Se han publicado avisos de seguridad que corrigen varias vulnerabilidades de severidad alta y crítica en la suite de desarrollo e infraestructura de JetBrains. La explotación de estos fallos puede permitir la omisión de autenticación en la API REST, la toma de control administrativa mediante la adición de servicios no autorizados, la escalada de privilegios en la gestión de usuarios o la ejecución remota de código en entornos de desarrollo remoto.
Productos afectados
- YouTrack 2026.2.18788, 2026.1.14055, 2025.3.161254
- JetBrains Hub 2026.2.52442 o versiones anteriores
- YouTrack versiones anteriores a 2026.2.18634
- IntelliJ IDEA 2026.2.2
Impacto
Las vulnerabilidades se han identificado como:
- CVE-2026-86480: con una puntuación de 9.8 en CVSS v3.1. Existe una vulnerabilidad de omisión de autenticación en el registro de servicios en JetBrains Hub. Un actor malicioso remoto no autenticado puede registrar un servicio falsificado en la plataforma, permitiéndole obtener privilegios de administración total y comprometer la gestión de identidades.
- CVE-2026-86482: con una puntuación de 8.8 en CVSS v3.1. Existe una vulnerabilidad de asignación de privilegios no verificada en la gestión de miembros de grupo de YouTrack. Un usuario autenticado con permisos limitados puede modificar la pertenencia a grupos de seguridad sin las comprobaciones de autorización requeridas, logrando una escalada de privilegios.
- CVE-2026-86502: con una puntuación de 8.4 en CVSS v3.1. Existe una vulnerabilidad de falta de autenticación y cifrado en canal de comunicación en el servicio IJent gRPC de IntelliJ IDEA Remote Development. Un actor malicioso con acceso a la red local o al host de desarrollo puede comunicarse con el socket/puerto del demonio sin autenticación ni cifrado TLS, logrando la ejecución de código arbitrario en la máquina remota.
- CVE-2026-86479: con una puntuación de 8.1 en CVSS v3.1. Existe una vulnerabilidad de control de acceso inadecuado en endpoints REST en YouTrack. Un atacante no autenticado puede consultar y extraer información confidencial de recursos restringidos de la API REST del sistema.
Recomendación
- Actualizar las instalaciones independientes o integradas de YouTrack y Hub a los parches publicados.
Referencias