Un fallo crítico en el servicio web de Metasploit Framework permite robar o borrar credenciales sin autenticación
La API REST del servicio web de Metasploit Framework (msf-ws) no comprueba la autenticación en dos rutas del almacén de credenciales, lo que permite a cualquiera con acceso de red leer, modificar o eliminar contraseñas, hashes y claves privadas. Afecta a todas las versiones hasta la 6.5.4 y está corregido en la 6.5.5.
Qué ha pasado
Se ha publicado la vulnerabilidad CVE-2026-87689, con una puntuación CVSS de 9,8 sobre 10 (crítica), que afecta al servicio web de Metasploit Framework (msf-ws), la herramienta de pruebas de intrusión de Rapid7.
Según la descripción publicada, la API REST expone el almacén de credenciales a través del componente CredentialServlet. Todas las rutas de ese servlet verifican la identidad del cliente antes de procesar la petición, salvo dos: las operaciones de actualización (PUT) y de borrado (DELETE) sobre /api/v1/credentials, que omiten por completo esa comprobación. Esas rutas llaman directamente a la capa de base de datos, que tampoco realiza ninguna validación de permisos por su cuenta.
El resultado es que cualquier cliente capaz de alcanzar el servicio web —que por defecto escucha en 0.0.0.0:8080, es decir, en todas las interfaces de red— puede leer, modificar o eliminar de forma permanente cualquier registro de credenciales almacenado, incluidas contraseñas, hashes y claves privadas guardadas durante un trabajo compartido por un equipo, sin presentar ninguna credencial.
A quién afecta
El problema afecta a todas las versiones publicadas de Metasploit Framework hasta la 6.5.4 incluida, siempre que se utilice el servicio web msf-ws.
El riesgo es especialmente alto en equipos de seguridad ofensiva (red team, auditorías, pentesting) que comparten una instancia de Metasploit, porque el almacén de credenciales suele contener material de acceso real de los clientes auditados. Su robo o manipulación tendría impacto directo sobre terceros, además de consecuencias legales y contractuales.
- Metasploit Framework, todas las versiones hasta la 6.5.4 incluida.
- Instalaciones con el servicio web (msf-ws) activo, sobre todo si está accesible desde la red interna o desde Internet.
Estado de la explotación
La vulnerabilidad no figura en el catálogo KEV de CISA, es decir, no consta explotación activa, y no se conoce ningún código de explotación público. FIRST todavía no ha asignado una puntuación EPSS a esta CVE.
Aun así, la gravedad es máxima: el ataque se realiza por red, sin autenticación ni interacción del usuario, y la lógica del fallo es sencilla de reproducir a partir de la descripción pública.
Qué hacer
La corrección ya está disponible. Según la publicación de la versión en el repositorio de Rapid7, la 6.5.5 soluciona el problema añadiendo la comprobación de autenticación como primera instrucción en ambos manejadores, igual que en el resto de rutas de la API.
- Actualizar Metasploit Framework a la versión 6.5.5 o posterior.
- Mientras se actualiza, no exponer msf-ws en 0.0.0.0: limitar la escucha a localhost o restringir el acceso al puerto 8080 mediante cortafuegos o listas de control de acceso.
- Revisar si el servicio web ha estado accesible desde redes no confiables y, en caso afirmativo, revisar los registros en busca de peticiones PUT o DELETE a /api/v1/credentials.
- Si se sospecha de acceso indebido, considerar comprometidas las credenciales almacenadas y rotarlas con los clientes o sistemas afectados.
- Verificar la integridad del almacén de credenciales: el fallo permite también modificar o borrar registros, no solo leerlos.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-87689 | Crítica (9.8) | — | 12/10/2026 | Pendiente de análisis |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.