El apagado y la descongelación remota de vitrinas frigoríficas ha golpeado a supermercados en Francia tras una manipulación a distancia de controladores de refrigeración Danfoss, con un efecto inmediato en la operación diaria. El incidente afectó a varias cadenas, entre ellas Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc y Super U, y se movió en un rango estimado de entre 250 y 350 tiendas.

El patrón de ataque no fue sutil: los intrusos alteraron parámetros operativos para elevar temperaturas, en particular al activar el ciclo automático de desescarche en equipos de frío. En un entorno de retail alimentario, ese tipo de cambio puede estropear mercancía en horas. La fiscalía de París abrió una investigación por un ciberataque a gran escala y busca cuantificar daños, tanto por pérdida de alimentos como por incidentes asociados que se han llegado a mencionar, incluidos posibles incendios.

Las primeras pistas apuntan a un problema recurrente en OT: los atacantes tomaron el control de controladores que ejecutaban versiones antiguas del software de gestión. No se ha confirmado el vector de intrusión ni la técnica exacta usada para acceder a esos sistemas en este caso concreto, pero el contexto técnico resulta especialmente incómodo para el sector.

Investigaciones recientes en controladores Danfoss AK-SM 8xxA Series han descrito fallos que rebajan drásticamente la barrera de entrada cuando la consola web queda expuesta a Internet. CVE-2025-41450 permite un bypass de autenticación antes de la versión 4.2 y puede acabar filtrando información sensible en informes web, como IPs internas, nombres de tienda o usuarios. CVE-2025-41451 abre la puerta a command injection con potencial de ejecución remota de código tras autenticación antes de la versión 4.3.1. CVE-2025-41452 permite inyectar directivas de configuración de Nginx tras autenticación y puede desencadenar una denegación de servicio en versiones previas a 4.3.1.

La dimensión del riesgo no se limita a un puñado de tiendas. Se han observado miles de interfaces de gestión Danfoss accesibles desde Internet, con recuentos que sitúan 2.752 sistemas expuestos, 1.590 de ellos en Francia, y más de 4.500 dispositivos localizables mediante motores de búsqueda de activos conectados. Cuando la administración queda abierta, el atacante no necesita entrar por la puerta grande: le basta con encontrar un panel y probar.

Para las cadenas con equipos de este tipo, las prioridades son claras y urgentes. Conviene inventariar controladores y gestores Danfoss, identificar cuáles exponen la consola web y cerrarla a Internet de forma inmediata. El acceso remoto debería pasar por VPN y redes de administración de confianza, con listas de control que limiten orígenes autorizados. En paralelo, toca actualizar AK-SM 8xxA a 4.2 o superior para mitigar CVE-2025-41450, y a 4.3.1 o superior para corregir CVE-2025-41451 y CVE-2025-41452.

La higiene básica también cambia de escala en OT: segmentación de red entre TI y OT, endurecimiento de credenciales, auditoría de accesos administrativos y trazabilidad de cambios. Y, en un negocio donde el termómetro manda, la monitorización debe alertar de forma específica ante cambios anómalos de temperatura, ciclos de desescarche fuera de patrón y modificaciones de configuración. Si falla todo lo demás, los procedimientos de contingencia para preservar la cadena de frío deciden cuánto producto acaba en la basura.

Más información

• BleepingComputer – Cyberattack shuts down refrigerators at French supermarkets : https://www.bleepingcomputer.com/news/security/cyberattack-shuts-down-refrigerators-at-french-supermarkets/
• Claroty Team82 – Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers : https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
• Danfoss – DSA-2025-03-01 (CVE-2025-41450) : https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-03-01/
• Danfoss – DSA-2025-08-01 (CVE-2025-41451, CVE-2025-41452) : https://www.danfoss.com/en/service-and-support/coordinated-vulnerability-disclosure/danfoss-security-advisories/dsa-2025-08-01/

La entrada Un ciberataque apaga vitrinas frigoríficas en supermercados franceses se publicó primero en Una Al Día.

Los intentos de explotación contra CVE-2026-21589 han empezado a aparecer casi de inmediato tras la publicación de detalles técnicos y una prueba de concepto. El fallo afecta a despliegues Atlassian Data Center y preocupa por una razón sencilla: permite el acceso arbitrario a ficheros sin autenticación, con un nivel de gravedad que Atlassian califica como crítico y puntúa con CVSS v4.0 9,3.

El alcance no es menor. La lista de productos afectados incluye Bitbucket Data Center, Confluence Data Center, Jira Software Data Center, Jira Service Management Data Center, Bamboo Data Center, Crowd Data Center, Crucible y Fisheye. En entornos donde estas herramientas suelen vivir expuestas, a veces por necesidad operativa, el riesgo se multiplica porque la disponibilidad de una plantilla de Nuclei reduce la fricción para automatizar escaneos y probar el fallo a gran escala.

