EXPLOIT PÚBLICO

CVE-2026-52856 Denegación de servicio en Wings por paquete malformado en el handshake SFTP

Antes de la versión 1.13.0, un paquete malformado recibido durante el handshake de conexión SFTP provoca un pánico de Go en Wings, el plano de control del servidor de Pterodactyl. Se corrige en la versión 1.13.0.

Alerta de Nureq Monitor

Detectada 19 OCT · 22:59

CVSS 3.1

7.5ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,6 % PERCENTIL 49

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-52856

Productos y versiones afectadas

pterodactyl wings
- < 1.13.0

Qué hacer

Verificá si usás wings y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

lisbickq/CVE-2026-52856-PoC PoC For CVE-2026-52856PUBLICADO 19 OCT · 22:59

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Ninguna
INTEGRIDAD (I): Ninguna
DISPONIBILIDAD (A): Alta

Abrir la calculadora completa

Descripción original

Wings is the server control plane for Pterodactyl, a free, open-source game server management panel. Prior to 1.13.0, a malformed packet received during the SFTP connection handshake causes a Go panic. This issue is fixed in version 1.13.0.

Referencias

github.com/pterodactyl/wings/security/advisories/GHSA-ghrq-5wpp-hxx5X_REFSOURCE_CONFIRM
github.com/pterodactyl/wings/commit/8e49c7c0eda815d3ada171831876a1c14c493026X_REFSOURCE_MISC
github.com/pterodactyl/wings/releases/tag/v1.13.0X_REFSOURCE_MISC

Historial de la alerta

19 OCT · 22:59EXPLOIT PÚBLICO Se publicó el repositorio lisbickq/CVE-2026-52856-PoC.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.