CISA añade cinco vulnerabilidades a su catálogo KEV, entre ellas un fallo de ProFTPD con un CVSS de 10.0. Las cinco están siendo explotadas en campañas de espionaje atribuidas a actores vinculados con China y el plazo de remediación fijado para las agencias federales estadounidenses expira hoy, 11 de octubre de 2026.
La actualización del catálogo Known Exploited Vulnerabilities no llega sola. Coincide con un aviso conjunto firmado por Australia, Canadá, Japón, Nueva Zelanda, España, Reino Unido y Estados Unidos, siete países que han puesto nombre y apellidos a la campaña: Integrity Technology Group, una empresa china de ciberseguridad. En paralelo, el Departamento de Justicia y el FBI han confiscado dos herramientas presuntamente operadas desde esa compañía, Microscan y FishHub.
Cinco fallos que llevan años abiertos y nadie cerró
He seguido de cerca otras campañas con la misma firma y el patrón se repite: el daño no viene de la sofisticación. Empecemos por el peor. CVE-2015-3306 es un fallo de control de acceso en ProFTPD, la variante más extendida del servidor FTP sobre Linux, que permite a un atacante remoto leer o modificar archivos arbitrarios abusando de los comandos SITE CPFR y SITE CPTO. Puntuación máxima: 10.0. El fallo se documentó en 2015 y sigue vivo en servidores que nadie ha tocado desde entonces.
CVE-2021-3199 es un salto de ruta en ONLYOFFICE Docs que se activa cuando el servicio funciona con JSON Web Token habilitado. Basta una secuencia /.. en el parámetro de subida de imagen para intentar ejecución remota de código. CVSS 9.8, casi nada. Hablamos de suites ofimáticas instaladas en ministerios, despachos y sociedades que procesan documentos internos.
CVE-2023-22894, en Strapi, es menos vistoso y por eso más sucio: expone información sensible almacenada en claro y permite que quien tenga acceso al panel de administración use filtros de consulta para sacar datos confidenciales de usuarios sin dejar rastro aparente. CVSS 7.2. El gestor de contenidos de moda, convertido en puerta lateral.
Ninguna de estas cinco puertas se ha cerrado por sí sola. Lo viejo no es lo inofensivo: es lo que ya nadie mira.
CVE-2016-3081 es inyección de comandos en Apache Struts, explotable a través de prefijos method: cuando la Invocación Dinámica de Métodos está habilitada. CVSS 8.1. El mismo framework cuya explotación le costó a Equifax los datos de 147 millones de personas en 2017. Y CVE-2015-5477, en ISC BIND, permite tumbar servidores DNS con consultas TKEY remotas. CVSS 7.5: denegación de servicio contra la columna vertebral de internet.
Le pongo en contexto para que no se pierda entre siglas. Esto no es un grupo con un zero-day carísimo y un equipo de élite. Es una campaña industrial de escaneo y robo de credenciales: ataques de cross-site scripting, pulverización de contraseñas contra servidores Microsoft Exchange, persistencia a través de software VPN y scripts para extraer correo y credenciales. Según el aviso conjunto, la actividad recurrió a ocho vulnerabilidades, cinco de ellas las que ahora entran en el KEV, para conseguir acceso inicial y robar información sensible.
Microscan y FishHub: lo que el FBI ha confiscado
Aquí está el dato que separa esta operación de la rutina mensual de avisos. El Departamento de Justicia y el FBI han incautado dos herramientas atribuidas a Integrity Technology Group. La primera, Microscan, servía para rastrear redes en busca de sistemas vulnerables. La segunda, FishHub, se apoyaba en correos de spear-phishing para entregar malware, abrir acceso remoto y robar archivos. Ambas se habrían usado contra infraestructuras críticas de varios países.
Me consta que la incautación de herramientas no es cosmética. Cuando Washington se queda con la infraestructura de escaneo de un actor estatal, no solo le quita el escáner: le obliga a reconstruir la logística, a reimplantar servidores y a asumir que la próxima versión puede estar comprometida desde el primer día. Quitarle las herramientas duele más que una nota de prensa.
