Ciberseguridad · Aviso

NetApp StorageGRID · Omisión de autenticación por una ruta alternativa

NetApp ha corregido un fallo crítico (CVE-2026-22058) en su sistema de almacenamiento de objetos StorageGRID: quien llegue a la red interna del grid podría enviar peticiones sin autenticarse.

Publicado 4 noviembre 2026 Lectura 6 min Ref. CVE-2026-22058 CVSS 9.1 (NetApp (CNA), CVSS v4.0, registro CVE publicado el 3/11/2026)

Resumen

NetApp publicó el 3 de noviembre de 2026 el boletín NTAP-20261103-0001 sobre CVE-2026-22058, una omisión de autenticación (CWE-288) en StorageGRID que afecta a la versión 11.3 y a todas las posteriores. Las versiones corregidas son 11.9.0.15, 12.0.0.9 y 12.1.0.1. El fabricante le asigna una puntuación CVSS v4.0 de 9,1 (crítica), pero el ataque no es trivial: exige conocer el producto a fondo y poder comunicarse con determinados puertos de la Grid Network. No hay constancia de explotación activa ni de exploits públicos.

Materias: Vulnerabilidades, Autenticación, Almacenamiento, Actualizaciones, NetApp

StorageGRID es la plataforma de NetApp para guardar grandes volúmenes de datos como «objetos», y se usa a menudo como alternativa propia a Amazon S3 para copias de seguridad, archivos y repositorios documentales. NetApp ha corregido en ella un fallo que deja a un atacante saltarse la autenticación, es decir, la comprobación de identidad: si llega a ciertos puertos de la red interna del sistema, puede enviar peticiones que deberían estar reservadas a componentes autorizados. El fabricante lo califica de crítico. Aun así, no consta que se haya explotado, y el ataque requiere condiciones concretas que conviene conocer antes de alarmarse.

Descripción

Qué es

CVE-2026-22058 es una vulnerabilidad de omisión de autenticación en NetApp StorageGRID, el producto antes llamado StorageGRID Webscale. Está clasificada como CWE-288, «Authentication Bypass Using an Alternate Path or Channel»: el sistema protege la puerta principal, pero existe un camino alternativo por el que se puede llegar a las mismas funciones sin identificarse.

Según el registro oficial del CVE, que publica NetApp como CNA (la entidad autorizada para asignar CVE a sus productos), «las versiones 11.3 y superiores» permiten que un atacante con conocimientos específicos del producto y capacidad de comunicarse con la Grid Network en determinados puertos realice peticiones no autorizadas.

Versiones afectadas

Ramas 11.3 a 11.8: todas afectadas. No hay corrección dentro de estas ramas.
Rama 11.9: versiones anteriores a 11.9.0.15.
Rama 12.0: versiones anteriores a 12.0.0.9.
Rama 12.1: versiones anteriores a 12.1.0.1.

A quién afecta de verdad

Afecta a las organizaciones que operan su propio grid de StorageGRID, sea en dispositivos de NetApp, en máquinas virtuales o en contenedores. La Grid Network es la red interna por la que se comunican los nodos del sistema entre sí (nodos de administración, de almacenamiento y pasarelas). En un despliegue bien hecho esa red está aislada y no se expone a Internet ni a la red general de usuarios. El riesgo real depende, por tanto, de quién pueda llegar a ella: un atacante que ya esté dentro de la red corporativa, un tercero con acceso a la misma red o un despliegue mal segmentado.

Mecánica

Cómo funciona el fallo

Los nodos de StorageGRID se comunican entre sí mediante servicios internos que escuchan en determinados puertos de la Grid Network. El fallo consiste en que, por una ruta alternativa, se puede llegar a alguno de esos servicios sin pasar por el control de autenticación que debería exigirse. Así, quien conozca el funcionamiento interno del producto puede construir peticiones que el sistema acepta como si vinieran de un componente legítimo.

NetApp no ha revelado qué servicio o puertos concretos están implicados, ni qué peticiones exactas son posibles. Tampoco hay un informe técnico de un investigador externo: el registro CVE indica que el origen del descubrimiento es «desconocido». Cualquier detalle más preciso que circule al respecto debe tomarse con cautela.

