La vulnerabilidad crítica de ejecución remota de código CVE-2026-29014 (CVSS 9.8) en MetInfo CMS versiones 7.9, 8.0 y 8.1 ya está siendo explotada activamente: los atacantes, sin autenticación, pueden ejecutar código PHP arbitrario a través de la funcionalidad WeChat, obteniendo control total sobre el servidor, por lo que los propietarios de MetInfo deben instalar de inmediato los parches del 7 de abril de 2026 y revisar los sistemas en busca de signos de compromiso.

Detalles técnicos de la vulnerabilidad y su explotación

Según la entrada en la NVD sobre CVE-2026-29014, la vulnerabilidad es una inyección de PHP no autenticada que conduce a ejecución remota de código (RCE) en MetInfo CMS:

• Identificador: CVE-2026-29014
• Puntuación CVSS: 9.8 (crítica)
• Versiones afectadas: MetInfo CMS 7.9, 8.0, 8.1
• Vector de ataque: remoto, sin autenticación
• Tipo de vulnerabilidad: inyección de PHP con posterior RCE

El investigador de seguridad Egidio Romano determinó que el problema se origina en el script /app/system/weixin/include/class/weixinreply.class.php. La causa es un saneamiento insuficiente de la entrada del usuario al formar las peticiones al API Weixin (WeChat). Los datos de entrada recibidos de un cliente remoto llegan al flujo de ejecución sin la neutralización adecuada, lo que permite inyectar código PHP arbitrario.

Características técnicas clave:

• No requiere cuenta: el atacante puede aprovechar la vulnerabilidad de forma totalmente anónima, lo que facilita considerablemente el escaneo y la explotación masivos.
• Superficie objetivo: funcionalidad WeChat: el exploit se aprovecha del procesamiento del API Weixin en MetInfo. Esto hace especialmente arriesgadas las instalaciones con el plugin oficial de WeChat instalado y parcialmente o antiguamente habilitado.
• Condición para sistemas no Windows: para una explotación satisfactoria en servidores que no sean Windows debe existir el directorio /cache/weixin/. Este se crea al instalar y configurar el plugin oficial de WeChat.

Como resultado, un atacante remoto puede enviar una petición HTTP especialmente diseñada que contenga código PHP malicioso, que será escrito y posteriormente ejecutado por el servidor. Es un escenario clásico de explotación según el modelo MITRE ATT&CK T1190 Exploit Public-Facing Application, en el que una aplicación web vulnerable se convierte en punto de entrada para la toma total de la infraestructura.

MetInfo publicó correcciones el 7 de abril de 2026 (para las versiones de CMS aún soportadas). Ya el 25 de abril se registraron las primeras explotaciones exitosas en sistemas honeypot vulnerables en Estados Unidos y Singapur, y para el 1 de mayo se observa un crecimiento notable de la actividad, principalmente desde direcciones IP de China y Hong Kong. Según la estimación de VulnCheck, hay en la red unos 2.000 ejemplares de MetInfo accesibles, la mayoría en China.

Contexto de amenazas: de escaneos puntuales a explotación masiva

La dinámica observada de los ataques es típica de las vulnerabilidades críticas en aplicaciones web:

1. Fase de reconocimiento: en los primeros días tras la publicación del parche y de la información sobre la vulnerabilidad se observaron intentos de explotación «esporádicos y automatizados» contra sistemas honeypot. Esto indica que el exploit se integró rápidamente en escáneres y botnets.
2. Fase de escalado: a partir del 1 de mayo se ha registrado un pico de actividad centrado en direcciones IP de China y Hong Kong, lo que guarda correlación con la distribución geográfica de las instalaciones de MetInfo (la mayoría de los ejemplares también se encuentran en China).

Por ahora no se informa de vínculos con grupos o campañas concretas, pero la existencia de un exploit plenamente funcional y de escaneos masivos significa que CVE-2026-29014 está pasando rápidamente de la categoría de ataques dirigidos a la de herramienta estándar para el compromiso automatizado de sitios web públicos.

Evaluación del impacto y perfil de riesgo

Quién corre mayor riesgo

• Organizaciones y particulares que utilicen MetInfo CMS versiones 7.9, 8.0, 8.1, especialmente:
  • con el plugin oficial de WeChat instalado y alguna vez configurado;
  • con servidores accesibles desde Internet sin filtrado adicional ni Web Application Firewall.
• Recursos en China y Hong Kong, donde se concentra la mayoría de las instalaciones de MetInfo y donde se ha registrado el principal flujo de actividad hostil.

