Windows y macOS bajo la misma amenaza: en el editor CAD Cobalt detectan cinco vulnerabilidades de día cero
El desarrollador recibió advertencias casi durante un año, pero las fallas peligrosas siguieron sin corregirse.
En el programa de diseño Cobalt se detectaron cinco vulnerabilidades que permiten convertir el procesado de un dibujo en la ejecución de código ajeno. La iniciativa Zero Day Initiative (ZDI) publicó las advertencias el 4 de noviembre de 2026. Al momento de la divulgación, las cinco fallas seguían sin corregir, aunque el desarrollador recibió la primera notificación en noviembre de 2025.
Para que se produzca el ataque no basta con una conexión al equipo. El atacante debe convencer al usuario de Cobalt para que abra un archivo especialmente manipulado o visite una página maliciosa que invoque el manejador vulnerable. La explotación exitosa permite ejecutar comandos con los privilegios de la aplicación en ejecución. La existencia de las vulnerabilidades no demuestra que ataques así ya se hayan producido.
Tres problemas están relacionados con el procesamiento de datos XE. El desbordamiento de pila obtuvo el identificador CVE-2026-121744, y dos errores de uso después de liberación de memoria se registraron como CVE-2026-121753 y CVE-2026-121742. Otros dos defectos afectan a los manejadores LI y AR, con los identificadores CVE-2026-121752 y CVE-2026-121743. Las cinco fallas fueron descubiertas por Rocco Calvi de TecSecurity.
Los errores LI y AR se producen al copiar datos de entrada en memoria dinámica sin verificar adecuadamente el tamaño del búfer. En el manejador XE se detectó un problema análogo con la pila y dos casos en los que la aplicación accede a un objeto sin comprobar su existencia. La corrupción de memoria crea condiciones para la ejecución de código, pero no implica la captura automática del equipo al abrir cualquier archivo CAD.
La cronología de la divulgación se extendió casi un año. El primer aviso llegó a Ashlar-Vellum en noviembre de 2025, y las comunicaciones posteriores datan de diciembre, enero y febrero. En julio el desarrollador admitió que las correcciones de al menos dos errores aún no estaban listas. Tras nuevos requerimientos, ZDI advirtió el 29 de octubre sobre la próxima publicación y el 4 de noviembre hizo públicas las cinco fallas.
El conjunto de programas potencialmente afectados merece una revisión aparte. En mayo de 2026 la Agencia de Seguridad Cibernética y de Infraestructura de Estados Unidos (CISA) confirmó otra vulnerabilidad de análisis de archivos VC6 en Cobalt, Xenon, Argon, Lithium y Cobalt Share. Para CVE-2025-65087 están afectadas las versiones hasta la 12.6.1204.216 inclusive; la corrección está disponible desde la 12.6.1204.217.
Las cinco nuevas CVE, sin embargo, se asignaron oficialmente solo a Cobalt. Ashlar-Vellum publica Cobalt, Xenon y Argon dentro de la misma línea, pero por ahora no hay pruebas de que los defectos de noviembre estén presentes en los productos vecinos. Cobalt funciona en Windows y macOS, y en la página del desarrollador la compilación vigente se indica como 1204.219. No se ha publicado confirmación de que esa compilación solucione la nueva quinteta de vulnerabilidades.
ZDI asignó a cada una de las cinco fallas una puntuación CVSS 3.0 de 7,8, lo que corresponde a una alta severidad; aún no aparece una valoración por parte de NVD. Tampoco hay confirmaciones públicas de explotación en ataques reales. Hasta que exista una corrección verificada, ZDI recomienda limitar el uso de Cobalt con archivos y páginas no confiables, ya que no se han propuesto otros métodos confirmados para reducir el riesgo.