Progress Software reveló el 12 de octubre de 2026 31 vulnerabilidades en MarkLogic Server, entre ellas cinco fallos críticos que pueden permitir un control administrativo persistente, la ejecución de código del lado del servidor con privilegios elevados o el acceso más allá del ámbito asignado a un administrador delegado.
Las versiones afectadas son MarkLogic 11.x anteriores a 11.3.7 y 12.x anteriores a 12.1.0. Los clientes deben actualizar a 11.3.7 o 12.1.0; no existe una versión corregida rama 12.0. Según The Hacker News, Progress puso las correcciones a disposición el 10 de septiembre y clasificó cinco vulnerabilidades como críticas, 24 como altas y dos como medias.
Las versiones de seguridad de agosto, 11.3.6 y 12.0.3, siguen siendo vulnerables a este nuevo grupo de fallos.
Cinco vulnerabilidades críticas cruzan los límites de privilegios
Los problemas más graves requieren distintos niveles de acceso previo, pero varios convierten permisos delegados de alcance limitado en control sobre el entorno más amplio de MarkLogic.
| Vulnerabilidad | CVSS | Posición o acceso requerido | Consecuencia potencial |
|---|---|---|---|
| CVE-2026-85947 | 9.9 | Privilegios de gestión de forests | Creación de una cuenta de administrador no autorizada y persistente |
| CVE-2026-85948 | 9.9 | Privilegios de nivel manage-user | Control administrativo persistente mediante inyección de XQuery en una ruta de paquete obsoleta de la API de gestión |
| CVE-2026-85955 | 9.9 | Acceso de ejecución de consultas y la capacidad de evaluación correspondiente | Ejecución de código del lado del servidor con permisos elevados |
| CVE-2026-85956 | 9.6 | Privilegios delegados de administrador de bases de datos | Copia de seguridad o restauración de forests fuera del ámbito autorizado de la base de datos |
| CVE-2026-9191 | 9.6 | Capacidad de ejecutar código a través de rutas REST o XDBC afectadas | Acciones no autorizadas o compromiso de una sesión autenticada |
El registro del CVE Program para CVE-2026-85947 clasifica el problema como gestión inadecuada de privilegios bajo CWE-269. Una cuenta remota con derechos de gestión de forests puede abusar de las operaciones afectadas para crear una cuenta de administrador que persiste, lo que podría dar lugar a un control administrativo completo. Su vector CVSS 3.1 es CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
El registro atribuye a rexnets, a través de Bugcrowd, el reporte de CVE-2026-85947. Ese mismo investigador aparece también en el reporte de CVE-2026-85948 y CVE-2026-85956, mientras que a WaltWhitehat se le atribuye CVE-2026-9191.
Otro problema de gravedad alta, CVE-2026-85954, tiene una puntuación CVSS de 8.6. Implica que valores controlados por el usuario, proporcionados a ciertas funciones XQuery de orden superior, se evalúan en un contexto de seguridad elevado, lo que permite que los privilegios superen los asignados al atacante.
La autenticación, la nube y el registro dependen de la configuración
Varias otras vulnerabilidades solo son relevantes cuando se usan métodos de autenticación, plataformas en la nube o componentes heredados concretos.
En despliegues con SAML, CVE-2026-85962 podría permitir que un atacante remoto no autenticado haga que MarkLogic acepte una aserción que debería rechazar. MarkLogic 11.x anterior a 11.3.7 también se ve afectado por CVE-2026-85957, en el que el analizador SAML puede procesar DTD o entidades externas, lo que podría provocar acceso de red no previsto o divulgación de información.
CVE-2026-85958 afecta a tokens OAuth que el servidor no debería aceptar. La corrección añade la validación de emisor y audiencia para Ping Identity y otras configuraciones OAuth. CVE-2026-85972 afecta a configuraciones de Kerberos basadas en contraseña y puede permitir que un atacante con una posición de red adecuada suplante el servicio de autenticación Kerberos.
