CVE-2026-35088 Fortaleza de cifrado inadecuada en centrales telefónicas Slican

Qué es CVE-2026-35088

Las centrales telefónicas Slican usan cifrado simétrico para la comunicación TCP/IP y la clave secreta está codificada en múltiples archivos binarios. Un atacante con acceso a esos archivos puede descifrar la comunicación. Corregido en la serie IPx versión 6.62.0100; el problema persiste en los modelos CCT-1668 (CCT1CPU), MAC-6400 y CXS-0424, discontinuados en 2011 y 2012, que requieren una actualización de hardware.

Productos y versiones afectadas

• Slican IPx

  • hasta antes de 6.62.0100

• Slican CCT-1668

  • hasta 6.56.0430

• Slican MAC-6400

  • hasta 6.56.0430

• Slican CXS-0424

  • hasta 6.30.0510

Qué hacer

1. Verificá si usás IPx y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Baja

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Slican telephone exchanges use symmetric encryption for TCP/IP communication. Secret key is hardcoded in multiple binary files. An attacker who has access to these files can decrypt the communication. This issue was fixed in IPx series version 6.62.0100. The issue STILL EXISTS in End-Of-Life telephone exchanges: - CCT-1668 (CCT1CPU) - MAC-6400 - CXS-0424 These products were discontinued in 2011 and 2012 and and will not receive updates. These products require a hardware update in order to receive a software update. The vendor recommends that users of these devices contact the their service department directly to determine the options for upgrading.

Referencias

• cert.pl/posts/2026/10/CVE-2026-35088THIRD-PARTY-ADVISORY

Historial de la alerta

1. 15 OCT · 07:25VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.