Kiteworks corrige una vulnerabilidad de inyección de código de máxima gravedad en EPG

Kiteworks ha publicado actualizaciones de seguridad para corregir 126 vulnerabilidades, entre ellas una falla de máxima gravedad en Email Protection Gateway (EPG). EPG forma parte de Private Content Network (PCN), la plataforma de la empresa que integra correo electrónico corporativo, Managed File Transfer (MFT), intercambio de archivos, API y formularios web.

La vulnerabilidad, identificada como CVE-2026-54154, podría permitir que un atacante remoto sin privilegios ejecute código y tome el control de un dispositivo EPG objetivo. La cadena de ataque descrita combina traversal de rutas, inyección de código y falta de autenticación, y no requiere interacción del usuario. Kiteworks indicó que la falla se notificó a través de su programa de recompensas por errores en YesWeHack.

La vulnerabilidad afecta a las versiones de EPG anteriores a la 9.4.1. Kiteworks afirma que está corregida en la versión 9.4.1 y posteriores. La empresa también corrigió 11 vulnerabilidades críticas en los componentes Core y EPG relacionadas con la omisión de autenticación, la toma de control de cuentas de administrador, el cross-site scripting almacenado (XSS), controles de acceso inadecuados y autenticación incorrecta.

En un aviso publicado el miércoles, Kiteworks señaló que fallas en el manejo de entradas de puntos de acceso públicos podían permitir la ejecución de código arbitrario y, al combinarse con otras debilidades locales, la escalada hasta el control root.

La semana pasada, la empresa pidió a sus clientes que apagaran sus servidores tras recibir información de amenazas sobre un posible ciberataque de día cero inminente. Kiteworks levantó la medida preventiva el lunes, después de corregir una vulnerabilidad crítica y volver a poner en línea los sistemas alojados de sus clientes. La empresa afirmó que no encontró indicios de intrusión ni actividad sospechosa. No ha compartido más detalles sobre aquella vulnerabilidad ni le ha asignado un identificador CVE.

Shadowserver sigue la pista de casi 400 instancias de Kiteworks expuestas a internet, pero no indica cuántas están parcheadas ni cuántas son honeypots.