Posibles consecuencias de una explotación exitosa

La ejecución remota de código arbitrario en un servidor PHP otorga al atacante capacidades prácticamente ilimitadas:

• Toma total del sitio: modificación de contenido, páginas de phishing, inserción de formularios de pago fraudulentos.
• Robo de datos: filtración del contenido de bases de datos (cuentas, pedidos, datos personales de clientes, documentos internos).
• Despliegue de código malicioso adicional: instalación de web-shell, proxys, participación en botnets, ataques posteriores a la red interna.
• Daño reputacional y legal: si el sitio da servicio a clientes o ciudadanos, la brecha puede acarrear reclamaciones de reguladores y socios.

Dado el carácter no autenticado del ataque y la existencia de escaneos automatizados, cualquier instalación pública de MetInfo no actualizada con la funcionalidad WeChat habilitada debe considerarse potencialmente ya comprometida.

Recomendaciones prácticas de protección

1. Actualización inmediata de MetInfo

1. Determine la versión actual de MetInfo CMS (en el panel de administración o mediante los archivos de versión).
2. Contrástela con la información de la NVD sobre CVE-2026-29014 y la documentación oficial de MetInfo para asegurarse de que su versión se incluye entre las vulnerables.
3. Instale los parches publicados el 7 de abril de 2026 o actualice a la versión segura más reciente disponible.

Prioridad: urgente (en las próximas horas para sistemas públicos, como máximo en 24 horas).

2. Comprobación de las condiciones de explotación

Incluso después de actualizar es necesario evaluar si la vulnerabilidad pudo haberse utilizado con anterioridad:

• Compruebe la existencia del directorio /cache/weixin/ en el servidor:
  • si el directorio existe pero usted no utiliza conscientemente la integración con WeChat, aumenta el riesgo de explotación inadvertida;
• Revise los registros del servidor web (access y error) en busca de:
  • peticiones sospechosas a rutas relacionadas con /weixin/ o weixinreply.class.php;
  • peticiones POST anómalas con construcciones PHP incrustadas.

3. Búsqueda de indicios de compromiso

Céntrese en los signos de actividad posterior a la explotación:

• Búsqueda de archivos PHP nuevos o modificados en:
  • el directorio /cache/weixin/;
  • directorios con permisos de escritura para el servidor web.
• Comprobación de la existencia de web-shell (archivos no estándar de pequeño tamaño, con nombres desconocidos, incluidos los que se camuflan como archivos de sistema).
• Análisis de las conexiones salientes del servidor en busca de direcciones desconocidas y tráfico inusual.
• Revisión de los registros del sistema en busca de cuentas nuevas, cambios en los privilegios de acceso e intentos de acceso a la base de datos fuera de los patrones habituales.

Si hay motivos para creer que la explotación ya se ha producido, resulta razonable considerar el sistema como comprometido: pasar a modo de respuesta a incidentes, llevar a cabo un análisis forense y, si es necesario, realizar una reinstalación completa con restauración desde una copia de seguridad de confianza.

4. Limitación de la superficie de ataque

Incluso después de aplicar el parche conviene reducir la probabilidad de futuras explotaciones web:

• Coloque MetInfo detrás de un proxy inverso y active reglas de Web Application Firewall para bloquear inyecciones típicas de PHP y parámetros sospechosos.
• Limite el acceso al panel de administración por direcciones IP o mediante VPN.
• Elimine o desactive los plugins no utilizados, incluido WeChat si no es necesario para el negocio.
• Actualice con regularidad la CMS, los plugins y las bibliotecas dependientes, evitando la acumulación de vulnerabilidades.

5. Priorización dentro de la gestión global de vulnerabilidades

CVE-2026-29014 debe asignarse a la máxima prioridad:

• Tipo de vulnerabilidad: ejecución remota de código.
• Privilegios requeridos: no se requiere autenticación.
• Existencia de exploit: explotación confirmada en entornos reales.

Dentro del proceso de gestión de vulnerabilidades es lógico clasificar todos los sitios públicos basados en MetInfo en la categoría de «respuesta inmediata» al mismo nivel que otras plataformas web críticas.

Conclusión clave: los propietarios de MetInfo CMS versiones 7.9, 8.0 y 8.1 deben instalar en el menor plazo posible los parches del 7 de abril de 2026, comprobar la existencia y el estado del directorio /cache/weixin/, analizar los registros y el sistema de archivos en busca de signos de explotación de CVE-2026-29014 y, en caso de detectar anomalías, llevar a cabo una investigación completa del incidente seguida de una restauración desde una copia de seguridad de confianza.