Exploit público para cadena de vulnerabilidades Telerik UI permite RCE no autenticado en aplicaciones ASP.NET

La empresa de seguridad TantoSec publicó el 7 de septiembre una cadena de exploit funcional que apunta a Telerik UI for ASP.NET AJAX, permitiendo a un atacante no autenticado ejecutar código arbitrario en cualquier servidor con una versión vulnerable. El lanzamiento incluye una herramienta de línea de comandos llamada telerik-rau-exploit y dos payloads: uno que escribe un web shell en disco y otro que se ejecuta completamente en memoria.

La cadena vincula cuatro vulnerabilidades distintas: CVE-2026-13181 (resolución de tipo sin protección, CVSS 8.1), CVE-2026-13182 (padding oracle AES-CBC), CVE-2026-13183 (variante oracle basada en tiempo) y CVE-2026-13184 (clave de cifrado predeterminada predecible). El investigador Marcio Almeida demostró que combinar estas vulnerabilidades con un gadget de deserialización de tipo-nombre es suficiente para escalar de «poder descifrar datos del servidor» a «ejecutar código como el application pool de IIS».

El rango afectado abarca versiones desde 2010.1.309 hasta 2026.2.519, una ventana de 16 años de versiones de Telerik. Progress Software parcheó todos los fallos en la versión 2026.2.708, lanzada el 8 de julio de 2026. Hasta la fecha no se han confirmado explotaciones en entornos reales.

Existe una condición previa significativa: el ataque requiere que la aplicación esté configurada con una clave de cifrado explícita y no predeterminada para el control RadAsyncUpload. Las organizaciones que ejecuten cualquier versión desde 2010 deben actualizar inmediatamente a la versión 2026.2.708.

Según lo informado por The Hacker News, citando investigación de TantoSec de Marcio Almeida publicada el 7 de septiembre de 2026.