Protege tu Sistema: Mitigando la CVE-2026-91997 en la Evolution API

La vulnerabilidad CVE-2026-91997 impacta directamente a los equipos de desarrollo y operaciones que utilizan la Evolution API en entornos productivos. Esta falla permite la ejecución remota de código a través de un endpoint no autenticado, poniendo en riesgo la integridad de los sistemas integrados y de los datos procesados. En esta guía, Hcode presenta una explicación técnica detallada del problema, orientaciones prácticas de actualización y ejemplos para proteger su aplicación de forma asertiva, sin alarmismos, pero con el rigor necesario para entornos críticos.

Entendiendo la CVE-2026-91997 en la Evolution API

La CVE-2026-91997 se refiere a una vulnerabilidad descubierta en la Evolution API, especialmente relevante para quienes utilizan el recurso para integrar chatbots a flujos de automatización. El problema fue identificado en la versión 2.3.5 y ocurre por la exposición de un endpoint crítico sin autenticación, permitiendo que cualquier persona envíe solicitudes capaces de ejecutar comandos arbitrarios en el backend del servidor. Esto puede abrir espacio para el acceso no autorizado, la manipulación de datos y la interrupción de servicios.

El riesgo se agrava por la simplicidad de la explotación: basta con identificar el endpoint expuesto para ejecutar comandos maliciosos. Los entornos en los que la API está accesible directamente a través de internet, sin filtros adicionales, se vuelven especialmente susceptibles.

Cómo se puede explotar la vulnerabilidad

El núcleo de la falla está en la ausencia de autenticación en determinados endpoints. Con esto, las solicitudes HTTP enviadas al endpoint vulnerable son procesadas sin validación de origen o credenciales. Un atacante puede, por ejemplo, ejecutar comandos en el servidor utilizando un payload en JSON:

curl -X POST http://seuservidor:porta/endpoint-vulneravel -d '{"acao": "executar_comando", "comando": "ls /"}'

Este escenario permite la ejecución de comandos del sistema operativo, la instalación de scripts o el movimiento lateral en el entorno. Los ataques automatizados pueden escanear grandes rangos de IP en busca de instancias vulnerables, aumentando la escala del problema.

Aun los entornos internos no son inmunes: endpoints inadvertidamente expuestos o integraciones mal configuradas pueden ampliar la superficie de ataque.

Respuesta de la Evolution Foundation: actualización y refuerzo de seguridad

Para mitigar la CVE-2026-91997, la Evolution Foundation lanzó la versión 2.4.0 de la API, trayendo cambios importantes para reforzar la seguridad:

• Autenticación obligatoria en endpoints críticos: Ahora, cualquier intento de acceso sin credenciales válidas es rechazado, reduciendo drásticamente la posibilidad de explotación remota.
• Activación obligatoria de licencia: A partir de la versión 2.4.0, es necesario activar una licencia para utilizar la API. Sin ella, el servicio devuelve error 503 con el código LICENSE_REQUIRED y no procesa solicitudes.
• Corrección de Path Traversal: El endpoint /assets fue ajustado para bloquear intentos de acceder a archivos fuera del alcance permitido, previniendo la lectura o manipulación indebida de archivos del servidor.
• Soporte a proxies SOCKS: La API ahora puede ser configurada para enrutar tráfico a través de proxies SOCKS, contribuyendo a la privacidad y control de acceso en entornos restringidos.
• Documentación de seguridad revisada: Las guías oficiales fueron actualizadas, detallando procedimientos de configuración segura y prácticas recomendadas para la implementación.
• Integración con múltiples chatbots: El soporte a integraciones fue ampliado, facilitando la conexión con diferentes plataformas de chatbot. Esto proporciona mayor flexibilidad, pero requiere revisión de los permisos y autenticación de cada integración después de la actualización.

La activación de la licencia puede hacerse a través del manager de la Evolution API, mediante una variable de entorno (EVOLUTION_OPERATOR_EMAIL) o por un endpoint específico. Sin una licencia válida, la API permanece indisponible hasta su regularización.

Cómo mitigar la CVE-2026-91997: Paso a paso

Para proteger su implementación, siga este itinerario técnico:

• Identifique la versión en uso: Verifique si su instancia utiliza la versión 2.3.5 o anterior, utilizando el comando evolution-api --version o el panel del manager.
• Realice respaldo: Antes de cualquier cambio, guarde configuraciones y datos importantes para garantizar la recuperación en caso de incidente durante la actualización.
• Actualice a la versión 2.4.0 o superior: Use el método compatible con su entorno. Para Docker, por ejemplo:

  docker pull evolutionfoundation/evolution-api:2.4.0

• Active la licencia: Después de actualizar, active la licencia a través del manager, variable de entorno o endpoint específico:

  export [email protected]

• Revise la autenticación de los endpoints: Confirme que todos los endpoints críticos tienen la autenticación activada. Utilice tokens o métodos sugeridos por la documentación de la Evolution API.
• Restringa el acceso externo: Ajuste las reglas de firewall para limitar el acceso de la API a redes y IPs autorizados, evitando la exposición innecesaria a internet.
• Consulte la documentación oficial: Siga las guías de seguridad actualizadas para adaptar la configuración a su contexto operativo.
• Pruebe la protección: Realice intentos de acceso sin autenticación para validar que el sistema bloquea conexiones no autorizadas.
• Monitoree los logs: Analice los registros de acceso y autenticación para detectar comportamientos anómalos o intentos de explotación.

