Qué pasó
CISA, la agencia de ciberseguridad de EE. UU., añadió cinco fallos antiguos, algunos con más de diez años, a su catálogo de vulnerabilidades explotadas activamente (KEV). Coincide con un aviso conjunto de siete países, entre ellos Japón (con Australia, Canadá, Nueva Zelanda, España, Reino Unido y EE. UU.), sobre operaciones atribuidas a actores vinculados a Integrity Technology Group, una empresa de ciberseguridad con sede en China, según Security Affairs.
Los cinco fallos
| CVE | Producto | Tipo | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | control de acceso (SITE CPFR/CPTO) permite leer/modificar archivos | 10,0 |
| CVE-2021-3199 | ONLYOFFICE Docs | path traversal con JWT activo, posible ejecución de código | 9,8 |
| CVE-2016-3081 | Apache Struts | inyección de comandos vía method: con Dynamic Method Invocation | 8,1 |
| CVE-2015-5477 | ISC BIND | consulta TKEY provoca denegación de servicio | 7,5 |
| CVE-2023-22894 | Strapi | exposición de datos sensibles vía filtros del panel admin | 7,2 |
Según Security Affairs, la actividad implicó ocho vulnerabilidades en total para obtener acceso inicial y robar información. También usaron escáneres, XSS y password spraying contra Microsoft Exchange, además de VPN para mantener acceso y scripts para extraer correos y credenciales.
Herramientas incautadas
El Departamento de Justicia y el FBI incautaron dos herramientas atribuidas a la empresa: Microscan, para escanear redes, y FishHub, que usaba spear-phishing para entregar malware y robar archivos.
Las agencias federales de EE. UU. tenían hasta el 11 de octubre de 2026 para corregirlos.
Por qué siguen importando fallos de 2015
Porque los servidores olvidados siguen en línea: un FTP viejo, un DNS interno sin actualizar, una app Struts heredada. La participación de Japón muestra que empresas japonesas también están en el punto de mira.
Lista para pymes
- Inventario de activos expuestos, incluidos servidores "temporales" antiguos.
- Busque las cinco versiones y actualice o apague.
- Exchange: MFA, bloquear autenticación heredada y vigilar password spraying.
- Formación contra spear-phishing.
- Siga el catálogo KEV como lista de prioridades de parches.
Fuentes
- Security Affairs (11/10/2026): https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- Catálogo KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
¿Quiere mapear y reducir la superficie de ataque de su empresa? KGA IT ofrece una consulta gratuita: kga-it.com.