Vulnerabilidades y Avisos de Seguridad: Ausencia de verificación de integridad en MobaXterm de Mobatek

Resumen de la alerta

INCIBE-CERT ha publicado un aviso sobre una vulnerabilidad de severidad alta en MobaXterm Personal Edition (Portable) 26.4 GA, de Mobatek. El fallo, identificado como CVE-2026-112161, afecta al tratamiento de un componente utilizado por la aplicación y puede permitir la ejecución de código con los permisos del usuario que ejecute MobaXterm.

La vulnerabilidad tiene una puntuación CVSS v4.0 de 8,5 y el vector CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. La fuente indica que no existe explotación conocida. No obstante, las organizaciones que utilicen la edición y versión afectadas deben priorizar su actualización.

Recursos afectados

El aviso afecta exclusivamente al siguiente producto:

• MobaXterm Personal Edition (Portable), versión 26.4 GA, de Mobatek.

Descripción de las vulnerabilidades

La vulnerabilidad CVE-2026-112161 está clasificada como CWE-345, una categoría asociada a la ausencia o insuficiencia de verificación de la integridad de los datos.

MobaXterm Personal Edition en su edición portable descomprime el complemento CygUtils64.plugin sin comprobar previamente su integridad. Dentro de este componente se encuentra la biblioteca bin/cygwin1.dll.

Un atacante local que disponga de permisos de escritura sobre el archivo del complemento podría reemplazar esa biblioteca por una versión maliciosa. Posteriormente, si la víctima abre una sesión Local Shell o utiliza una función de MobaXterm basada en Cygwin, la aplicación extraería el componente y cargaría la biblioteca manipulada.

El problema fue descubierto por Pedro J. Nunez-Cacho Fuentes (@tunelko).

Impacto y nivel de riesgo

Una explotación satisfactoria podría permitir la ejecución de código con los permisos de la víctima. Esto implica que el alcance del impacto depende de los privilegios de la cuenta que utilice MobaXterm en el momento de cargar la biblioteca alterada.

La vulnerabilidad requiere una condición previa relevante: el atacante debe tener acceso local y permisos de escritura sobre el complemento afectado. No requiere interacción adicional de la víctima más allá de usar una sesión Local Shell o una función basada en Cygwin, pero no proporciona por sí misma elevación de privilegios.

Aunque la puntuación CVSS refleja un impacto elevado sobre la confidencialidad, integridad y disponibilidad en el contexto vulnerable, INCIBE-CERT indica “Explotación: No”. Por tanto, se trata de una vulnerabilidad existente con potencial de abuso bajo las condiciones descritas, pero no hay información de explotación activa o ataques confirmados en la fuente disponible.

Solución y medidas recomendadas

La solución indicada es actualizar MobaXterm a la versión 26.5, publicada el 11 de septiembre de 2026, o a una versión posterior.

Además de aplicar la actualización, como medida preventiva complementaria y no sustitutiva de la corrección oficial, conviene limitar los permisos de escritura sobre los archivos y complementos de la aplicación a los usuarios estrictamente autorizados. Esta medida está directamente relacionada con el requisito de explotación identificado en el aviso.

Recomendaciones para organizaciones afectadas

1. Identificar los equipos que utilicen MobaXterm Personal Edition (Portable) 26.4 GA.
2. Actualizar las instalaciones afectadas a MobaXterm 26.5 o una versión posterior.
3. Revisar qué usuarios disponen de permisos de escritura sobre los archivos de MobaXterm y, en particular, sobre el complemento CygUtils64.plugin.
4. Priorizar la actualización en sistemas donde MobaXterm se ejecute con cuentas que dispongan de permisos elevados, dado que el código manipulado se ejecutaría con los privilegios de la víctima.
5. Comunicar a los usuarios afectados la necesidad de utilizar la versión actualizada antes de emplear funciones basadas en Cygwin o sesiones Local Shell.