Ing. Calogero Bono
El 6 de noviembre de 2026, el CSIRT Italia, dentro de la Agencia para la Ciberseguridad Nacional, publicó la alerta AL04/261106 sobre Apache OFBiz. Apache Software Foundation ha publicado actualizaciones para numerosos fallos, de los cuales 7 tienen gravedad crítica y 21 gravedad alta. OFBiz es una plataforma open source de gestión empresarial, así que afecta a datos y procesos sensibles. Están involucradas todas las versiones anteriores a la 24.09.08.
Algunos términos, antes de entrar en los hechos. OFBiz es una plataforma open source con la que una empresa gestiona pedidos, almacén y contabilidad. CVE es el código que identifica una vulnerabilidad conocida. RCE (Remote Code Execution) permite ejecutar comandos en un sistema de forma remota. Authentication bypass significa eludir el control de acceso. CSIRT es el grupo que coordina la respuesta a incidentes informáticos.
¿Qué señaló la ACN sobre Apache OFBiz?
Según la alerta de la ACN, Apache Software Foundation ha corregido numerosas vulnerabilidades. Las más severas son 7 críticas y 21 altas, en total 28.
La alerta se publicó el 6 de noviembre de 2026 e indica como versiones afectadas todas las anteriores a la 24.09.08. La recomendación, en línea con el proveedor, es actualizar siguiendo el boletín de seguridad.
¿Qué tipo de fallos son?
La lista de tipologías es amplia.
- Escritura y lectura arbitraria de archivos
- Elusión de la autenticación y escalada de privilegios
- Ejecución remota de código
- Denegación de servicio y divulgación de información
- Suplantación, manipulación y alteración de datos
- Elusión de las restricciones de seguridad
Son categorías que afectan a accesos, datos y continuidad del servicio. El titular de la newsletter de The Hacker News menciona un RCE en OFBiz, pero en el texto disponible no hay detalles.
¿Por qué importa actualizar rápido?
Un análisis de unas 383.000 CVE, citado por The Hacker News, indica un tiempo mediano de corrección superior a un año para los equipos de red. Microsoft afirma que esa brecha es la ventana del atacante. No se refiere a OFBiz en particular, pero muestra el riesgo de los retrasos.
Microsoft añade que los atacantes se centran sobre todo en fallos que permiten tomar el control del sistema, como la ejecución remota de código, la escalada de privilegios y la elusión de la autenticación. Son tipologías presentes en la lista de OFBiz.
Sobre el tema de los boletines repetidos, hemos hablado también de Oracle E-Business Suite, donde los escaneos llegaron después del parche.
¿Cómo saber si estás expuesto?
Comprueba la versión de OFBiz que usas. Si es anterior a la 24.09.08, entra entre las indicadas. Después lee el boletín de seguridad de Apache citado por la ACN y planifica la actualización.
Si la plataforma funciona en un servidor que gestionas tú, importa también quién mantiene actualizado el sistema subyacente. Para quien quiera delegar, existen hosting y servidores gestionados con actualizaciones de seguridad. Para organizar el seguimiento de las CVE, puede serte útil nuestra guía sobre cómo monitorizar las CVE.
Límites que conviene conocer
La fuente oficial que hemos leído no enumera las CVE individuales en el texto disponible, ni indica si hay explotaciones activas. No sabemos cuáles de los fallos son accesibles sin autenticación. Estos detalles hay que buscarlos en el boletín de Apache, y podrían cambiar con nuevas actualizaciones de la alerta.
Qué cambia para quien trabaja con lo digital
Si tu empresa usa OFBiz, o un producto que lo incorpora, la actualización pasa a ser una prioridad. Verifica primero la versión y luego prueba el paso a la 24.09.08 en un entorno de pruebas, porque un sistema de gestión detenido cuesta dinero. Si tienes personalizaciones, comprueba que sigan funcionando. Este tipo de tarea recuerda la disciplina que vimos en el caso de Ubuntu y Red Hat con los parches del kernel. Quien no sepa si usa OFBiz debería preguntárselo a quien gestiona sus sistemas.
Nuestra opinión
Llama la atención el número, 28 fallos graves en un solo ciclo, más que la vulnerabilidad individual. En software open source de gestión empresarial, la seguridad depende de quien lo instala y lo actualiza, no del hecho de que el código sea público. Muchas pequeñas empresas ni siquiera saben que tienen componentes similares escondidos dentro de otros productos. La alerta de la ACN es útil, pero debería ir acompañada de indicaciones más concretas sobre las CVE.
Preguntas frecuentes
¿Qué versiones de Apache OFBiz son vulnerables?
Todas las anteriores a la 24.09.08. Así lo indica la alerta de la ACN. La versión corregida es, por tanto, la 24.09.08 o posteriores.
¿Cuántas vulnerabilidades se han corregido?
Numerosas, de las cuales 7 críticas y 21 altas. La alerta enumera solo las de gravedad crítica y alta.
¿Qué recomienda la ACN?
Actualizar los productos vulnerables. Hay que seguir las indicaciones del boletín de seguridad del proveedor, citado entre las referencias.
¿Hay ataques en curso?
En las fuentes que tenemos no consta. La alerta no habla de explotación activa, así que no podemos confirmarlo ni descartarlo.
¿Qué es OFBiz?
Es una plataforma open source para la gestión empresarial. Es una plataforma open source para la gestión empresarial.
Qué vigilar en las próximas semanas sobre OFBiz
El panorama puede cambiar con los detalles técnicos y las posibles confirmaciones de explotación. Conviene seguirlo con método.
- Lee el boletín de Apache y anota las CVE críticas que afectan a las funciones que usas.
- Comprueba si la ACN actualiza la alerta con nuevas versiones o indicaciones.
- Verifica si otros programas que usas incluyen OFBiz y pregunta a los proveedores la fecha de su parche.
