Vulnerabilidades y Avisos de Seguridad: Inyección SQL en SIREC de Atmira

Resumen de la alerta

INCIBE-CERT ha publicado un aviso sobre una vulnerabilidad de inyección SQL de severidad alta en SIREC de Atmira, una plataforma orientada a la gestión de cobros y recuperación de deudas.

La vulnerabilidad está identificada como CVE-2026-123087 y cuenta con una puntuación CVSS v4.0 de 8,7. Atmira ha confirmado que el problema fue solucionado el 16/10/2026.

La información disponible indica que no existe explotación conocida de esta vulnerabilidad. No obstante, las organizaciones que utilicen SIREC deben verificar con el proveedor que su instalación incorpora la corrección correspondiente.

Recursos afectados

El recurso afectado es SIREC de Atmira.

El aviso no especifica las versiones vulnerables ni las versiones concretas en las que se incorporó la corrección.

Descripción de las vulnerabilidades

CVE-2026-123087 corresponde a una vulnerabilidad de inyección SQL, clasificada como CWE-89.

El problema se produce cuando el servidor obtiene un valor procedente de un campo de un objeto JSON controlado por el usuario y lo incorpora a una consulta SQL sin neutralizar adecuadamente la entrada. En este tipo de situaciones, una entrada diseñada de forma maliciosa puede modificar la lógica de la consulta enviada a la base de datos.

Las inyecciones SQL se producen cuando los datos suministrados por un usuario se tratan como parte de una instrucción SQL en lugar de como un valor independiente. Una validación y tratamiento insuficientes de esos datos puede permitir alterar la consulta original.

Impacto y nivel de riesgo

La vulnerabilidad tiene una puntuación CVSS v4.0 de 8,7, con el siguiente vector:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Según este vector, la explotación puede realizarse a través de la red, presenta baja complejidad y no requiere interacción de un usuario. Sin embargo, requiere que el atacante disponga de privilegios bajos, por lo que no se trata de un escenario de acceso completamente no autenticado.

Una explotación con éxito podría permitir alterar la consulta SQL prevista y obtener información de la base de datos que no debería ser devuelta por la aplicación. La evaluación CVSS indica además un impacto alto potencial sobre la confidencialidad, la integridad y la disponibilidad del componente vulnerable.

El aviso clasifica la severidad como alta. Aun así, INCIBE-CERT indica “Explotación: No”, por lo que no se debe interpretar esta alerta como confirmación de ataques activos o de explotación observada.

Solución y medidas recomendadas

Atmira ha confirmado que la vulnerabilidad fue solucionada el 16/10/2026. Puesto que no se detallan las versiones corregidas ni el procedimiento de actualización, las organizaciones afectadas deben confirmar con Atmira qué actualización, paquete o procedimiento corresponde a su despliegue de SIREC.

Como medida complementaria, y sin que sustituya a la corrección proporcionada por el fabricante, conviene aplicar controles estrictos sobre las cuentas con acceso a la plataforma. Dado que el vector CVSS señala la necesidad de privilegios bajos, limitar el acceso a usuarios estrictamente necesarios puede reducir la exposición mientras se verifica la aplicación de la solución.

Recomendaciones para organizaciones afectadas

• Identificar las instancias de SIREC de Atmira desplegadas en la organización.
• Solicitar a Atmira la confirmación de que la instalación incorpora la corrección publicada el 16/10/2026.
• Priorizar la aplicación de la solución conforme a los procedimientos internos de gestión de cambios.
• Revisar las cuentas con acceso a SIREC y mantener únicamente los privilegios necesarios para cada función.
• Valorar la revisión de los registros disponibles de la plataforma y de la base de datos ante comportamientos anómalos relacionados con consultas o accesos no esperados, sin asumir que exista una explotación confirmada.