Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración conceptual de claves de servicio previsibles en Fortra BoKS.

Qué se ha confirmado

INCIBE-CERT recoge seis vulnerabilidades en Fortra Core Privileged Access Manager (BoKS): tres críticas, dos altas y una media.

Las ramas afectadas son 8.1.0.0 a 8.1.0.23 y 9.0.0.0 a 9.0.0.6.

INCIBE recomienda actualizar a 8.1.0.24 o 9.0.0.7, según la rama, o una versión posterior, y cambiar después las contraseñas de cuentas de servicio afectadas en instalaciones que usan keytab.

CVE-2026-12627 es un desbordamiento de búfer en boks_autoregisterd; un atacante remoto sin autenticar que alcance ese servicio podría enviar una respuesta manipulada y dañar la memoria del proceso.

CVE-2026-79898 permite inyección de comandos en crlserver a un usuario autenticado autorizado a añadir URL de listas de revocación; los comandos se ejecutarían como root en BoKS Master.

CVE-2026-79901 afecta solo a instalaciones que usan la gestión de archivos keytab para cuentas de servicio de Active Directory.

El fallo de keytab se debe a un generador pseudoaleatorio predecible: conocer el identificador del servicio y aproximar cuándo cambió la contraseña permitiría probar posibles claves sin conectarse al sistema afectado.

Hasta actualizar, INCIBE aconseja restringir el acceso de red a boks_autoregisterd, que usa por defecto el puerto 6507.

Análisis de Defensops

Los tres mecanismos exigen condiciones de exposición diferentes. El servicio de registro automático interesa por su alcance de red, mientras que la inyección de comandos presupone una cuenta con permiso para añadir URL de revocación. La debilidad de contraseñas depende de que la instalación use la gestión keytab de BoKS para Active Directory. La prioridad de corrección debe reflejar esas condiciones reales en cada entorno.

Actualizar elimina las versiones señaladas como vulnerables, pero no resuelve por sí solo el riesgo de contraseñas que ya se hayan generado de forma predecible. Por eso INCIBE sitúa el cambio de credenciales después del parche y exige verificar que las nuevas claves se propagaron. Cambiarlas sin esa comprobación podría dejar servicios sin acceso legítimo.

El aviso describe efectos potenciales y no presenta explotación observada de los tres CVE destacados. Tampoco permite deducir que todos los despliegues expongan boks_autoregisterd a Internet o que todos tengan cuentas de servicio gestionadas mediante keytab.

Prioridades de revisión

Identificar con urgencia los BoKS Master y demás instalaciones afectadas, registrar su rama y versión y comprobar desde qué segmentos de red se alcanza boks_autoregisterd.

Restringir temporalmente el acceso de red a boks_autoregisterd a los orígenes necesarios, verificando el puerto efectivo en cada despliegue en lugar de asumir el predeterminado 6507.

Actualizar la rama 8.1 a 8.1.0.24 o posterior y la 9.0 a 9.0.0.7 o posterior; confirmar la versión instalada y probar el registro automático y las funciones de administración utilizadas.

En instalaciones que empleen keytab para cuentas de servicio de Active Directory, rotar las contraseñas después de actualizar y comprobar que las nuevas claves están distribuidas y que los servicios siguen autenticándose.

Revisar qué usuarios pueden añadir URL de listas de revocación y retirar permisos que no correspondan a una función vigente, dejando registro de los cambios.

Qué no se ha confirmado

La fuente no informa de explotación activa de los CVE destacados.

El aviso no detalla aquí las condiciones técnicas de las otras tres vulnerabilidades del conjunto.

La exposición de cada instalación depende de la accesibilidad real del servicio, los permisos asignados y el uso de keytab.

Fuente

INCIBE-CERT. Fecha indicada: 2026-10-02.