La vulnerabilidad no funciona como un ‘catálogo’ de archivos. Quien ataca necesita conocer el nombre y la ruta exacta del fichero objetivo, y el comportamiento no permite enumerar directorios. Aun así, eso no rebaja la amenaza: basta con acertar con rutas habituales para que el impacto sea serio. La técnica descrita explota el comportamiento de una librería compartida de recursos web que transforma secuencias de doble dos puntos en separadores de ruta, lo que facilita solicitudes de path traversal contra endpoints que sirven recursos de plugins.

El escenario más delicado aparece cuando Jira se integra con Crowd. Si un atacante logra leer WEB-INF/classes/crowd.properties, puede encontrar credenciales en texto plano en determinadas configuraciones. Con ese material, y si Crowd resulta alcanzable y los permisos lo permiten, el atacante puede abusar de la API de Crowd para crear cuentas y terminar con privilegios de administrador en Jira.

Atlassian reconoce que no puede confirmar si clientes concretos han sufrido compromisos, así que la recomendación pasa por asumir exposición y buscar evidencias. La compañía también indica que los productos asociados a Atlassian Cloud ya están corregidos y que su investigación no encontró señales de explotación en Cloud.

La prioridad defensiva es clara: aplicar de inmediato las versiones corregidas fuera del ciclo habitual de parcheo. Mientras tanto, conviene retirar de Internet las instancias afectadas o, como mínimo, restringir el acceso externo. También se recomienda desplegar reglas en WAF o proxy para bloquear patrones de traversal con la expresión regular que propone Atlassian.

En Confluence, Jira, Jira Service Management, Bamboo y Crowd, la mitigación pasa por habilitar Tomcat RewriteValve y añadir reglas de reescritura que denieguen solicitudes con esos patrones. En Bitbucket Data Center, el ajuste equivalente se aplica en urlrewrite.xml. Para cazar intentos previos, resulta útil revisar logs de acceso decodificando URLs hasta dos veces y buscando secuencias de .. junto a /, \ o ::, o directamente aplicar la expresión de búsqueda sugerida por el fabricante.

Si los registros apuntan a accesos a ficheros de configuración sensibles, la respuesta no debería quedarse en el parche. Toca rotar credenciales y secretos tras contener el incidente, reforzar controles de red y, cuando sea viable, aplicar listas de permitidos de IP en Crowd para complicar el abuso de credenciales filtradas. Bloquear indicadores observados, incluidas IP de escaneo, puede ayudar, pero no sustituye el parcheo.

Más información

• BleepingComputer – Hackers exploit critical Atlassian flaw after public PoC release : https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/
• Atlassian Support – CVE-2026-21589 – Arbitrary File Access Vulnerability impacts Multiple Products : https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html
• Rapid7 – CVE-2026-21589: Critical unauthenticated arbitrary file access in Atlassian products : https://www.rapid7.com/blog/post/etr-cve-2026-21589-critical-unauthenticated-arbitrary-file-access-in-atlassian-products/

La entrada Atacantes aprovechan un fallo crítico en Atlassian Data Center tras publicarse una prueba de concepto se publicó primero en Una Al Día.

El riesgo no llega por una macro visible ni por un botón sospechoso: basta con abrir una hoja de cálculo preparada para forzar la ejecución de código. Dos vulnerabilidades, CVE-2026-63277 en LibreOffice Calc y CVE-2026-59265 en Apache OpenOffice, aprovechan la integración con Java y la forma en la que estas suites gestionan ciertos componentes al cargar documentos no fiables.

En el caso de LibreOffice, el fallo permite que un documento desencadene la carga de un controlador Java para base de datos desde una ubicación remota. La clave técnica está en el uso del class path: si una entrada apunta a un recurso fuera del equipo, el documento puede inducir a la aplicación a resolver clases desde una fuente que el atacante controla. La corrección endurece este comportamiento y obliga a que cada entrada del class path sea una URL de tipo file, lo que bloquea, en la práctica, la carga de clases desde ubicaciones remotas.

La recomendación aquí es directa: actualizar LibreOffice a 26.2.5 o superior, o a 26.8.0 o superior. Ese salto reduce el riesgo asociado a enlaces de datos externos y a conectores JDBC en Calc, un punto delicado en entornos donde se intercambian hojas con conexiones a fuentes de datos.

El escenario se complica con Apache OpenOffice. CVE-2026-59265 afecta a la versión 4.1.16 y anteriores y permite ejecución de código local o remoto al abrir un documento no confiable que explota la integración con Java. La corrección se espera en 4.1.17, pero por ahora se mueve en terreno de release candidate, lo que obliga a gestionar el riesgo con medidas temporales.

