Vulnerabilidades y Avisos de Seguridad: Gestión incorrecta de mayúsculas y minúsculas en Wazuh Manager

Resumen de la alerta

Se ha identificado una vulnerabilidad crítica en Wazuh Manager que puede permitir a un usuario autenticado ejecutar comandos con privilegios de root en el servidor que ejecuta el componente afectado.

El problema está registrado como CVE-2026-74041 y afecta a las versiones de Wazuh Manager desde la 4.14.3, inclusive, hasta versiones anteriores a la 4.14.8. La corrección está disponible mediante actualización a Wazuh Manager 4.14.8 o una versión posterior.

INCIBE-CERT clasifica la vulnerabilidad con severidad crítica. No obstante, la información publicada indica que no existe explotación conocida de esta vulnerabilidad.

Recursos afectados

• Wazuh Manager, versiones desde la 4.14.3, inclusive, y anteriores a la 4.14.8.

Descripción de la vulnerabilidad

CVE-2026-74041 se debe a una diferencia en el modo en que el validador del archivo ossec.conf y el componente wazuh-logcollector interpretan las mayúsculas y minúsculas.

La validación de la configuración puede ser eludida utilizando la directiva LOG_FORMAT escrita en mayúsculas. Esta inconsistencia permitiría evitar los controles aplicados a comandos remotos.

Para aprovechar el fallo, el atacante debe estar autenticado y disponer del permiso manager:update_config. Si reúne esta condición, podría introducir una configuración maliciosa que derivase en la ejecución de comandos cuando se recargase el servicio.

Impacto y nivel de riesgo

Una explotación con éxito podría permitir la ejecución de comandos con privilegios de root en el servidor Wazuh Manager. Este nivel de privilegio supone control administrativo sobre el sistema afectado y, por tanto, un impacto potencial elevado sobre la confidencialidad, integridad y disponibilidad del entorno gestionado.

El riesgo práctico está condicionado por un requisito relevante: no se trata de una vulnerabilidad explotable por un usuario sin acceso previo. Es necesario disponer de una cuenta autenticada con capacidad para actualizar la configuración del Manager mediante el permiso manager:update_config.

Según la información disponible, no hay explotación conocida de CVE-2026-74041. La ausencia de explotación reportada no elimina la necesidad de aplicar la actualización, dada la severidad crítica y el posible impacto de una ejecución de comandos como root.

Solución y medidas recomendadas

La solución indicada consiste en actualizar Wazuh Manager a la versión 4.14.8 o posterior.

Antes de actualizar, las organizaciones deberían identificar las instancias de Wazuh Manager instaladas y comprobar si se encuentran dentro del intervalo vulnerable. La actualización debe priorizarse en aquellos servidores donde existan usuarios o procesos con permisos para modificar la configuración del Manager.

Recomendaciones para organizaciones afectadas

1. Inventariar las instalaciones de Wazuh Manager y verificar si utilizan versiones desde la 4.14.3 hasta una versión anterior a la 4.14.8.
2. Actualizar los sistemas afectados a Wazuh Manager 4.14.8 o una versión posterior.
3. Revisar qué cuentas tienen asignado el permiso manager:update_config y limitar dicho permiso a los usuarios que lo necesiten para sus funciones.
4. Aplicar controles internos sobre los cambios de configuración, especialmente los que puedan provocar recargas del servicio.
5. Tras la actualización, comprobar que la versión desplegada corresponde a una versión corregida.