Todo esto viene con reloj. La directiva operativa vinculante BOD 22-01 obliga a las agencias del gobierno federal civil a remediar cada entrada del catálogo antes de la fecha asignada, y la fecha límite para estas cinco vulnerabilidades vence hoy. Los expertos recomiendan lo mismo al sector privado, aunque nadie va a ir a comprobar si lo hacen: el catálogo KEV ya supera el millar de entradas y crece cada semana.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de Estado con explotación de vulnerabilidades conocidas, aderezado con robo de credenciales y persistencia en VPN. No hay zero-day ni gusano autorreplicante, y precisamente por eso funciona. La campaña no busca el impacto, busca la permanencia: entrar por una puerta que llevaba una década abierta, sentarse en el correo corporativo y salir sin ruido. Dieciocho meses dentro de una red ajena se notan menos que un rescate de ransomware y rinden más.
Agencias implicadas. Atacante: actores vinculados a Integrity Technology Group, con atribución cruzada de siete gobiernos. Defensores: CISA, FBI y Departamento de Justicia por el lado estadounidense, más el NCSC británico, el ASD australiano, el CCCS canadiense, el JPCERT japonés, el NCSC neozelandés y el CCN-CERT español, que firma el aviso conjunto. Observando: el resto de Five Eyes, la Comisión Europea y cualquier servicio que esté leyendo el mismo documento esta mañana en Bruselas, París o Berlín.
Nivel de clasificación estimado. A juzgar por la naturaleza del material sustraído —correo corporativo, credenciales, archivos internos—, estimo que hablamos de material de clasificación Confidencial en la mayoría de los casos y Secreto en los entornos de defensa y energía. Ninguna de estas herramientas roba cajas fuertes. Roba lo que fluye por la red sin que nadie lo revise.
Conviene recordar el precedente. Lo que hizo de SolarWinds un caso histórico en 2020 no fue el número de víctimas: fue la elegancia de la cadena de suministro, la capacidad del SVR de entrar por una actualización legítima. Esto es lo contrario: fuerza bruta administrativa, la misma lógica que el GRU aplicó con NotPetya en 2017. Y hay un paralelismo que me interesa más. APT31 y APT40, los dos grupos chinos con más historial contra infraestructuras occidentales, tampoco necesitaron nada exótico para acumular años de acceso. La lección es incómoda: el agujero está en nuestra gestión de parches.
Reconozco el punto débil del análisis. Atribuir a un Estado la actividad de una empresa privada china es cómodo jurídicamente y frágil técnicamente. Integrity Technology Group no es Beijing, como NSO Group no era Tel Aviv ni Hacking Team era Roma. Los indicadores técnicos —herramientas, infraestructura, patrones de explotación— apuntan a esa compañía con solidez; el salto que la vincula con el aparato estatal chino lo sostienen los gobiernos firmantes, no una prueba pública. Cuando la atribución se apoya en el contexto y no en el código, conviene decirlo.
Que una vulnerabilidad de 2015 siga dando acceso a redes críticas no habla del talento del atacante, sino de quien nunca actualizó el servidor.
España firma el aviso. No es un detalle menor. El CCN-CERT, dependiente del CNI, aparece entre los servicios que suscriben el documento, lo que coloca a nuestro país en el mismo papel que el NCSC británico o el ASD australiano en una campaña atribuida a China. Para el detalle técnico, la web del CCN-CERT publica sus propias notas de alerta cada vez que el KEV se mueve. No se equivoque: la frontera digital española no está en los Pirineos, está en un servidor ProFTPD que alguien instaló en 2016 y no ha vuelto a mirar.
Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic y probablemente estará precedido por un aviso que nadie leyó. Cuando el plazo de hoy expire, la pregunta interesante no será cuántas agencias federales certificaron su remediación, sino cuántos sistemas privados españoles siguen ejecutando las mismas cinco versiones vulnerables; y me temo que buena parte de los equipos afectados sigue sin inventariar. El catálogo KEV es una lista, y la brecha se abre en lo que no aparece en el catálogo.
