CVE-2026-111793: transferencia incorrecta de recursos en Openwave Webtop Media Transcoder
CVE-2026-111793: Openwave Webtop Media Transcoder entra al catálogo KEV de CISA
CISA agregó el 10 de noviembre de 2026 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) la CVE-2026-111793, que afecta a Webtop Media Transcoder de Openwave Messaging Limited. Su inclusión en KEV indica que existe evidencia de explotación activa. La puntuación CVSS enriquecida por NVD es 4.3 (MEDIA). El uso en campañas de ransomware figura como desconocido.
Análisis Técnico
La falla está clasificada como CWE-669 (Incorrect Resource Transfer Between Spheres): un recurso cruza indebidamente un límite de control entre dos ámbitos que deberían estar separados. Según la descripción de CISA, un usuario autenticado puede lograr que el transcodificador procese y convierta tipos de documento no previstos si evita la experiencia de Webmail, es decir, si interactúa directamente con el componente en lugar de pasar por el flujo normal de la interfaz.
Vector de Ataque
- Autenticación requerida: el atacante necesita una cuenta válida en el entorno.
- Evasión del flujo Webmail: las restricciones sobre qué documentos se convierten parecen aplicarse en la capa de interfaz y no en el propio transcodificador.
- Resultado: conversión de formatos de documento que el servicio no debería aceptar, ampliando la superficie de ataque del motor de conversión.
Los detalles de explotación no se amplían en la información pública consultada; este análisis se limita a lo indicado por CISA y a las referencias oficiales.
Impacto Operacional y de Seguridad
El CVSS medio refleja un impacto acotado, pero la explotación activa exige atención. Un motor de conversión que acepta formatos no previstos puede exponer funciones de parseo complejas a usuarios que no deberían alcanzarlas, lo que facilita encadenar la falla con otras debilidades. Las organizaciones con plataformas de mensajería de Openwave expuestas a Internet deben priorizar la evaluación.
Productos Afectados
- Vendor: Openwave Messaging Limited
- Producto: Webtop Media Transcoder
- Versiones: consultar el aviso del fabricante (
CAN-2026-2032674) para el detalle de versiones afectadas y corregidas.
Recomendaciones y Mitigación
Acciones Inmediatas Recomendadas
- Aplicar las mitigaciones del fabricante conforme a su aviso de seguridad.
- Cumplir la directiva BOD 26-04 de CISA y sus requisitos de triaje forense.
- Evaluar la exposición a Internet de cada activo y restringir el acceso directo al transcodificador.
- Revisar registros en busca de conversiones de tipos de documento inusuales o accesos que eviten Webmail.
- Si no hay mitigaciones disponibles, discontinuar el uso del producto.
Fecha límite para agencias federales civiles (FCEB): 24 de noviembre de 2026.