Estos pasos ayudan a reducir la exposición a la CVE-2026-91997 y a fortalecer la postura de seguridad del entorno.

Ejemplos prácticos de mitigación en diferentes escenarios

La aplicación de las correcciones puede variar según el entorno. Vea ejemplos prácticos para diferentes contextos:

• Entorno Docker: Actualice la imagen en el archivo docker-compose.yml y defina la variable para la activación:

  services:
    evolution-api:
      image: evolutionfoundation/evolution-api:2.4.0
      environment:
        - [email protected]
  

  Después del deploy, acceda al manager para validar la licencia y revisar las configuraciones de autenticación.
• Entorno Node.js: Actualice el paquete y configure la variable en el .env:

  npm install evolution-api@latest
  # En el archivo .env
  [email protected]
  

  Reinicie la aplicación y confirme que la licencia está activa y los endpoints críticos exigen autenticación.
• Integraciones múltiples: Si utiliza diferentes chatbots o sistemas externos, revise los permisos de cada integración, ajustando la autenticación y autorización conforme a las recomendaciones de la nueva versión.
• Entorno en la nube: Utilice reglas de firewall del proveedor para restringir el acceso a la API. Considere proxies reversos con autenticación adicional si la exposición externa es necesaria.
• Entornos heredados o híbridos: Evalúe plugins, endpoints personalizados y integraciones existentes para garantizar que todos sigan los nuevos estándares de autenticación previstos en la documentación actualizada.

Independientemente del escenario, priorice las pruebas de acceso no autenticado y la revisión de los logs después de la actualización para asegurarse de que la protección está activa.

Errores comunes al proteger la Evolution API y cómo evitarlos

• Endpoints sin autenticación: Tras la actualización, es común olvidar rutas personalizadas o plugins que crean endpoints adicionales. Audite todas las rutas expuestas para garantizar una protección adecuada.
• Licencia no activada: Sin la licencia válida, la API devuelve error 503 y no opera. Controle el estado de la licencia y garantice la activación en todas las instancias críticas.
• Exposición pública innecesaria: APIs accesibles directamente a través de internet sin restricción aumentan el riesgo de explotación. Limite el acceso siempre que sea posible.
• Configuraciones por defecto mantenidas: Parámetros de instalación por defecto pueden no ser adecuados para producción. Ajuste puertos, tokens y permisos conforme a la política de seguridad de su organización.
• Monitoreo de logs insuficiente: Fallas, intentos de ataque y accesos no autorizados pueden pasar desapercibidos sin un análisis frecuente de los registros. Implemente alertas para eventos sospechosos según sea necesario.
• Documentación interna desactualizada: Cambios de versión exigen la actualización de los manuales internos y entrenamientos del equipo técnico para alinear los procedimientos de seguridad.
• Falta de revisión posterior a la actualización: Después de actualizar la API, realice pruebas de acceso, revise logs y valide integraciones para garantizar la efectividad de la protección en todo el flujo operativo.

Evitar estos errores contribuye a una postura de seguridad más robusta y reduce el riesgo de exposición futura.

Preguntas frecuentes

¿Cómo saber si mi aplicación está vulnerable a la CVE-2026-91997?

Si utiliza la Evolution API en la versión 2.3.5 o anterior y no ha implementado autenticación reforzada en todos los endpoints, existe riesgo de exposición. Verifique la versión instalada y haga un inventario de los endpoints abiertos. Analice los logs para identificar accesos sospechosos.

¿Qué cambia al actualizar a la versión 2.4.0?

La actualización implementa autenticación obligatoria, exige activación de licencia y corrige fallas como Path Traversal. Incluye también mejoras en integraciones, soporte a proxies y estabilidad general del sistema.

¿Cómo confirmar que la vulnerabilidad fue corregida?

Después de actualizar y activar la licencia, intente acceder a endpoints críticos sin autenticación para asegurar que el sistema bloquea estas solicitudes. Monitoree los logs para identificar intentos de explotación y valide las configuraciones conforme a la documentación oficial.

¿Las integraciones existentes necesitan ser revisadas?

Con los cambios en autenticación y la ampliación de las integraciones, se recomienda revisar las configuraciones de cada servicio conectado para garantizar compatibilidad y protección alineadas a la nueva versión de la API.

Conclusión

Proteger sistemas contra la CVE-2026-91997 es una prioridad para quienes utilizan la Evolution API. La actualización a la versión 2.4.0 o superior, la activación de la licencia y la revisión de las políticas de acceso y autenticación son medidas indispensables para mantener la seguridad del entorno. Invierta en monitoreo continuo y actualización de procesos internos para garantizar resiliencia frente a amenazas similares. Para profundizar sus conocimientos sobre seguridad en APIs y prácticas recomendadas, acceda a la plataforma de cursos de Hcode.

Fuentes

Evolution API: principales actualizaciones y correcciones recientes, GitHub - evolution-foundation/evolution-api, 17 de mayo de 2026.

CVE-2026-91997: Vulnerabilidad en la Evolution API, VulnCheck, 4 de noviembre de 2026.

CVE-2026-91997, NVD, 4 de noviembre de 2026.