La más eficaz consiste en desactivar la integración con Java en OpenOffice si no resulta imprescindible. También conviene limitar el uso de Java en suites ofimáticas en general en aquellos puestos que abren adjuntos con frecuencia, reforzar políticas internas para no abrir ficheros de procedencia dudosa y recurrir a aislamiento cuando sea posible. En escritorio, el enfoque de mínimos privilegios marca la diferencia: si el código llega a ejecutarse, el alcance se queda, como mínimo, dentro del perímetro de permisos del usuario.

En organizaciones, el episodio deja otra lectura: mantener OpenOffice como pieza crítica sin un ciclo de parches ágil obliga a plantearse una sustitución o migración. Cuando el ataque entra por el documento que alguien abre ‘solo para mirar un dato’, cada semana sin actualización cuenta.

Más información

• The Hacker News – LibreOffice and OpenOffice Flaws Let Malicious Spreadsheets Run Code Without Macro Warnings : https://thehackernews.com/2026/10/libreoffice-and-openoffice-flaws.html
• LibreOffice – Security advisories — LibreOffice : https://www.libreoffice.org/security/
• OpenCVE – CVE-2026-59265 – Vulnerability Details : https://app.opencve.io/cve/CVE-2026-59265

La entrada Dos fallos en LibreOffice y OpenOffice permiten ejecutar código al abrir hojas de cálculo sin avisos de macros se publicó primero en Una Al Día.

Administradores y equipos de seguridad vigilan estos días Rejetto HTTP File Server (HFS) por una vulnerabilidad crítica que ya se ha visto en ataques reales. El fallo, identificado como CVE-2026-61500, permite que un atacante remoto, sin necesidad de autenticación, falsifique una cookie de sesión para entrar como administrador y, a partir de ahí, ejecutar código en el servidor. La exposición preocupa especialmente en instancias accesibles desde Internet, un escenario habitual en despliegues de servidores de archivos ligeros.

El origen del problema está en cómo HFS genera la clave que firma la cookie de sesión. En lugar de un generador criptográfico, el software recurre a JavaScript Math.random(), un PRNG diseñado para usos generales, no para seguridad. El flujo de inicio de sesión, además, deja ver suficientes salidas de ese generador como para que un atacante paciente reconstruya su estado interno con unas pocas respuestas del propio proceso de login. Con esa reconstrucción, la clave de firmado deja de ser un secreto.

El siguiente paso llega solo. Una vez que el atacante crea una sesión válida con privilegios de administrador, puede abusar de opciones de configuración que abren la puerta a la ejecución de JavaScript del lado servidor. En concreto, la funcionalidad server_code permite ejecutar código en el servidor, lo que convierte una falsificación de sesión en un caso claro de RCE.

Las versiones afectadas van de HFS 3.0.0 a 3.2.0, ambas incluidas, y el fabricante lo corrige en HFS 3.2.1. La severidad aparece como crítica, con CVSS 4.0 de 9.3 y CVSS 3.1 de 9.8, y el registro público vincula el caso con CWE-338, uso de PRNG criptográficamente débil.

El calendario tampoco ayuda. A finales de septiembre circuló un PoC en Python, lo que reduce el coste para ataques oportunistas. Días después, el 1 de octubre de 2026, se detectaron intentos de explotación contra sistemas vulnerables expuestos en Estados Unidos, y se asoció esa actividad a un actor no identificado con base en China.

La recomendación práctica pasa por actualizar ya a Rejetto HFS 3.2.1 o superior y, antes incluso, localizar qué instancias siguen publicadas en Internet y qué versiones ejecutan, priorizando el rango 3.0.0 a 3.2.0. Conviene restringir la interfaz y la API de administración a redes de confianza, apoyarse en segmentación y revisar registros en busca de abusos del flujo de autenticación y de llamadas a endpoints sensibles, en especial get_config y set_config.

Si existe sospecha de compromiso, no basta con parchear. La obtención de una sesión de administrador permite cambios persistentes y ejecución de código, así que toca rotar credenciales, comprobar integridad del sistema y analizar posibles modificaciones de configuración. Como contención temporal, se puede valorar el uso de claves de firmado robustas mediante COOKIE_SIGN_KEYS, aunque no sustituye la corrección: el objetivo es cerrar la puerta antes de que el servidor acabe ejecutando código ajeno.

Más información

• The Hacker News – Attackers Target Rejetto HFS Flaw That Enables Admin Session Forgery and RCE : https://thehackernews.com/2026/10/attackers-target-rejetto-hfs-flaw-that.html?m=1
• OpenCVE – CVE-2026-61500 – Vulnerability Details : https://app.opencve.io/cve/CVE-2026-61500
• GitHub – aramosf/CVE-2026-61500 PoC and Docker lab : https://github.com/aramosf/CVE-2026-61500

La entrada Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código se publicó primero en Una Al Día.

