Octopus Deploy publica cuatro avisos para corregir fallas de autorización en Octopus Server

Octopus Deploy publicó entre el 27 y el 28 de octubre de 2026 cuatro avisos de seguridad para Octopus Server. Las fallas afectan controles de autenticación, autorización y exposición de información en versiones de servidor autogestionadas. La serie incluye CVE-2026-116870, CVE-2026-117341, CVE-2026-117466 y CVE-2026-118426, con puntuaciones de 8,7, 7,7, 8,6 y 5,3, respectivamente.

Se trata de hallazgos distintos comunicados por el mismo proveedor y referidos al mismo producto, no de cuatro descripciones de una sola vulnerabilidad. La síntesis es útil porque varias versiones históricas aparecen afectadas y cada aviso tiene una versión corregida específica. Octopus Cloud indica que sus instancias ya fueron actualizadas, de modo que las acciones del cliente se centran en instalaciones autogestionadas.

CVE-2026-116870 es una confusión del emisor OpenID Connect (OIDC), clasificada por el proveedor como alta y con CVSS 8,7. CVE-2026-117341 puede dejar un código de invitación en el registro de auditoría; un usuario con permisos adecuados en el espacio correspondiente podría leerlo y canjear una invitación pendiente, con una escalada de privilegios que depende de los permisos asignados al invitado.

CVE-2026-117466 permite que un usuario con el rol System Manager eleve sus privilegios hasta administrador completo. CVE-2026-118426 permite que un usuario autenticado consulte búsquedas de usuarios y grupos LDAP cuando el proveedor de autenticación LDAP está habilitado. Esta última está clasificada como media, CVSS 5,3, y su consecuencia reportada es enumeración de directorio, no ejecución remota de código.

Los parches se distribuyeron en varias ramas: para 2026.1 y 2026.2, las versiones mínimas varían según el aviso; para 2026.3, los hitos incluyen 2026.3.15816 para CVE-2026-116870, 2026.3.15829 para CVE-2026-117341, 2026.3.15863 para CVE-2026-117466 y 2026.3.15909 para CVE-2026-118426. Los avisos también mencionan ramas anteriores, incluidas versiones 2019 a 2025, por lo que no basta con verificar solo la rama más reciente.

Octopus recomienda actualizar a la versión más reciente y ofrece versiones de corrección distintas para algunas ramas compatibles. Los administradores deben comparar la versión instalada con la tabla de cada aviso, porque un mismo número de versión puede corregir algunas fallas y no alcanzar el mínimo requerido para otras. Cuando sea posible, instalar la versión más reciente compatible simplifica esa evaluación.

La prioridad más alta corresponde a las fallas de autenticación y privilegios por sus puntuaciones elevadas. En instalaciones conectadas a directorios corporativos o que delegan administración entre equipos, la combinación de roles y permisos merece una revisión cuidadosa. La falla de códigos de invitación destaca la sensibilidad de los registros de auditoría: datos concebidos para seguimiento también pueden convertirse en un canal de exposición si guardan tokens utilizables.

No debe inferirse que todas las instalaciones estén expuestas de la misma forma. La enumeración LDAP requiere que el proveedor LDAP esté habilitado; la lectura del código de invitación exige permisos en el espacio y una invitación aún no reclamada; y la escalada parte de un usuario System Manager. Estas condiciones cambian el análisis de riesgo, pero no eliminan la necesidad de parchear.

Los cuatro avisos del proveedor señalan que Octopus Deploy no conoce anuncios públicos ni uso malicioso de las vulnerabilidades al momento de publicar. La empresa atribuye los hallazgos a pruebas internas. Esa declaración no demuestra ausencia absoluta de explotación, pero sí impide describirlas como fallas explotadas activamente con la evidencia disponible.

La fuente primaria es cada aviso de Octopus Deploy, que presenta versiones, puntuaciones, condiciones de explotación y correcciones. En esta publicación se agrupan los cuatro avisos como una actualización editorial de producto; no se añade una afirmación de compromiso ni una conexión entre actores o campañas que la documentación no sustenta.

Identifique todas las instancias autogestionadas de Octopus Server y compare cada versión con los cuatro avisos. Aplique una versión corregida para la rama soportada y confirme el resultado en el inventario. Si se mantiene una versión antigua, evalúe si la actualización requiere una migración planificada, ya que los avisos no describen una mitigación temporal equivalente al parche.

Revise permisos de System Manager, invitaciones pendientes y la exposición de registros de auditoría; para LDAP, limite quién puede realizar búsquedas de usuarios y grupos. Estas revisiones ayudan a detectar configuraciones sensibles, pero no reemplazan las correcciones publicadas. Preserve evidencias si encuentra actividad inusual y gestione la posible exposición como incidente con base en los registros disponibles.