ownCloud vuelve al foco: una falla de 2023 ya figura como explotada
CVE-2023-49105, una vulnerabilidad de ownCloud divulgada en 2023, recuperó urgencia el 27 de agosto de 2026. La ficha de GitHub Advisory Database aparece actualizada ese día, enlaza el catálogo de vulnerabilidades explotadas de CISA y mantiene la falla clasificada como crítica.
El riesgo actual está confirmado, pero no afecta por igual a cualquier despliegue: la condición vulnerable combina una versión antigua de ownCloud core, el conocimiento de un usuario válido y la ausencia de una signing-key para ese usuario. La solución es actualizar el servidor; configurar ahora la clave puede reducir exposición, pero no sustituye la corrección del código ni determina si hubo accesos anteriores.
Qué cambió en agosto de 2026
La novedad no es el descubrimiento de otra falla, sino la existencia de evidencia pública de explotación. CVE-2023-49105 llevaba casi tres años documentada y corregida cuando pasó a figurar como utilizada en ataques reales.
La investigación publicada por Hunt.io el 26 de agosto de 2026 describe cinco scripts que generaban solicitudes WebDAV con un secreto de firma vacío contra una instancia de una entidad filipina de investigación nuclear. Los investigadores encontraron registros de transferencia y 176 archivos, con un volumen conjunto de 372 MB, en directorios vinculados con esa víctima.
Esos hallazgos demuestran explotación en un caso concreto, no una campaña contra todas las instalaciones accesibles desde Internet. Tampoco prueban por sí solos que un servidor vulnerable haya sido comprometido: esa conclusión requiere registros y evidencia del entorno afectado.
Hunt.io atribuye la actividad a un probable operador de habla china por los comentarios, mensajes y nombres de carpetas en chino simplificado encontrados en las herramientas. Se trata de una valoración técnica sobre el idioma del operador, no de una identificación definitiva de una persona, organización o gobierno.
Por qué una URL prefirmada puede abrir archivos sin autenticación
CVE-2023-49105 reside en la validación de URLs prefirmadas utilizadas por la API WebDAV. En las versiones vulnerables, el servidor puede aceptar una solicitud preparada con un secreto vacío cuando el propietario del archivo no tiene configurada una signing-key.
Para aprovecharla, el atacante necesita conocer un nombre de usuario válido y alcanzar el punto de acceso WebDAV. Si además falta la clave de firma, puede construir una solicitud que el servidor interprete como autorizada sin presentar la contraseña ni establecer una sesión convencional.
El impacto comprende leer, modificar o eliminar archivos. Por eso, comprobar que la pantalla de inicio de sesión funciona o que no existen inicios de sesión desconocidos no basta para descartar este vector: las operaciones pasan por WebDAV y por el mecanismo defectuoso de firma.
El intervalo afectado específicamente por esta CVE abarca ownCloud core 10.6.0 a 10.13.0. La corrección impide utilizar una URL prefirmada si el propietario del archivo carece de signing-key; desde 10.13.1, esa condición concreta ya no debería ser aceptada.
Qué instalaciones deben actualizarse
La decisión práctica depende primero del producto y después de la versión. El aviso oficial de ownCloud indicó actualizar las instancias de ownCloud Server anteriores a 10.13.3 o aplicar el parche específico para el problema de URLs prefirmadas; también excluyó de aquel aviso a ownCloud Infinite Scale y a sus servicios administrados, incluido ownCloud.Online.
- ownCloud core 10.6.0–10.13.0: pertenece al intervalo vulnerable de CVE-2023-49105. Debe incorporarse la corrección sin depender de que actualmente exista una signing-key.
- ownCloud Server 10.13.1 o 10.13.2: ya queda fuera del intervalo técnico de esta CVE, pero el comunicado general del proveedor fijó 10.13.3 como destino de actualización porque abordaba varias vulnerabilidades de 2023.
- ownCloud Server anterior a 10.6.0: no entra en el intervalo publicado para esta falla concreta. Aun así, una versión tan antigua no debe considerarse segura por esa sola exclusión; corresponde revisar las demás correcciones aplicables y actualizar a una versión mantenida.
- Infinite Scale o servicio administrado: no estaba incluido en el alcance del aviso. Antes de cerrar la revisión conviene confirmar que el inventario corresponde realmente a esos productos y no a una instancia clásica de Server autogestionada.
La diferencia entre “corregido desde 10.13.1” y “actualizar a 10.13.3” no es una contradicción. El primer dato delimita CVE-2023-49105; el segundo pertenece a una recomendación acumulativa de ownCloud para las tres vulnerabilidades críticas comunicadas en aquel periodo.
Actualizar no revela si el servidor fue comprometido
Aplicar la versión corregida cierra el vector conocido hacia adelante, pero no reconstruye lo ocurrido durante la exposición. La revisión posterior debe separar dos preguntas: si el servidor llegó a reunir las condiciones vulnerables y si existen rastros compatibles con acceso no autorizado.
- Identificar la versión exacta que estuvo operativa en cada nodo o instancia expuesta, no solo la instalada actualmente.
- Determinar si los usuarios afectados carecían de signing-key durante ese periodo. El estado presente de la configuración no demuestra cuál era su estado histórico.
- Conservar y revisar registros WebDAV en busca de enumeraciones PROPFIND, recuperaciones GET, modificaciones PUT o eliminaciones DELETE que no correspondan con la actividad esperada de las cuentas.
- Si aparecen operaciones sospechosas, delimitar los usuarios, archivos y periodos afectados antes de rotar registros o retirar sistemas que puedan contener evidencia.
La ausencia de esos indicios reduce la evidencia disponible, pero un historial incompleto no permite demostrar que nunca hubo acceso. Del mismo modo, haber ejecutado una versión vulnerable solo acredita exposición potencial; no equivale a compromiso probado.
El estado de la historia queda así acotado: la vulnerabilidad fue publicada y corregida en 2023, existe evidencia independiente de uso contra una víctima y desde el 27 de agosto de 2026 figura vinculada al catálogo de fallas explotadas. Las instalaciones autogestionadas sin la corrección necesitan actualización inmediata, mientras que el alcance real en cada organización dependerá de su versión histórica, sus signing-keys y sus propios registros.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.