Un nuevo proof of concept bautizado como BrokenPipe pone el foco en un punto delicado de muchos PCs con Windows: el servicio auxiliar que instala Steam para tareas con privilegios elevados. La demostración describe una ruta para que cualquier usuario sin permisos de administrador acabe ejecutando código como NT AUTHORITY\SYSTEM, sin que el sistema pida credenciales y sin que aparezca el aviso de UAC. En las pruebas, el comportamiento se ha reproducido en Windows 10 y Windows 11 con Steam 10.96.30.42.

El componente señalado es steamservice.exe, el ejecutable de Steam Client Service. En términos prácticos, hablamos de un servicio de Windows que corre con permisos máximos y que expone una interfaz para realizar acciones de mantenimiento y despliegue. Ese diseño, habitual en software que necesita actualizarse o instalar dependencias, se convierte en una superficie de ataque si la lógica de validación no cierra todas las puertas.

La explicación técnica apunta a una validación de firma insuficiente en scripts de instalación VDF. El problema no se limitaría a comprobar si el contenido va firmado, sino a cómo se construye la ruta que el servicio acepta y ejecuta: parte de esa ruta quedaría fuera de la cobertura de la firma, lo que abre la puerta a que un atacante controle dónde se busca el script. El exploit aprovecharía la interfaz del servicio para añadir un script malicioso a una lista de permitidos y forzar su ejecución, logrando que el payload se ejecute con privilegios SYSTEM.

No es un fallo explotable a distancia. El atacante necesita un primer paso, ejecutar código localmente con una cuenta estándar, algo que encaja con escenarios de equipos compartidos, puestos en bibliotecas, cibercafés o entornos corporativos donde algunos usuarios no deberían tener capacidad de elevar permisos. Una vez dentro, una LPE así puede convertir una intrusión limitada en control total del equipo.

A día de hoy no consta un CVE público asociado ni hay confirmación de explotación activa en campañas reales. También se menciona que Valve recibió aviso meses antes de la divulgación pública, con referencia explícita a marzo como fecha de notificación. Eso deja a administradores y equipos de seguridad con una tarea clara: revisar exposición y aplicar controles compensatorios mientras llega una confirmación pública sobre versiones afectadas y corrección.

En la práctica, conviene inventariar qué equipos Windows tienen Steam y decidir si Steam Client Service resulta necesario, sobre todo en puestos sensibles o compartidos. Si se detecta Steam 10.96.30.42 en Windows 10 o Windows 11, toca priorizar la revisión. Reducir la probabilidad de ejecución de código no confiable en cuentas estándar, con listas de permitidos de aplicaciones, control de scripts y políticas de ejecución, baja mucho el riesgo real.

También ayuda vigilar telemetría: creación de procesos en contexto SYSTEM vinculados a steamservice.exe, aparición de cmd.exe u otros lanzadores desde rutas asociadas a Steam, y cualquier patrón de ejecución anómalo alrededor del servicio. Y, como medida de higiene, aplicar reducción de superficie de ataque eliminando software no imprescindible en endpoints críticos. Mantener Steam actualizado sigue siendo clave, pero en este caso además conviene seguir de cerca las comunicaciones oficiales del fabricante y su programa de seguridad para saber si existe parche específico para BrokenPipe y en qué versiones queda resuelto.

Más información

• Reddit r/cybersecurity (hot) – Steam vulnerability on Windows lets any normal user silently escalate to SYSTEM : https://www.reddit.com/r/cybersecurity/comments/1wgld39/steam_vulnerability_on_windows_lets-any-normal/
• SC Media – BrokenPipe exploit grants SYSTEM privileges via Steam client service | brief : https://www.scworld.com/brief/brokenpipe-exploit-grants-system-privileges-via-steam-client-service
• OffSeq Threat Radar – Steam vulnerability on Windows lets any normal user silently escalate to SYSTEM : https://radar.offseq.com/threat/steam-vulnerability-on-windows-lets-any-normal-user-silently-escalate-to-system-f7d79fe146122842
• The Pulse Signal – Steam BrokenPipe Privilege Escalation: SYSTEM PoC : https://thepulsesignal.com/updates/steam-brokenpipe-privilege-escalation/

La entrada Un fallo en Steam para Windows permite escalar privilegios a SYSTEM sin UAC se publicó primero en Una Al Día.

Una campaña de intrusiones está aprovechando dos fallos zero-day en Citrix NetScaler para entrar en appliances expuestos a Internet y dejar puertas abiertas difíciles de detectar a simple vista. Los dos errores, identificados como CVE-2026-88771 y CVE-2026-88772, permiten alcanzar ejecución remota de código sin autenticación en entornos que no aplicaron mitigaciones ni parches, con una severidad crítica, CVSS v4.0 9,5.

