Aviso de CISA: Vulnerabilidad de inyección de comandos del sistema operativo en ZoneMinder (CVE-2026-76060)

CISA publicó un aviso de ciberseguridad el 25 de agosto de 2026, detallando una vulnerabilidad de alta gravedad (CVE-2026-76060) en ZoneMinder, un software de videovigilancia de código abierto. La vulnerabilidad es una inyección de comandos del sistema operativo autenticada en la funcionalidad de exportación de eventos, donde el parámetro HTTP 'exportFile' se pasa sin sanitizar a un comando shell ejecutado mediante la función exec() de PHP. Un usuario autenticado con el permiso 'View Events' puede ejecutar comandos arbitrarios del sistema operativo en el servidor, lo que potencialmente conduce a la ejecución remota completa de código como el usuario del servidor web. Las versiones afectadas son ZoneMinder 1.37.48 y 1.38.3. La puntuación base CVSS es 8.8 (Alta) según CVSS v3.1 y 8.7 según v4.0. CISA descubrió una prueba de concepto pública escrita por 'Scriptkittens' y la informó a ZoneMinder. El proveedor recomienda actualizar a la versión 1.38.3 o posterior. No se ha informado a CISA de ninguna explotación pública conocida en este momento. CISA aconseja a los usuarios minimizar la exposición de red, usar cortafuegos y aplicar los parches del proveedor.