Argo CD corrige un fallo crítico que permite saltarse las restricciones de AppProject mediante hooks de borrado
Una vulnerabilidad crítica en Argo CD (CVE-2026-77459, CVSS 9.9) permite a quien pueda escribir en el repositorio Git de una aplicación crear recursos prohibidos en el clúster al borrar esa aplicación. Afecta a las instalaciones desde la versión 2.10.0 que no se hayan actualizado a las versiones corregidas.
Qué ha pasado
Argo CD, la herramienta de despliegue continuo GitOps para Kubernetes, ha corregido la vulnerabilidad CVE-2026-77459, con una puntuación CVSS de 9.9 sobre 10. El fallo está en cómo se crean los hooks de borrado: Argo CD no les aplica los controles de destino y de autorización de recursos definidos en el AppProject, que sí se aplican en una sincronización normal.
En la práctica, un usuario con permiso de escritura en el repositorio Git de una aplicación puede incluir un hook dirigido a un espacio de nombres, servidor o tipo de recurso prohibido. Cuando la aplicación se elimina, el application-controller crea ese recurso con sus propias credenciales sobre el clúster de destino. El alcance queda limitado a los permisos del controlador, pero puede incluir recursos de ámbito de clúster y espacios de nombres no autorizados.
Según las notas de la versión v3.3.15 publicadas por Argo CD, el problema afecta a los hooks PreDelete y PostDelete; la descripción de NVD solo menciona PostDelete. Prevalece el aviso del fabricante. Los hooks PreSync, Sync, PostSync y SyncFail siguen aplicando los controles habituales.
A quién afecta
Según NVD, están afectadas las versiones de Argo CD desde la 2.10.0 hasta las siguientes versiones corregidas:
- Rama 3.3: corregido en 3.3.15
- Rama 3.4: corregido en 3.4.10
- Rama 3.5: corregido en 3.5.4
- Rama 3.6: corregido en 3.6.0-rc2
Estado de la explotación
Por ahora no consta en el catálogo KEV de CISA, es decir, no hay confirmación de explotación activa. Aun así, la gravedad es muy alta y el ataque solo requiere acceso de escritura a un repositorio Git, un permiso que en muchas organizaciones tienen numerosos desarrolladores.
Qué hacer
La medida principal es actualizar a la versión corregida de la rama que se utilice. Antes de hacerlo conviene revisar los cambios potencialmente incompatibles que el fabricante señala en la versión 3.3.15.
- Actualizar Argo CD a 3.3.15, 3.4.10, 3.5.4 o 3.6.0-rc2, según la rama.
- Revisar las notas de la versión: las compilaciones de Kustomize que renderizan charts de Helm ya no respetan helmGlobals.configHome y se rechazan los manifiestos OCI de más de 4 MiB.
- Mientras no se actualice, limitar quién puede escribir en los repositorios Git conectados a Argo CD y revisar los hooks PreDelete y PostDelete existentes.
- Revisar que los permisos del application-controller sobre los clústeres de destino sean los mínimos necesarios.
Contexto
La misma versión 3.3.15 incluye otras correcciones de seguridad, entre ellas varias críticas relacionadas con Kustomize y Jsonnet en el repo-server, una omisión del límite de intentos de inicio de sesión (CVE-2025-61560) y una inyección de comandos mediante la URL de proxy en repositorios Git por SSH (CVE-2026-55797). Es un motivo más para no retrasar la actualización.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-77459 | Crítica (9.9) | — | 13/10/2026 | Pendiente de análisis |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.