El primer fallo, CVE-2026-88771, se origina en una validación de entrada incorrecta y afecta a despliegues de NetScaler ADC y NetScaler Gateway con la configuración por defecto, sin requisitos adicionales. El segundo, CVE-2026-88772, deriva de un desbordamiento de memoria que puede desembocar en RCE o en denegación de servicio. Aquí sí aparece una condición clave, exige DTLS habilitado, y esa opción suele venir activa por defecto en los VPN vServer, así que el alcance práctico puede ser mayor de lo que muchos administradores esperan.

Los atacantes no se quedan en la prueba de concepto. Se han visto web shells PHP con contraseña y, lo más inquietante, cambios deliberados para camuflarlas. En algunos casos, los intrusos ajustan la configuración del servidor web para que ficheros con extensiones que deberían ser inofensivas, como CSS o incluso supuestas imágenes, se procesen como PHP. Ese truco complica la búsqueda manual y facilita que la carga maliciosa conviva con recursos legítimos.

La persistencia también destaca. Se han observado intentos de elevar privilegios activando el bit setuid en /bin/sh, de forma que los comandos lanzados desde la web shell se ejecuten con permisos de root. Si un equipo detecta permisos anómalos en ese binario, conviene tratarlo como señal de intrusión, no como una rareza del sistema.

Entre los artefactos que se han asociado a estas intrusiones aparece el fichero /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver. También se han documentado pistas en httpd.conf, como entradas Alias o AliasMatch sospechosas, además de handlers extraños que fuerzan la ejecución de PHP donde no debería. La fase posterior a la explotación incluye familias con nombres ya conocidos en el sector, como WHIPSHOT, una web shell PHP camuflada, y SLAPSHOT, una herramienta de tunelización TCP en Python pensada para abrir camino hacia hosts internos y facilitar movimiento lateral. En esa línea, se han vinculado indicios como procesos de Python lanzados con nohup y la presencia de ficheros como /tmp/.uxdport o /tmp/.uxdlock.

Citrix publicó actualizaciones para cortar la cadena de ataque. Los productos afectados incluyen Citrix NetScaler ADC 13.1 antes de 13.1-64.23, Citrix NetScaler ADC 14.1 antes de 14.1-73.37, y sus equivalentes en NetScaler Gateway, además de compilaciones FIPS y NDcPP. La recomendación práctica pasa por aplicar cuanto antes 14.1-73.37 o superior, o 13.1-64.23 o superior, usando la rama que corresponda en cada entorno.

Aun así, parchear sin mirar puede salir caro en términos forenses. La prioridad en appliances expuestos debe combinar dos pasos, evaluar compromiso antes de actualizar para no perder rastro útil, y después desplegar el parche. Si existe sospecha fundada, conviene preservar evidencias y registros antes de tocar el sistema, y recurrir a apoyo forense cuando el alcance resulte dudoso.

Como presión añadida, CISA incorporó ambos fallos a su catálogo KEV y fijó el 30 de septiembre de 2026 como fecha límite para que las agencias federales estadounidenses apliquen mitigación o parche. Esa decisión suele marcar el ritmo del sector, porque muchos equipos de seguridad fuera de EEUU usan el KEV como termómetro de explotación real.

También hay un problema estructural. Las versiones 12.1 y 13.0 de NetScaler ya están en fin de vida y no reciben correcciones de seguridad, así que no basta con ‘esperar el parche’. Aquí la salida pasa por migrar a ramas soportadas.

Para quien no pueda parchear de inmediato, existe una mitigación parcial, deshabilitar DTLS cuando sea viable y bloquear UDP entrante al 443 si DTLS no se usa. Esa medida no cubre CVE-2026-88771, así que no sustituye la actualización. En paralelo, conviene revisar indicadores concretos, buscar web shells, auditar httpd.conf, comprobar permisos de /bin/sh y vigilar señales de tunelización desde el appliance. En 2026, los appliances de acceso remoto siguen siendo una autopista directa hacia la red interna, y esta campaña lo está recordando por la vía rápida.

Más información

• BleepingComputer – Hackers exploit Citrix NetScaler zero-day to deploy web shells : https://www.bleepingcomputer.com/news/security/hackers-exploit-citrix-netscaler-zero-day-to-deploy-web-shells/
• Citrix Support – Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771 through CVE-2026-88778 : https://support.citrix.com/external/article/697096
• BleepingComputer – CISA orders feds to patch exploited Citrix flaws by Wednesday : https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-exploited-citrix-flaws-by-wednesday/
• TechRadar Pro – Citrix says two worrying NetScaler RCE zero-days exploited in attacks : https://www.techradar.com/pro/security/citrix-says-two-worrying-netscaler-rce-zero-days-exploited-in-attacks

La entrada Una campaña explota dos zero-days críticos en Citrix NetScaler para instalar web shells y moverse por la red se publicó primero en Una Al Día.

