Una vulnerabilidad crítica en AnyDesk permite ejecutar código de forma remota sin autenticación
AnyDesk ha corregido en la versión 8.0.3 un fallo crítico (CVE-2026-109390, CVSS 9.8) que permite a un atacante remoto no autenticado ejecutar código arbitrario, con demostración en Linux obteniendo permisos de root sin que la víctima acepte el control del escritorio.
Qué ha pasado
El 12 de octubre de 2026 se ha publicado la CVE-2026-109390, una vulnerabilidad crítica en AnyDesk con una puntuación CVSS de 9.8 sobre 10. El fallo afecta a las versiones anteriores a la 8.0.3.
Según la descripción publicada en NVD, el problema reside en el manejador de paquetes de flujo del modo 5 del protocolo de sesión, donde no se valida correctamente un valor de longitud del contenido recibido. Esto provoca un desbordamiento de memoria dinámica (heap) que un atacante remoto puede aprovechar para ejecutar código arbitrario.
El escenario más preocupante es que el ataque no requiere autenticación ni interacción del usuario: se ha demostrado en Linux la ejecución de comandos como root sin que la víctima llegue a aprobar la solicitud de control del escritorio.
A quién afecta
Afecta a las instalaciones de AnyDesk anteriores a la versión 8.0.3. El impacto demostrado se ha documentado en Linux, aunque la descripción del fallo apunta al protocolo de sesión del producto.
El riesgo es especialmente alto en equipos con AnyDesk accesible desde Internet o desde redes poco segmentadas, y en servidores o estaciones de trabajo utilizados para soporte remoto y administración.
- AnyDesk en versiones anteriores a 8.0.3.
- Equipos Linux con AnyDesk escuchando conexiones entrantes (caso demostrado).
- Entornos de soporte remoto con el cliente expuesto a redes no confiables.
Estado de la explotación
La vulnerabilidad no figura por ahora en el catálogo KEV de CISA, es decir, no hay explotación activa confirmada, y no se conoce ningún exploit público plenamente funcional. Entre las referencias recogidas por NVD figura un repositorio público de pruebas de concepto; no está verificado y no puede darse por hecho que funcione, pero conviene asumir que la información técnica está disponible para terceros.
FIRST todavía no ha asignado una puntuación EPSS a esta CVE, por lo que no existe una estimación de probabilidad de explotación a corto plazo. Dado el CVSS de 9.8 y el carácter remoto y sin autenticación del fallo, la prudencia aconseja tratarlo como de alta prioridad.
Qué hacer
La medida principal es actualizar AnyDesk a la versión 8.0.3 o superior en todos los equipos del parque. Mientras se despliega la actualización, conviene reducir la exposición del servicio y vigilar los accesos remotos.
- Inventariar todas las instalaciones de AnyDesk, incluidas las que no estén gestionadas por TI, y comprobar la versión instalada.
- Actualizar a AnyDesk 8.0.3 o posterior; consultar el registro de cambios del fabricante para la rama de Linux.
- Bloquear o restringir las conexiones entrantes a AnyDesk desde Internet mediante cortafuegos y limitar el acceso a redes o direcciones de confianza.
- Desinstalar AnyDesk en los equipos donde ya no sea necesario.
- Revisar registros y conexiones recientes en busca de sesiones no reconocidas, especialmente en servidores Linux.
- Si se usa la versión de empresa, reforzar listas de control de acceso y la contraseña de acceso desatendido.
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-109390 | Crítica (9.8) | — | 12/10/2026 | Pendiente de análisis |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.