Entre los problemas relacionados con la nube se incluyen CVE-2026-85951 en Azure y CVE-2026-85952 en despliegues en la nube basados en Linux, donde un atacante autenticado podría alcanzar servicios internos de la nube y obtener credenciales de la nube. Con determinadas configuraciones de registro afectadas, CVE-2026-85949 y CVE-2026-85961, específica de Azure, podrían exponer información sensible para la seguridad en los registros de diagnóstico. Las notas de actualización informan que las claves secretas de AWS y los tokens de sesión se escribían en texto plano cuando estaba habilitada la ruta de trazado IAM afectada.
Otros fallos afectan a Query Console, a la conectividad con Amazon S3, a los registros de auditoría y a componentes obsoletos. CVE-2026-85959 es especialmente relevante para la respuesta a incidentes, porque los inicios de sesión correctos no siempre se escribían en el registro de auditoría, lo que, según Progress, puede dificultar la detección y la investigación de accesos no autorizados o del uso indebido de credenciales.
La actualización cambia el comportamiento de seguridad y la compatibilidad
MarkLogic 11.3.7 es la versión corregida de la línea de soporte a largo plazo. Los usuarios de MarkLogic 12 deben pasar a 12.1.0, que no es una actualización solo de seguridad de la rama 12.0 y que además introduce nuevas funciones y cambios de comportamiento.
Los administradores deben tener en cuenta estos cambios documentados:
- Las versiones antiguas de MarkLogic Content Pump pueden fallar contra los servidores corregidos con un error XDMP-ISOLATED. Progress recomienda mlcp 11.3.7 o 12.1.0. Como alternativa, las versiones antiguas pueden usar
-restrict_hostscon el valortrue, con un posible coste de rendimiento. - La API
/manage/v2/packages, InfoStudio y OpsDirector se han eliminado. - El procesamiento de entidades externas XML está deshabilitado por defecto.
- Las conexiones a Amazon S3 usan HTTPS por defecto.
- Los archivos ErrorLog.txt y AuditLog.txt nuevos o rotados usan el modo 0640, en lugar de 0666. Los archivos existentes conservan sus permisos anteriores hasta que se roten o se vuelvan a crear.
xdmp:eval-in()ahora requiere tanto xdmp-eval-in como xdmp-eval.- Los permisos para adjuntar, respaldar y restaurar forests se comprueban frente a cada forest y base de datos implicada.
- Leer cabeceras Authorization requiere un nuevo privilegio que no se asigna a ningún rol predefinido.
- MarkLogic 11.3.7 no es compatible con Amazon Linux 2.
- La corrección de Kerberos requiere un keytab. Sin él, MarkLogic registra una advertencia y omite la nueva comprobación.
La orientación de actualización informada por Progress también recomienda revisar los privilegios delegados sobre forests y bases de datos y auditar los roles que tienen xdmp-eval-in. Los clientes deben probar sus aplicaciones por si hay cambios en los accesos: la corrección de CVE-2026-85954 puede eliminar privilegios que los usuarios tenían antes porque ese acceso se había concedido incorrectamente.
Aplicar el parche y después revisar el acceso persistente
Los registros CVE citados y las notas de actualización no indican si alguna de las 31 vulnerabilidades ha sido explotada. Ninguna aparecía en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA al comprobarlo el 13 de octubre de 2026, por lo que en ese momento no se aplicaba ningún plazo de remediación KEV. Ese estado no reduce el impacto de las rutas de escalada de privilegios en entornos expuestos, multiusuario o con administración delegada.
El reporte tampoco identifica ninguna solución alternativa para las organizaciones que no puedan actualizar de inmediato. Los operadores deben priorizar 11.3.7 o 12.1.0, inventariar las cuentas con permisos delegados sobre forests, bases de datos, ejecución de consultas y gestión, y revisar si se han añadido cuentas de administrador no autorizadas.
La información disponible no permite afirmar que instalar la actualización elimine una cuenta de administrador creada previamente mediante CVE-2026-85947. Por eso, cuando se sospeche de un compromiso, la aplicación del parche debe ir acompañada de una revisión separada de cuentas, roles, credenciales y los datos de auditoría pertinentes.