La industria de la seguridad ha detectado una campaña automatizada que rastrea servidores de desarrollo de Vite accesibles desde Internet para localizar y exfiltrar secretos en texto claro, con especial interés por credenciales de AWS y tokens de Microsoft Azure. La actividad se apoya en CVE-2026-39364 y se ha observado de forma sostenida durante semanas, con miles de intentos concentrados en un patrón de peticiones repetitivo y claramente industrializado.

El fallo permite leer ficheros sin autenticación al sortear los controles basados en server.fs.deny, un mecanismo pensado para impedir que el servidor entregue rutas sensibles del sistema de archivos. Los atacantes fuerzan la lectura con combinaciones de parámetros de consulta, como ?raw y variantes que se mezclan con ?import, hasta conseguir que el dev server responda con el contenido del archivo solicitado. El síntoma resulta muy reconocible: peticiones HTTP al endpoint /@fs/ que terminan con un HTTP 200 y el fichero devuelto tal cual.

El alcance incluye Vite 7.1.0 hasta versiones anteriores a 7.3.2, y Vite 8.x hasta versiones anteriores a 8.0.5. El objetivo no suele ser el código de la aplicación, sino lo que el servidor pueda ‘ver’ en el host: desde el clásico .env con claves de acceso, hasta archivos de infraestructura como código, por ejemplo terraform.tfstate, que a menudo contienen secretos, endpoints internos y configuraciones que facilitan un salto directo al entorno cloud.

La campaña enumera listas largas de rutas y nombres de archivo, y también juega con técnicas de path traversal y doble codificación para intentar colarse por diferencias de normalización en proxies inversos y WAF. Parte del tráfico se apoya en infraestructura de Google Cloud, con actividad destacada en rangos 34.x y 35.x. La telemetría recogida en sensores trampa contabiliza 807 sesiones y alrededor de 32.000 eventos en una ventana mensual, un volumen que encaja con una operación de barrido a escala.

El riesgo aumenta cuando equipos de desarrollo publican el dev server fuera del entorno local, algo que puede ocurrir por usar –host, por ajustes de server.host, o por un mapeo de puertos en Docker que deja el servicio expuesto. En la práctica, el puerto habitual, 5173, se convierte en una puerta de entrada si queda accesible desde Internet, y el atacante solo necesita acertar con la ruta para empezar a vaciar secretos.

La primera medida pasa por actualizar a versiones corregidas, como Vite 7.3.2 y 8.0.5 o superiores, y mantener cualquier rama antigua en revisiones parcheadas cuando aplique. También conviene asegurarse de que el dev server queda ligado a localhost, revisar despliegues en Kubernetes, reglas de Ingress y security groups en la nube, y bloquear en el perímetro el acceso externo a 5173.

Como mitigación adicional, las organizaciones pueden denegar solicitudes a /@fs/ y endurecer reglas que detecten patrones de consulta ligados a la elusión, como ?raw y combinaciones con ?import. No basta con fiarse del User Agent ni con listas blancas de bots, porque un atacante puede falsificarlas con facilidad.

Si el servidor vulnerable estuvo expuesto, la urgencia real está en otra parte: rotar de inmediato cualquier secreto que pudiera quedar al alcance del host, incluidos valores de .env, credenciales de AWS, tokens de Azure y ficheros como terraform.tfstate. En un incidente así, el coste no lo marca el acceso al servidor de desarrollo, sino el posible control del entorno cloud que esas claves abren de par en par.

Más información

• BleepingComputer – Hackers target exposed Vite dev servers to steal AWS, Azure secrets : https://www.bleepingcomputer.com/news/security/hackers-target-exposed-vite-dev-servers-to-steal-aws-azure-secrets/
• F5 Labs – Cloud Takeover: Mass Scanning for Exposed Vite Endpoints (CVE-2026-39364) : https://www.f5.com/labs/articles/cloud-takeover-mass-scanning-for-exposed-vite-endpoints-cve-2026-39364
• CSO Online – Exposed Vite servers are being probed for AWS and Azure credentials : https://www.csoonline.com/article/4222259/exposed-vite-servers-are-being-probed-for-aws-and-azure-credentials-2.html
• SC Media – Mass scanning campaign targets Vite development servers for cloud credentials : https://www.scworld.com/brief/mass-scanning-campaign-targets-vite-development-servers-for-cloud-credentials

La entrada Una campaña automatizada saquea servidores de desarrollo Vite expuestos para robar secretos de AWS y Azure se publicó primero en Una Al Día.

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE UU (CISA) ha ordenado a los organismos federales que instalen antes del 30 de septiembre las correcciones de Citrix para dos vulnerabilidades críticas en NetScaler, un componente habitual en el perímetro de muchas redes corporativas. El aviso no llega por prevención: los fallos ya se explotan de forma activa y afectan a sistemas que suelen estar expuestos a Internet, como pasarelas de acceso remoto y servicios de publicación de aplicaciones.

