El investigador Christoph Haas, de la firma alemana Hacking Cult, ha publicado los detalles de cinco vulnerabilidades que descubrió en OPNsense, el conocido firewall y router de código abierto basado en FreeBSD. El hallazgo más grave, identificado como CVE-2026-57155 con una puntuación CVSS de 9.9, permite la ejecución remota de código a través de un fallo de escritura arbitraria de archivos en el importador de alias GeoIP. La cadena de fallos da lugar a un control total del sistema.
Durante una semana dedicada a investigación de seguridad, Haas localizó en total ocho vulnerabilidades tras mapear la superficie de ataque del núcleo de OPNsense, escrito en PHP sobre el framework MVC Phalcon. La metodología combinó análisis manual de tainted data con ripgrep, intercepción de tráfico mediante Burp Suite y fuzzing con cargas políglotas. Tres de los fallos restantes son inyecciones de XSS almacenado en las cuadrículas de reglas de firewall y NAT, en la página NTP GPS y en la descripción de certificados SSL, todas ellas con puntuación media. El quinto, CVE-2026-58395, es una inyección XPath en la rutina genérica de borrado seguro, que permite a usuarios con privilegios limitados leer configuraciones de módulos a los que no deberían tener acceso. De los tres hallazgos no divulgados, uno resultó duplicado y dos siguen bajo revisión.
El equipo de OPNsense ya ha corregido las cinco vulnerabilidades reportadas. Haas publica el relato completo y el análisis técnico de la RCE en su repositorio de divulgaciones.