Requisitos y vector de ataque

El vector CVSS v4.0 que publica NetApp es CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. En lenguaje llano significa lo siguiente:

AV:N (vector de red): el ataque se lanza a distancia a través de la red, pero contra la Grid Network, no contra cualquier interfaz.
AC:H (complejidad alta) y AT:P (hay requisitos previos de ataque): hace falta conocer el producto a fondo y que se den condiciones concretas del despliegue.
PR:N y UI:N: el atacante no necesita credenciales ni que ningún usuario haga nada.
VC:H / VI:H / VA:N: el impacto sobre la confidencialidad (leer datos) y la integridad (modificarlos) puede ser alto. No afecta a la disponibilidad.

La puntuación resultante es 9,1 (crítica). La gravedad viene del impacto potencial sobre los datos almacenados. La probabilidad de ataque está limitada por la complejidad y por la necesidad de acceso a la red interna.

Un fallo relacionado publicado el mismo día

NetApp publicó también CVE-2026-22060 (boletín NTAP-20261103-0002), otra omisión de autenticación (CWE-288) en StorageGRID, de severidad media (CVSS v4.0 6,9). En configuraciones por defecto y habituales permite a un atacante no autenticado acceder a un conjunto limitado de API pensadas para uso interno del grid. Se corrige en las mismas versiones.

Respuesta del creador

Fabricante

NetApp publicó la vulnerabilidad el 3 de noviembre de 2026 en el boletín NTAP-20261103-0001 y, como CNA, dio de alta el registro CVE con la puntuación CVSS v4.0 de 9,1. El identificador estaba reservado desde el 5 de enero de 2026, lo que indica que la corrección se coordinó durante meses antes de anunciarse. Los resúmenes del boletín disponibles no recogen soluciones provisionales (workarounds) distintas de actualizar.

Autoridades

INCIBE-CERT publicó el 4 de noviembre de 2026 el aviso INCIBE-2026-832, de importancia «5 - Crítica». Recoge las versiones afectadas y corregidas y marca la explotación como «No».

En las fuentes consultadas no consta que el fallo figure en el catálogo KEV de CISA (la lista estadounidense de vulnerabilidades que se están explotando). Tampoco hay exploits públicos ni plantillas de detección conocidas. NVD no había publicado aún un análisis propio: la única puntuación oficial es la del fabricante. Algunas bases de datos de terceros dan cifras distintas (por ejemplo, 9,9 en VulDB), pero no son oficiales.

Parches y mitigaciones

Versiones corregidas

Rama 11.9: actualizar a StorageGRID 11.9.0.15.
Rama 12.0: actualizar a StorageGRID 12.0.0.9.
Rama 12.1: actualizar a StorageGRID 12.1.0.1.
Ramas 11.3 a 11.8: no reciben corrección. Hay que migrar a una rama soportada y aplicar la versión corregida correspondiente.

Estas versiones también corrigen CVE-2026-22060.

Qué hacer ya

Inventariar: identificar todos los grids de StorageGRID y su versión exacta.
Planificar la actualización a la versión corregida de cada rama siguiendo el procedimiento de NetApp. Si el despliegue está en 11.8 o antes, hay que planificar la migración.
Revisar la segmentación mientras se actualiza: comprobar que la Grid Network está aislada y que solo los nodos del grid pueden llegar a sus puertos internos. No debe ser accesible desde Internet, desde la red de usuarios ni desde redes de terceros. NetApp no ha publicado esto como mitigación oficial; es una buena práctica que reduce la superficie de ataque.
Vigilar los registros de auditoría del grid en busca de peticiones internas anómalas o de origen inesperado.
Consultar el boletín NTAP-20261103-0001 por si NetApp lo actualiza con nuevas versiones o medidas.

Perspectiva jurídica

StorageGRID suele guardar copias de seguridad y archivos documentales que pueden contener datos personales. Aplicar el parche a tiempo forma parte de las medidas técnicas «apropiadas» que exige el art. 32 del RGPD y, para las entidades incluidas en NIS2, de la gestión de vulnerabilidades. Si se detectara un acceso no autorizado, se activarían las obligaciones de notificación de brechas (arts. 33 y 34 del RGPD, plazo de 72 horas ante la AEPD).