Las dos vulnerabilidades principales, CVE-2026-88771 y CVE-2026-88772, se consideran zero-day porque los atacantes han tenido margen para usarlas antes de que existiera parche generalizado. En el caso de CVE-2026-88771, el problema resulta especialmente delicado: permite ejecución remota de código sin autenticación en NetScaler ADC y NetScaler Gateway con la configuración por defecto, sin requisitos adicionales. Traducido a impacto operativo, un sistema sin actualizar puede quedar a merced de un atacante sin necesidad de credenciales.

CVE-2026-88772 abre dos puertas, según el escenario: ejecución remota de código o denegación de servicio. El detonante está en un desbordamiento de memoria que aparece cuando DTLS está habilitado, un ajuste frecuente porque suele venir activado por defecto en los vServer de VPN. Eso convierte muchas implementaciones de acceso remoto en candidatas prioritarias para parcheo, incluso en organizaciones que crean tener un despliegue ‘estándar’ y sin ajustes especiales.

Citrix ya ha publicado actualizaciones para NetScaler ADC y NetScaler Gateway en las ramas 14.1 y 13.1, incluidas compilaciones FIPS y NDcPP, y pide aplicar como mínimo 14.1-73.37 o 13.1-64.23 (y sus equivalentes en ediciones certificadas). También quedan dentro del radar los despliegues de Secure Private Access Hybrid que tiran de instancias de NetScaler, porque heredan el mismo riesgo.

El boletín de seguridad no se limita a estos dos fallos. Incluye seis vulnerabilidades adicionales, de CVE-2026-88773 a CVE-2026-88778, con vectores como HTTP request smuggling, bypass de políticas y técnicas relacionadas con la predicción del ISN TCP. En este último caso, Citrix acompaña el parche con una recomendación de configuración TCP para mitigar escenarios concretos cuando se usa la funcionalidad afectada.

La directriz de CISA añade un matiz incómodo para los equipos de seguridad: conviene comprobar indicios de compromiso antes de actualizar cuando sea viable y preservar evidencias forenses si hay sospechas, ya que el parcheado puede reducir la visibilidad sobre lo ocurrido. En entornos con telemetría limitada, revisar señales en NetScaler Console y apoyarse en análisis forense especializado puede marcar la diferencia entre ‘cerrar el agujero’ y dejar una intrusión latente.

Para las organizaciones fuera del ámbito federal estadounidense, el mensaje es el mismo: inventario primero y urgencia después. Conviene localizar todas las instancias de NetScaler, priorizar las expuestas a Internet, verificar si DTLS está activo en los vServer de VPN y planificar ventanas de mantenimiento con reversión preparada, porque una actualización en este tipo de infraestructura puede implicar paradas y cambios sensibles en el plano de datos.

Hay un último problema que no se resuelve con prisas: NetScaler 12.1 y 13.0 ya están fuera de soporte. No recibirán parches. Si alguna empresa sigue en esas versiones, la única salida real pasa por una migración urgente a ramas compatibles.

Más información

• BleepingComputer – CISA orders feds to patch exploited Citrix flaws by Wednesday : https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-exploited-citrix-flaws-by-wednesday/
• CISA (GovDelivery bulletin) – Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway : https://content.govdelivery.com/accounts/USDHSCISA/bulletins/42cc465
• Citrix Support – Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771 through CVE-2026-88778 (CTX697096) : https://support.citrix.com/external/article/CTX697096

La entrada CISA da de plazo hasta el 30 de septiembre para parchear dos fallos críticos en Citrix NetScaler ya explotados se publicó primero en Una Al Día.

Los equipos que operan resolutores DNS con validación DNSSEC tienen una actualización prioritaria sobre la mesa: NLnet Labs ha corregido en Unbound 1.26.1 una vulnerabilidad crítica, identificada como CVE-2026-81642, que puede tumbar el servicio y, en determinadas condiciones, permitir ejecución remota de código. El problema afecta a Unbound en todas sus versiones hasta la 1.26.0 inclusive, un rango amplio para un componente habitual en infraestructura y servicios internos.

El fallo reside en el validador DNSSEC al procesar registros DNSKEY. En concreto, el código puede sufrir un desbordamiento de búfer durante el manejo de datos que llegan desde respuestas DNS, un escenario delicado porque el tráfico entra por red y el proceso suele ejecutarse de forma continua. El fabricante ha asignado a la vulnerabilidad una puntuación CVSS 4.0 de 9.1, con vector de red, sin privilegios y sin interacción del usuario, un perfil típico de defectos que conviene cerrar cuanto antes.

