Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Tres rutas de explotación en BugTracker.NET.

Qué se ha confirmado

INCIBE coordinó la publicación de tres vulnerabilidades de severidad alta que afectan a BugTracker.NET 3.6.8.

El aviso señala que no hay solución reportada por el momento.

CVE-2026-92531 permite que un administrador autenticado manipule el campo de repositorio de la integración SVN y, cuando se comparan revisiones, pueda ejecutar comandos con la cuenta de la aplicación si svn.exe está instalado e invocable.

CVE-2026-92532 afecta a los adjuntos: un administrador autenticado podría cambiar su directorio de almacenamiento, subir un archivo ASPX malicioso y ejecutarlo desde la interfaz web.

CVE-2026-92533 es un path traversal en la descarga de archivos: un atacante remoto autenticado podría leer archivos fuera del directorio previsto si la cuenta de la aplicación tiene acceso a ellos.

El aviso de INCIBE marca las tres vulnerabilidades con explotación 'No'; no comunica ataques observados.

Análisis de Defensops

Los requisitos de autenticación acotan los escenarios, pero no hacen irrelevante la exposición. Una cuenta con permisos de administrador concentra el riesgo de los dos fallos que pueden terminar en ejecución de comandos o código; para la lectura de archivos basta un usuario autenticado. El impacto concreto depende de los permisos de la cuenta del servicio y de cómo se hayan configurado SVN, los adjuntos y el acceso web.

La falta de solución reportada cambia la respuesta inmediata: primero conviene reducir quién puede llegar a la aplicación y quién conserva privilegios elevados, después comprobar las rutas sensibles y los registros de actividad. No debe asumirse que desactivar una sola función cubra las tres fallas, porque afectan a componentes diferentes.

El aviso describe condiciones de explotación posible, no una campaña activa. Cualquier indicio de archivos inesperados, cambios en la configuración de adjuntos o accesos a rutas inusuales necesita correlación con sesiones y permisos antes de atribuirlo a estas CVE. Esa separación evita tratar una vulnerabilidad publicada como prueba automática de compromiso.

Prioridades de revisión

Localizar las instancias de BugTracker.NET 3.6.8 y restringir temporalmente el acceso a usuarios y redes necesarios, con especial atención a interfaces alcanzables desde Internet.

Revisar las cuentas administradoras y eliminar privilegios que no sean imprescindibles; comprobar si el servicio puede invocar svn.exe y qué permisos tiene la cuenta de la aplicación.

Inspeccionar la configuración y los directorios de adjuntos para detectar cambios de ubicación o archivos ejecutables inesperados; verificar que el servidor web no ejecute contenido cargado por usuarios.

Conservar y analizar registros de inicio de sesión, descarga de archivos, comparación de revisiones y cambios de configuración; seguir los avisos del proyecto e INCIBE para aplicar una corrección en cuanto se publique.

Qué no se ha confirmado

INCIBE no comunica en este aviso una versión corregida ni una solución disponible.

No se informa de explotación activa ni de organizaciones afectadas.

El alcance de lectura o ejecución en una instalación concreta depende de los permisos efectivos de la cuenta del servicio.

Fuente

INCIBE-CERT. Fecha indicada: 2026-10-07.