**Vulnerabilidades Críticas en Campus Educativa: Un Llamado a la Conciencia en Ciberseguridad**
En un mundo cada vez más digitalizado, donde la educación online está en constante crecimiento, la seguridad de las plataformas que gestionan la formación y los datos de los usuarios es de suma importancia. Recientemente, el Instituto Nacional de Ciberseguridad (INCIBE) ha hecho pública la existencia de dos vulnerabilidades significativas en el software Campus Educativa, específicamente en su versión 14.05.00-35. Esta herramienta, utilizada por empresas para automatizar la formación y gestionar la venta de cursos, ha sido objeto de atención debido a la gravedad de las vulnerabilidades reportadas, que son especialmente preocupantes dado el volumen de datos personales que maneja. Afecta no solo a las instituciones educativas y empresas que utilizan esta plataforma, sino también a los propios usuarios cuyas informaciones podrían estar en riesgo.
Las vulnerabilidades han sido identificadas por el investigador Rubén Álvarez Elena, quien ha proporcionado un análisis exhaustivo que ha llevado a la asignación de los siguientes códigos de vulnerabilidad: CVE-2026-3110 y CVE-2026-3111. Según el sistema de puntuación CVSS v4.0, la primera posee una severidad alta con una puntuación de 8.7, mientras que la segunda se clasifica como de severidad media, con una puntuación de 6.9. Ambas vulnerabilidades están catalogadas bajo el mismo tipo, CWE-284, que se refiere a la "Referencia Directa a Objetos Inseguros" (IDOR, por sus siglas en inglés), un problema que permite a los atacantes acceder a recursos no autorizados mediante la manipulación de URLs.
La primera vulnerabilidad, CVE-2026-3110, se encuentra en el endpoint '/administracion/admin_usuarios.cgi?filtro_estado=T&wAccion=listado_xlsx&wBuscar=&wFiltrar=&wOrden=alta_usuario&wid_cursoActual=[ID]'. Este punto de acceso permite exportar los datos de los usuarios inscritos en un curso. La explotación de esta vulnerabilidad podría permitir a un atacante no autenticado acceder a datos sensibles, como nombres de usuario, apellidos, direcciones de correo electrónico y números de teléfono. Al manipular la URL y realizar un ataque de fuerza bruta sobre el ID del curso, un atacante podría obtener la información de todos los usuarios inscritos, poniendo en grave riesgo la privacidad y la seguridad de los datos personales.
Por otro lado, la vulnerabilidad CVE-2026-3111 se presenta en el endpoint '/archivos/usuarios/[ID]/[nombre de usuario]/thumb_AAxAA.jpg', que permite acceder a las fotos de perfil de los usuarios. Al igual que en el caso anterior, un atacante no autenticado podría acceder a estas imágenes simplemente manipulando la URL. La posibilidad de recopilar masivamente fotos de perfil abre la puerta a múltiples escenarios de abuso, como la suplantación de identidad, la ingeniería social y el reconocimiento facial que podría vincular identidades en distintas plataformas. En el peor de los casos, esta información podría utilizarse para llevar a cabo ataques más sofisticados como el doxxing, donde se expone información privada con la intención de dañar a la víctima.
El equipo de Educativa ha reaccionado a estas vulnerabilidades, lanzando una actualización en la versión 14.05.00-159 y posteriores, que soluciona los problemas detectados. Sin embargo, es crucial que tanto las empresas como los usuarios se mantengan informados sobre la importancia de aplicar actualizaciones de seguridad de forma regular y de seguir buenas prácticas de ciberseguridad.
El impacto de estas vulnerabilidades es considerable, no solo en términos de la seguridad de los datos, sino también en la confianza que los usuarios depositan en las plataformas de e-learning. Este tipo de incidentes puede llevar a la pérdida de clientes, daños a la reputación de la empresa y, en ocasiones, sanciones regulatorias. La educación y la concienciación sobre ciberseguridad son esenciales en este contexto, tanto para las instituciones que utilizan estas plataformas como para los usuarios que confían en ellas para su formación.
Históricamente, este no es un incidente aislado. La industria de la educación online ha visto un aumento en las vulnerabilidades a lo largo de los años, especialmente en el contexto de la pandemia de COVID-19, que aceleró la adopción de plataformas digitales. Incidentes anteriores han demostrado que la falta de medidas de seguridad adecuadas puede llevar a brechas de datos significativas, afectando a miles de usuarios.
Para mitigar el riesgo de este tipo de vulnerabilidades, se recomienda a las organizaciones que realicen auditorías de seguridad de sus sistemas y que implementen controles robustos de acceso y autenticación. Además, es esencial que los usuarios estén al tanto de las actualizaciones de software y que utilicen contraseñas fuertes y únicas para proteger sus cuentas. La adopción de políticas de seguridad más estrictas y la educación continua sobre ciberseguridad son cruciales para prevenir incidentes futuros y proteger tanto a las instituciones como a los usuarios en el ecosistema del aprendizaje digital.
