CVE-2026-86274 permite bypass remoto en projeto-siga, plataforma usada por organismos públicos de Brasil, sin respuesta del proyecto tras divulgación temprana.
Una vulnerabilidad de severidad media en projeto-siga — sistema de gestión documental desarrollado originalmente por la Justicia Federal de Río de Janeiro y adoptado por múltiples organismos públicos brasileños — permite eludir controles de autorización en el flujo de autenticación. La falla, catalogada como CVE-2026-86274 por el National Vulnerability Database (NVD), afecta versiones hasta 11.0.2.10, 11.0.2.13 y 11.1.1, y ya cuenta con exploit público disponible. El proyecto fue notificado mediante un reporte de issue pero no ha emitido respuesta ni publicado parche hasta la fecha.
Cómo la manipulación de parámetros rompe el control de acceso
La vulnerabilidad reside en la función ExAutenticacaoController.autenticar, ubicada en el archivo sigaex/src/main/java/br/gov/jfrj/siga/vraptor/ExAutenticacaoController.java del componente Authentication Flow. Un atacante puede manipular los argumentos cod o jwt en las solicitudes de autenticación para provocar una condición de missing authorization — es decir, el sistema no valida correctamente si el usuario tiene permiso para acceder al recurso solicitado tras pasar la autenticación inicial.
Este tipo de falla se clasifica técnicamente como CWE-862 (Missing Authorization), distinta de un bypass de autenticación puro: el sistema puede verificar la identidad del usuario, pero falla en comprobar si esa identidad tiene autorización para ejecutar la acción o acceder al documento específico. En un sistema de gestión documental gubernamental, donde el control de acceso granular a expedientes es crítico, esta distinción es operativamente irrelevante — el resultado práctico es acceso no autorizado a información sensible.
El ataque puede ejecutarse de forma remota, sin requerir acceso previo al sistema ni interacción del usuario legítimo. La divulgación pública del exploit reduce el umbral técnico para su explotación: cualquier actor con conocimientos básicos de manipulación de parámetros HTTP puede intentar el ataque contra instancias expuestas.
Por qué un MEDIUM del NVD no refleja el riesgo en contexto gubernamental
El NVD asigna severidad MEDIUM a CVE-2026-86274, una calificación que en el sistema CVSS típicamente corresponde a puntajes entre 4.0 y 6.9. Esta métrica evalúa la vulnerabilidad en abstracto — facilidad de explotación, alcance técnico, impacto en confidencialidad/integridad/disponibilidad — pero no pondera el contexto de uso. Para una plataforma que gestiona expedientes judiciales, procesos administrativos y documentación oficial de organismos públicos, el impacto real de acceso no autorizado a información clasificada o datos personales de ciudadanos puede ser significativamente mayor que el que sugiere una etiqueta genérica de severidad media.
La ausencia de respuesta del proyecto tras la notificación temprana agrava el panorama. Projeto-siga es software de código abierto mantenido por la comunidad, sin un equipo de seguridad dedicado con SLA de respuesta. Esto genera una ventana de exposición indefinida: las organizaciones que dependen del sistema no tienen parche disponible, y la divulgación pública del exploit invierte la ecuación de riesgo — ahora los atacantes tienen ventaja informativa sobre los defensores.
Exposición en organismos públicos brasileños y dependencia regional del mismo stack
Projeto-siga fue desarrollado inicialmente por la Justicia Federal de Río de Janeiro (JFRJ) y posteriormente adoptado por otros tribunales y organismos de la administración pública brasileña. Aunque no existe un censo público de todas las instancias en producción, la arquitectura del sistema — basada en Java con framework VRaptor — es común en el ecosistema de gobierno electrónico de Brasil, donde múltiples estados y municipios comparten componentes de software desarrollados por entidades federales.
Esta concentración tecnológica amplifica el impacto potencial: una vulnerabilidad en un componente ampliamente replicado se convierte en un vector de ataque escalable. Para América Latina, el caso ilustra un patrón estructural más amplio: la dependencia de plataformas de código abierto sin recursos suficientes para mantenimiento de seguridad. Brasil, Argentina, Colombia y Chile han adoptado estrategias de software libre en gobierno electrónico, pero la capacidad de respuesta ante vulnerabilidades varía drásticamente entre proyectos con respaldo institucional fuerte (como los de la Agência Nacional de Tecnologia da Informação de Brasil) y aquellos mantenidos por comunidades ad-hoc sin financiamiento específico para seguridad.
Qué pueden hacer las organizaciones afectadas sin parche oficial
Ante la ausencia de actualización de seguridad del proyecto, las organizaciones que operan instancias de projeto-siga enfrentan opciones limitadas. La medida más directa es restringir el acceso al componente Authentication Flow mediante controles perimetrales: limitar las direcciones IP que pueden alcanzar los endpoints de autenticación, implementar autenticación multifactor en una capa externa (reverse proxy o WAF) antes de que las solicitudes lleguen al código vulnerable, o desplegar reglas de firewall de aplicación web (WAF) que detecten patrones de manipulación de los parámetros cod y jwt.
Estas mitigaciones son paliativas, no correctivas — añaden fricción al ataque pero no eliminan la vulnerabilidad subyacente. Una organización con capacidad técnica interna podría intentar parchear el código directamente: la ubicación exacta de la función vulnerable está documentada en el CVE, lo que facilita la intervención. Sin embargo, esto requiere expertise en Java y conocimiento profundo de la arquitectura de projeto-siga para evitar introducir regresiones funcionales. Para organismos públicos sin equipos de desarrollo propios, esta opción no es viable.
Nuestro análisis
CVE-2026-86274 expone una tensión estructural en el modelo de software libre para gobierno electrónico en América Latina: la adopción de plataformas de código abierto reduce costos de licenciamiento y evita dependencia de proveedores comerciales, pero traslada el riesgo de mantenimiento de seguridad a organizaciones que frecuentemente carecen de capacidad técnica para asumirlo. Projeto-siga no es un caso aislado — es representativo de decenas de sistemas críticos en la región que operan bajo el mismo esquema: desarrollo inicial por una entidad pública, adopción por réplica en otras jurisdicciones, mantenimiento comunitario sin financiamiento específico para seguridad.
La divulgación pública del exploit antes de la disponibilidad de un parche invierte la ecuación de riesgo de forma deliberada: es una estrategia de presión para forzar respuesta del proyecto, pero en la práctica deja a las organizaciones usuarias en posición de máxima exposición. El silencio del proyecto tras la notificación temprana sugiere abandono o falta de recursos para gestionar el ciclo de vida de seguridad — un patrón que se repite en proyectos de gobierno electrónico que pierden momentum tras la fase de desarrollo inicial. ¿Cuántos sistemas críticos más en la región operan bajo esta misma lógica de riesgo heredado sin capacidad de respuesta?