Iperius Backup (Enter Srl) para Windows · Escalada de privilegios local a SYSTEM/Administrador

Un programa de copias de seguridad instalado para proteger los datos puede, paradójicamente, convertirse en la puerta por la que un usuario con pocos permisos toma el control absoluto del ordenador. Es lo que describe el aviso que INCIBE-CERT publicó el 11 de noviembre de 2026 sobre Iperius Backup, un software de copias de seguridad para Windows: la vulnerabilidad CVE-2026-112174 permite a un atacante que ya esté dentro del equipo elevar sus privilegios hasta el nivel máximo del sistema.

Descripción

Iperius Backup es un software de copias de seguridad (backup, es decir, la creación de copias de los datos para poder recuperarlos ante un borrado, un fallo o un ataque) desarrollado por la empresa italiana Enter Srl. Es una herramienta muy extendida en entornos profesionales y de pequeña y mediana empresa para respaldar archivos, imágenes de disco, bases de datos y servicios en la nube.

La vulnerabilidad afecta, según el aviso oficial, a una versión concreta:

• Versión afectada: Iperius Backup 8.8.3 para Windows.
• Versión corregida: Iperius Backup 8.8.9.

Se trata de una escalada de privilegios local (en inglés, local privilege escalation): el atacante no accede desde Internet, sino que debe disponer ya de una cuenta de usuario en el equipo —aunque sea una cuenta corriente, sin permisos de administración— y, desde ella, consigue elevar sus permisos. El riesgo real se concreta cuando el servicio de copias de seguridad está configurado para ejecutarse de forma permanente con privilegios de Administrador, que es una configuración habitual para que las copias se realicen de manera desatendida.

INCIBE clasifica el fallo con una severidad alta y una puntuación CVSS v4.0 de 9,3 (fuente: INCIBE como CNA coordinador del aviso), dentro de la categoría CWE-250, «Ejecución con privilegios innecesarios», que describe el defecto de ejecutar componentes con más permisos de los estrictamente necesarios. El hallazgo se atribuye al investigador Jonas Fernández.

Mecánica

Cómo funciona el fallo

El origen del problema es una separación insuficiente entre dos planos que deberían estar aislados: por un lado, la interfaz gráfica de Iperius Backup, que se ejecuta con privilegios elevados; por otro, los usuarios locales de bajos privilegios que comparten el mismo equipo.

El vector de ataque descrito por INCIBE es el siguiente:

1. El servicio de copias de seguridad está configurado para ejecutarse de forma persistente con privilegios de Administrador (una configuración frecuente para que las copias se hagan automáticamente).
2. Un atacante local con una cuenta de bajos privilegios interactúa con los diálogos nativos de Windows que la aplicación deja expuestos. Un «diálogo nativo» es una de esas ventanas estándar del sistema —por ejemplo, el cuadro de «Abrir archivo» o «Guardar como»— que, desde dentro, permiten lanzar otros programas.
3. A través de esos diálogos, el atacante ejecuta programas que heredan el contexto elevado de la aplicación. Es decir, el nuevo proceso arranca con los permisos altos de Iperius, no con los permisos bajos del atacante.

El resultado es que el atacante puede ejecutar comandos con privilegios de SYSTEM o Administrador (según el contexto de la aplicación) y, con ello, comprometer por completo el equipo Windows: instalar programas, crear cuentas, desactivar protecciones o acceder a cualquier dato.

Conviene ser objetivo con el alcance: aunque la puntuación CVSS (9,3) es muy alta, el vector indica un ataque local (AV:L) que requiere que el atacante ya posea algún tipo de acceso previo al sistema (PR:L). No es un fallo explotable en remoto a través de la red ni sin credenciales.

Respuesta del creador

Respuesta del fabricante y de las autoridades

INCIBE-CERT (el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad de España) ha actuado como CNA coordinador —la entidad autorizada para asignar identificadores CVE— en la publicación de esta vulnerabilidad, y ha asignado el código, la puntuación CVSS v4.0, el vector y la categoría CWE.

Por su parte, el fabricante Enter Srl ha reconocido el problema y lo ha resuelto en la versión 8.8.9 de Iperius Backup, que incorpora permisos restrictivos por defecto. En la propia ficha de INCIBE la explotación figura como «No»: a fecha del aviso no consta explotación activa, el fallo no aparece en el catálogo de vulnerabilidades explotadas de CISA (CISA KEV) y no se ha publicado código de explotación conocido.

Parches y mitigaciones

Qué hacer ya

La medida principal es clara y ya está disponible:

• Actualizar Iperius Backup a la versión 8.8.9 o posterior. Según el fabricante, esta versión aplica permisos restrictivos por defecto: al instalar el servicio, restringe el acceso a las carpetas de configuración e impide que los usuarios no administradores puedan crear, modificar o ejecutar trabajos de copia de seguridad.

Mientras se aplica la actualización, conviene además:

• Revisar con qué cuenta se ejecuta el servicio de copias. Si no es imprescindible que corra de forma permanente con privilegios de Administrador, valorar reducir esos permisos (principio de mínimo privilegio).
• Limitar quién tiene cuentas locales en los equipos donde está instalado el software, dado que el ataque exige acceso local previo.
• Comprobar los permisos de las carpetas de configuración de Iperius tras actualizar, para confirmar que solo los administradores pueden modificarlas.

La actualización es la vía recomendada: las mitigaciones manuales reducen la exposición pero no sustituyen al parche del fabricante.

Fuentes

• INCIBE-CERT — Escalada de privilegios en Iperius Backup de Enter (INCIBE-2026-854)
• Iperius Backup — Sitio web oficial (Enter Srl)
• NVD — CVE-2026-112174 (ficha, en indexación)
• CVE.org — Registro CVE-2026-112174