Un fallo local con impacto en privilegios

INCIBE publicó el 24 de septiembre CVE-2026-7169 en Evope Collector. Tiene CVSS 4.0 de 7,5 y afecta a versiones anteriores a 1.1.7.13. El aviso identifica como conjunto probado Collector 1.1.6.9.0, Core 1.1.3.2.4 y Update 1.1.0.3.6.

La búsqueda no controlada de una DLL por Evope.Service.exe, que se ejecuta como SYSTEM, puede permitir a un atacante local sin privilegios ejecutar código con ese nivel de acceso. No es una ejecución remota sin condiciones por estar conectado a Internet.

Corrección y estado de explotación

El proveedor ha solucionado el fallo en 1.1.7.13. INCIBE no recoge explotación confirmada. Los componentes relevantes son el servicio y su carga de wtsapi32.dll; la presencia de una DLL con ese nombre en otro contexto no prueba explotación.

Análisis de Defensops: inventario y contexto en los endpoints

Recomendamos localizar instalaciones mediante inventario de software y comprobar la versión real de cada endpoint, con atención a equipos que llevan tiempo desconectados. La aprobación central de una actualización no significa que todos los dispositivos la hayan recibido.

Un proceso proporcionado incluiría:

  1. Confirmar que el producto está instalado y registrar servicio, versión y propietario.
  2. Aplicar la actualización por la vía autorizada y validar su funcionamiento.
  3. Revisar permisos de las rutas utilizadas por el servicio sin modificar indiscriminadamente carpetas del sistema.
  4. Correlacionar cambios de archivos y cargas de módulos con instalaciones y mantenimiento conocidos.
  5. Documentar equipos pendientes y comprobar su actualización cuando vuelvan a conectarse.

Nuestra propuesta de investigación requiere combinar proceso, ruta, usuario y cronología. Un nombre de biblioteca aislado genera demasiados falsos positivos. Conviene añadir la procedencia del archivo, sus propiedades disponibles y la relación con el servicio antes de elevar la sospecha.

Si se encuentra un archivo no explicado asociado al proceso, debe conservarse con controles de acceso y analizarse siguiendo el procedimiento de respuesta. Borrarlo primero puede destruir contexto útil y romper el servicio sin resolver la causa.

La disponibilidad de estos datos depende de la telemetría realmente recogida. No afirmamos que un agente concreto capture todas las cargas de módulos ni que una regla publicada detecte este fallo. La cobertura debe probarse en cada entorno.

Fuente y fecha

INCIBE: aviso del 24 de septiembre de 2026. Revisión editorial: 27 de septiembre. El procedimiento de revisión de endpoints es análisis propio de Defensops.