Se ha divulgado una grave vulnerabilidad de apropiación de cuentas en ZITADEL, la plataforma de identidad de código abierto. CVE-2026-105207 afecta a las versiones de ZITADEL 3.0.0 hasta 3.4.15 y 4.0.0 anteriores a 4.17.3. Si ejecuta cualquiera de las dos ramas sin parchear, un atacante que solo conozca el nombre de inicio de sesión del objetivo puede tomar el control completo de esa cuenta.

Este es el fallo central: las sesiones de identificación exclusiva de Login V2 de ZITADEL y el endpoint AddIDPLink del User Service V2 permiten crear vínculos con proveedores de identidad externos sin completar un desafío de factor primario ni verificar que el solicitante tiene permiso para acceder a esa cuenta. Sin contraseña, sin MFA, sin token de sesión. Un atacante registra una identidad desechable en un IdP externo compatible, llama al endpoint con el nombre de inicio de sesión de la víctima, vincula esa identidad del IdP a la cuenta de la víctima y luego inicia sesión como ella usando esa credencial enlazada. Se trata de una elusión de autenticación completa que utiliza el propio mecanismo de federación como vector de ataque.

Lo que hace esto especialmente incómodo es que la vinculación de IdPs externos se supone que es una funcionalidad de conveniencia para usuarios legítimos. El supuesto implícito en su diseño era que solo una sesión autenticada y autorizada podía desencadenar un vínculo. Ese supuesto era incorrecto, y las consecuencias son tan graves como pueden llegar a ser: apropiación de cuenta sin ningún conocimiento de credenciales. Si su despliegue de ZITADEL tiene habilitada la federación orientada al usuario y es accesible desde redes no confiables, debe considerar que todas las cuentas en él están potencialmente en riesgo hasta que aplique el parche.

Para quienes ejecutan ZITADEL en modo CIAM o como IdP interno, la pregunta prioritaria es directa: ¿qué versión está usando? Actualice a 3.x (consulte las notas de versión de ZITADEL para conocer la versión 3.x corregida) o a 4.17.3 o posterior de forma inmediata. Si no puede parchear ahora mismo, evalúe si puede restringir el acceso al endpoint de la API AddIDPLink en la capa de red o de pasarela como control temporal. Además, revise los registros de auditoría de vínculos de IdP para detectar cualquier cuenta que haya tenido recientemente un IdP externo añadido, especialmente si el evento de vinculación no se corresponde con una acción conocida del usuario. Busque eventos de creación de vínculos anómalos en cuentas que no estaban siendo gestionadas activamente en ese momento.

Una advertencia honesta: a partir de la divulgación no sé si el registro de auditoría de ZITADEL captura suficiente detalle como para identificar de forma definitiva los intentos de explotación. Si no lo hace, es posible que trabaje con visibilidad parcial en la detección retrospectiva. En cualquier caso, parchee primero, audite después, y no asuma que está a salvo solo porque no ha visto alertas.