En los últimos días, el ámbito de la ciberseguridad ha sido sacudido por la detección de una vulnerabilidad crítica en el software Hermes WebUI, identificada como CVE-2026-58123. Con una puntuación de 9.8 sobre 10 en la escala de gravedad del Common Vulnerability Scoring System (CVSS), esta vulnerabilidad representa un riesgo considerable para los sistemas que utilizan esta interfaz de usuario web, la cual es comúnmente implementada en entornos empresariales para la gestión de aplicaciones. La naturaleza crítica de esta vulnerabilidad afecta tanto a empresas que dependen de esta herramienta como a los usuarios que interactúan con ella, haciendo que la atención inmediata de los equipos de seguridad sea no solo recomendable, sino esencial.
Desde un punto de vista técnico, la vulnerabilidad en cuestión permite la ejecución remota de código sin necesidad de autenticación, lo que significa que un atacante podría ejecutar comandos arbitrarios en el sistema afectado. Esto se lleva a cabo a través del acceso a los endpoints de la API del terminal integrado en Hermes WebUI, lo que permite a los atacantes crear una sesión, adjuntar un shell virtual (PTY) y enviar comandos a través del endpoint de entrada del terminal. Para lograr la ejecución total de comandos, el atacante solo necesita realizar cuatro solicitudes HTTP no autenticadas de manera secuencial. Esta forma de explotación resalta no solo la gravedad del problema, sino también la facilidad con la que puede ser aprovechada por un atacante con conocimientos técnicos básicos.
La vulnerabilidad ha sido clasificada bajo CWE-306, lo que indica que se trata de una debilidad relacionada con la falta de control de acceso adecuado, permitiendo que usuarios no autorizados accedan a funcionalidades críticas del software. Según el análisis del vector de ataque, se ha determinado que el vector es de tipo NETWORK, con una complejidad de ataque baja y sin requerimientos de privilegios o interacción del usuario. Esto significa que cualquier atacante que tenga acceso a la red podría potencialmente explotar esta vulnerabilidad sin necesidad de privilegios adicionales o intervención de la víctima.
La alta puntuación de 9.8 en el CVSS sitúa a esta vulnerabilidad en la categoría crítica, lo que indica que tiene el potencial de causar un daño significativo a los sistemas afectados. Las vulnerabilidades que superan la puntuación de 9.0 suelen permitir la ejecución remota de código, la escalada de privilegios o el compromiso total del sistema, lo cual podría resultar en la pérdida de datos, interrupciones en el servicio y daños a la reputación de las organizaciones afectadas.
Para aquellos administradores de sistemas que utilizan Hermes WebUI, existen parches de seguridad disponibles que deben ser aplicados de inmediato para mitigar este riesgo. Los detalles técnicos y los enlaces a los parches pueden ser consultados en los siguientes enlaces: [Commit de Github](https://github.com/nesquena/hermes-webui/commit/d257e5f36cfa9328600c8bde6f0de09a6ad9b6f4), [Pull Request de Github](https://github.com/nesquena/hermes-webui/pull/5268), y [Lanzamiento de Github](https://github.com/nesquena/hermes-webui/releases/tag/v0.51.788).
Adicionalmente, se recomienda que todas las organizaciones que implementen este software revisen sus sistemas en busca de indicadores de compromiso, así como que monitoricen el tráfico de red para detectar cualquier actividad sospechosa relacionada con esta vulnerabilidad. La situación actual subraya la importancia de mantener prácticas de ciberseguridad robustas y actualizadas para proteger tanto los activos digitales de las organizaciones como los datos de sus usuarios. Este incidente se suma a una larga lista de vulnerabilidades críticas en el software que han puesto de manifiesto la necesidad de una vigilancia constante en el ámbito de la ciberseguridad.