Forocoches ha corregido una vulnerabilidad que permitía a un tercero obtener información de los visitantes sin que estos hicieran nada especial. Bastaba con abrir un hilo donde se hubiera publicado un comentario manipulado para que el navegador de la víctima enviara datos a un servidor ajeno al foro. El fallo está catalogado con severidad alta y ya no se puede explotar, según el INCIBE. Forocoches es el foro más grande de habla hispana en todo el mundo, por lo que cualquier fallo de seguridad puede tener graves consecuencias en términos de seguridad.
El INCIBE ha comunicado en una nota publicada hace unos minutos que el foro habría tenido una grave brecha de seguridad que podría haber expuesto los datos de todos sus usuarios. Lo peor de todo es que el mecanismo resultaba especialmente sencillo de explotar. Un grave fallo de seguridad El aviso lleva el identificador INCIBE-2026-815, está marcado con importancia alta y le asigna una puntuación de 8,2 sobre 10 al problema, dada las consecuencias que podría haber tenido. El ataque se apoyaba en una imagen.
Un usuario malintencionado insertaba en un comentario una imagen alojada en un servidor propio y dejaba el mensaje publicado en un hilo con movimiento. Desde ese momento, cada persona que abría la conversación cargaba esa imagen sin saberlo y su navegador realizaba una petición al servidor del atacante. Esa petición es la que dejaba rastro. Al recibirla, el servidor anotaba la dirección IP de origen, la identificación del navegador y del sistema operativo, la fecha y hora exacta del acceso y otros metadatos de la consulta.
El atacante no necesitaba entrar en el foro ni acceder a su base de datos para quedarse con esa información. Por tanto, todo se hacía en segundo plano sin que nadie se enterase. Se trata de una técnica que se conoce desde hace muchos años, y que se apoya en algo tan habitual como incrustar una imagen en un mensaje. Esta suele ser la razón por la que las plataformas grandes limitan el alojamiento a sus propios servidores o filtran las direcciones que llegan de fuera, una medida que corta de raíz este tipo de amenazas de seguridad.
Qué datos quedaban expuestos Como siempre ocurre en este tipo de ataques. Lo más importante es conocer exactamente el alcance de la brecha de seguridad, puesto que es importante saber qué datos quedaban expuestos. El primero es la dirección IP pública, que identifica la conexión y permite situarla de forma aproximada en una ciudad o una zona. No revela el domicilio exacto, pero acota mucho el círculo, y si se repite en varios hilos sirve para construir un perfil.
El segundo es el agente de usuario, el texto con el que el navegador se identifica ante cada web. Ahí aparecen el sistema operativo, el navegador y su versión. A eso se suman los metadatos de cada carga, como la hora y el número de veces que se solicita la imagen. Con ese conjunto, alguien interesado en identificar a un usuario concreto puede correlacionar visitas y estrechar el cerco aunque no conozca su nombre ni su cuenta.
La brecha ya se ha solucionado La vulnerabilidad tiene asignado el código CVE-2026-14467 y la firma Miguel Jiménez Cámara, el investigador que la detectó y la comunicó. El INCIBE se ha encargado de coordinar todos los trabajos de reparación de dicha brecha para que no pueda continuar siendo explotada. El equipo de Forocoches ya ha tapado la brecha. La ficha no detalla la solución técnica aplicada, por lo que se desconoce el tipo de trabajo realizado.
No obstante, confirma que no habría sido explotada.
