Wazuh Manager ha corregido una vulnerabilidad que permite ejecutar comandos como root, la cuenta con máximos privilegios del sistema, a un usuario autenticado con permiso para actualizar su configuración. El fallo, identificado como CVE-2026-74041, afecta a las versiones desde la 4.14.3 inclusive hasta las anteriores a la 4.14.8. INCIBE recomienda actualizar a la versión 4.14.8 o posterior.
INCIBE publicó la alerta INCIBE-2026-753 el 16 de octubre de 2026 y le asignó importancia 5, crítica. El atacante necesita credenciales y el permiso manager:update_config: el aviso no describe una ejecución remota abierta a cualquier persona sin autenticación. Aunque INCIBE indica «Explotación: No», esa anotación no demuestra que el fallo sea imposible de explotar.
Una discrepancia al leer la configuración
La ficha de seguridad de Wazuh, publicada el 13 de octubre, sitúa el problema en cómo dos componentes interpretan el archivo ossec.conf. El validador distingue entre mayúsculas y minúsculas al comprobar el nombre del elemento XML log_format; el componente que recoge los registros, wazuh-logcollector, lo interpreta sin esa distinción.
Así, una etiqueta escrita como LOG_FORMAT puede pasar inadvertida para la comprobación y ser reconocida después por el colector. Esa discrepancia permite eludir la restricción de comandos remotos. Wazuh precisa que la variación afecta al nombre de la etiqueta XML: el valor full_command debe permanecer en minúsculas para que el colector lo reconozca.
La ejecución se produce al recargar el servicio. La vía descrita utiliza la API REST, la interfaz para enviar solicitudes al gestor, y no requiere una clave de clúster. Wazuh indica que el reinicio del gestor también puede solicitarse mediante esa API. Las notas de la versión 4.14.8 documentan la corrección de esta vía para eludir la restricción de comandos remotos.
