Vulnerabilidades y Avisos de Seguridad: Escalada de privilegios en Iperius Backup de Enter

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-854 sobre una vulnerabilidad de escalada local de privilegios en Iperius Backup, software de copias de seguridad para Windows desarrollado por Enter.

El fallo, identificado como CVE-2026-112174, afecta a la versión 8.8.3 y cuenta con una puntuación CVSS v4.0 de 9.3, clasificada como de severidad alta. La vulnerabilidad puede permitir que un usuario local con bajos privilegios ejecute programas con privilegios elevados, potencialmente como SYSTEM o Administrador, según el contexto de ejecución de la aplicación.

La fuente indica que no existe explotación conocida de esta vulnerabilidad. No obstante, las organizaciones que utilicen la versión afectada deberían priorizar su actualización.

Recursos afectados

• Iperius Backup 8.8.3 para Windows.

Descripción de la vulnerabilidad

CVE-2026-112174 es una vulnerabilidad de escalada de privilegios local asociada a una separación insuficiente entre la interfaz gráfica de Iperius Backup ejecutada con privilegios elevados y los usuarios locales con permisos reducidos.

El problema puede producirse cuando el servicio de copias de seguridad se ha configurado para ejecutarse de forma persistente con privilegios de Administrador. En ese escenario, un usuario local con bajos privilegios podría aprovechar los diálogos nativos de Windows expuestos por la aplicación para iniciar programas que hereden el contexto elevado.

La debilidad está clasificada como CWE-250, categoría que hace referencia a la ejecución de una tarea con privilegios innecesarios o excesivos. En términos prácticos, este tipo de fallo puede permitir que un proceso iniciado por un usuario con permisos limitados alcance un nivel de acceso superior al que le corresponde.

Impacto y nivel de riesgo

Una explotación satisfactoria podría permitir la ejecución de comandos con privilegios de SYSTEM o de Administrador, dependiendo del contexto de la aplicación. Esto podría comprometer el sistema Windows afectado.

La vulnerabilidad requiere acceso local y privilegios bajos, tal como refleja el vector CVSS publicado: CVSS:4.0 AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Por tanto, no se trata de un fallo que pueda aprovecharse de forma remota según la información disponible, pero sí presenta un impacto potencial elevado una vez que un usuario con acceso local puede interactuar con el equipo.

La puntuación base asignada es 9.3 sobre 10. Aun así, INCIBE-CERT indica “Explotación: No”, por lo que no debe interpretarse como evidencia de ataques activos o de explotación confirmada.

Solución y medidas recomendadas

La solución indicada por el fabricante es actualizar a Iperius Backup 8.8.9.

Según la información publicada, esta versión incorpora permisos restrictivos por defecto. Durante la instalación del servicio, aplica dichos permisos a las carpetas de configuración e impide que usuarios no administradores puedan crear, modificar o ejecutar trabajos de copia de seguridad.

La actualización a la versión corregida debe considerarse la medida principal para las instalaciones afectadas.

Recomendaciones para organizaciones afectadas

1. Identificar los sistemas Windows que ejecuten Iperius Backup 8.8.3.
2. Planificar y aplicar la actualización a Iperius Backup 8.8.9, conforme a los procedimientos internos de gestión de cambios.
3. Priorizar los equipos donde el servicio de copias de seguridad esté configurado para ejecutarse persistentemente con privilegios de Administrador, ya que esta condición está relacionada con el escenario de explotación descrito.
4. Revisar que el acceso local a los sistemas afectados esté limitado a los usuarios autorizados, especialmente mientras se completa la actualización.
5. Verificar tras la actualización que la instalación del servicio haya aplicado los permisos restrictivos previstos sobre las carpetas de configuración.