar que exista una intrusión en una instalación determinada.

La ausencia de una solución comunicada en el aviso hace especialmente importante mantener un seguimiento de las indicaciones del fabricante y de INCIBE-CERT. Las medidas provisionales deben acordarse según el entorno para reducir exposición sin interrumpir de forma innecesaria los procesos de recursos humanos.

Prioridades de revisión

Confirmar con el inventario si se utiliza la aplicación de Integratec y documentar las instancias, responsables y vías de acceso existentes.

Revisar con el equipo de la aplicación si es posible limitar temporalmente el acceso al punto afectado a redes y usuarios estrictamente necesarios, sin asumir que esto elimina la vulnerabilidad.

Conservar y examinar registros de acceso y de la aplicación en busca de solicitudes anómalas relacionadas con la función descrita, preservando la cadena de custodia si aparece un indicio.

Solicitar al proveedor una mitigación o corrección confirmada y comprobar periódicamente el aviso oficial antes de aplicar cambios en producción.

Preparar, si el análisis detecta exposición de datos o credenciales, una revisión proporcionada de accesos y posibles obligaciones de respuesta con los responsables internos.

Qué no se ha confirmado

El aviso describe consecuencias posibles; no aporta evidencia de explotación activa ni identifica instalaciones concretas comprometidas.

La fuente no precisa una versión afectada ni comunica una solución en el momento de publicación. No conviene inferir que todos los despliegues tengan la misma exposición.

Fuente

INCIBE-CERT. Fecha indicada: 2026-09-30.