El ataque requiere que el adversario controle una zona DNS maliciosa y consiga que el resolutor vulnerable la consulte. Eso puede ocurrir si el resolutor acepta consultas desde redes no confiables, si resuelve para usuarios externos, o si un atacante logra inducir consultas hacia su dominio. En el peor caso, la entrada manipulada no solo provoca denegación de servicio, también deja abierta la posibilidad de RCE mediante datos que controla el atacante. Aun así, en el momento de la divulgación no constaba explotación pública activa en ataques reales.

Unbound 1.26.1 introduce una corrección concreta: añade una comprobación adecuada de la capacidad del búfer después de la descompresión y antes de escribir, un punto crítico para evitar que los datos sobrepasen los límites de memoria. El mismo lanzamiento agrupa además otras ocho correcciones de seguridad, entre ellas CVE-2026-82717, con corrupción de heap al sintetizar CNAME, y CVE-2026-81634, con posible desbordamiento de heap durante la canonización DNSSEC. En conjunto, el paquete no solo apunta a evitar caídas, también a reducir superficies de ataque que podrían degradar el servicio o derivar en comportamientos inesperados.

La recomendación operativa es directa: actualizar a Unbound 1.26.1. Si la ventana de mantenimiento no permite hacerlo de inmediato, conviene aplicar el parche oficial de CVE-2026-81642 sobre el árbol de fuentes con patch -p1, recompilar e instalar, y planificar cuanto antes la adopción del conjunto completo de correcciones. También merece la pena inventariar instancias de Unbound integradas en appliances, contenedores o paquetes de distribución, porque no siempre resulta evidente qué versión corre realmente y si incluye el parche equivalente.

Más información

• The Hacker News – Critical Unbound DNSSEC Validator Flaw Could Allow RCE via a Malicious DNS Zone : https://thehackernews.com/2026/09/critical-unbound-dnssec-validator-flaw.html
• NLnet Labs – Unbound Security Advisories : https://nlnetlabs.nl/projects/unbound/security-advisories/
• Openwall oss-security – Unbound: 1.26.1 addresses multiple CVE items : https://www.openwall.com/lists/oss-security/2026/09/16/3

La entrada Unbound corrige un fallo crítico en DNSSEC que puede abrir la puerta a ejecución remota de código se publicó primero en Una Al Día.

Cisco ha publicado correcciones urgentes para Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC) tras detectar un zero-day de severidad máxima que ya se explota en ataques reales. El problema, registrado como CVE-2026-76460 y puntuado con CVSS 10.0, afecta a infraestructuras que muchas organizaciones usan como pieza central para controlar quién entra en la red, con qué permisos y desde qué dispositivo.

La vulnerabilidad nace en un control de autenticación insuficiente en un endpoint del API. En la práctica, un atacante remoto puede entrar sin credenciales y saltarse la autenticación en el API gateway, con la posibilidad de obtener acceso no autorizado al sistema y eludir la interfaz de administración web. A partir de ahí, el escenario se complica: si el atacante encadena la intrusión con acciones posteriores, puede llegar a ejecutar comandos con privilegios de root, un nivel de control que facilita borrar huellas, ocultar indicadores de compromiso y manipular la plataforma.

El alcance no depende de ajustes concretos. Cisco reconoce que el fallo afecta a ISE y ISE-PIC independientemente de la configuración, y también deja claro un punto incómodo para los equipos de seguridad: no existen soluciones alternativas que eliminen el riesgo. La mitigación real pasa por instalar versiones corregidas.

Cisco ya ha publicado parches para varias ramas: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 y 3.5 Patch 4. La rama Cisco ISE 3.0 ha llegado al fin de mantenimiento de software, así que quienes sigan en esa versión deben planificar una migración a una rama soportada que incluya la corrección.

Mientras se completa la actualización, la compañía recomienda medidas de contención y, sobre todo, verificación. Conviene revisar el ise-kong access.log y los access.log de cada nodo para localizar nombres de usuario sospechosos en peticiones al gateway del API. Esa revisión gana valor cuando se cruza con logs externos, como los del perímetro de red y el firewall, porque ayudan a detectar cargas y descargas inesperadas hacia direcciones IP externas.

Si aparecen indicios sólidos de explotación o compromiso, la respuesta recomendada sube de nivel: reinstalar los nodos afectados y restaurar la configuración desde copias de seguridad. Además, Cisco plantea aplicar iACLs para limitar al mínimo el tráfico de gestión y del plano de control, una forma de reducir superficie de ataque mientras los parches se despliegan en entornos donde parar servicios no siempre resulta trivial.

Más información

• BleepingComputer – Cisco warns of max severity ISE zero-day exploited in attacks : https://www.bleepingcomputer.com/news/security/cisco-warns-of-identity-service-engine-zero-day-exploited-in-attacks/
• Cisco – Cisco Identity Services Engine Authentication Bypass Vulnerability : https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-ISE-ABP-VNSW7Tn5.html

La entrada Cisco corrige un zero-day crítico en ISE que ya se explota en ataques se publicó primero en Una Al Día.