cve-2026-76504-nuclei

Versiones afectadas (según informes públicos)

• Anteriores a 20.9 — todas las versiones
• 20.9 — anteriores a 20.9.10.1
• 20.12 — anteriores a 20.12.8.2
• 20.15 — anteriores a 20.15.6.1
• 20.18 — anteriores a 20.18.4.1
• 26.1 — anteriores a 26.1.2.1
• 26.2 — anteriores a 26.2.1

Indicadores de compromiso (del lado del host)

Archivo de registro	Qué buscar
/var/log/nms/containers/service_proxy/serviceproxy-access.log	Solicitudes a /%6a_security_check desde IPs desconocidas
/var/log/nms/vmanage-server.log	Solicitudes j_security_check que hacen referencia a usuarios viptela-reserved-*

Señales de alerta adicionales:

• Respuestas 200 con cuerpo vacío en un endpoint de inicio de sesión
• Llamadas a /dataservice/client/token desde sesiones con menos de ~1 segundo de antigüedad
• Trabajos de tenantbackup/export iniciados por cuentas inusuales

Regla de WAF

(?i)/(%[0-9a-f]{2})*j(_|%5f)security(_|%5f)check