CISA suma vulnerabilidades de Fortinet y BeyondTrust a su catálogo KEV de fallos ya explotados. La agencia estadounidense no añade entradas por cortesía: cada incorporación confirma que alguien ha usado ya ese agujero contra un objetivo real. Y esta semana el aviso llega con un segundo titular incómodo, el incidente que BAE Systems ha notificado y que dejó una semana sin servicio el sistema de notificaciones de quiebras de Estados Unidos.
Le pongo en contexto, porque la sigla KEV se ha convertido en muletilla de boletín y casi nadie la lee con atención. El Known Exploited Vulnerabilities es la lista con la que la agencia federal marca los fallos explotados en campo; entrar en ella obliga a las agencias de EE.UU. a parchear en plazo y, de facto, fija el estándar mundial. Cuando el catálogo KEV de CISA incorpora Fortinet Multiple Products y BeyondTrust Remote Support en la misma hornada, lo que está diciendo es que la superficie de ataque preferida sigue siendo el borde de la red.
Por qué una entrada en el KEV vale más que cien alertas
No es una moda. Los dispositivos de borde —pasarelas VPN, consolas de administración, herramientas de soporte remoto— viven expuestos a internet por diseño, casi nunca llevan encima un EDR y rara vez se reinician con la frecuencia que exige un parche. Para un grupo APT son la puerta más rentable: una vulnerabilidad bien elegida entrega acceso persistente a cientos de organizaciones de golpe. Hace años que sostengo que el eslabón débil no es el usuario, es el aparato sin actualizar.
Fíjese en el detalle que importa. Fortinet y BeyondTrust no comparten fabricante, ni arquitectura, ni cartera de clientes; comparten categoría. Son equipos que se instalan una vez y se olvidan, administrados a menudo por un integrador externo; la mayoría de los integradores no tiene mandato para tocar producción. El atacante lo sabe. Por eso las campañas de acceso inicial se concentran ahí y por eso la CISA las mete en el mismo paquete.
Nadie parchea lo que no sabe que tiene.
El historial: de FortiManager a BeyondTrust, el mismo patrón
Esto no nace ayer. El caso PEERSTITCH, documentado este año, comprometió alrededor de quinientos cortafuegos a través de FortiManager: el atacante no persiguió a los clientes uno por uno, se sentó en la consola de gestión y empujó la configuración desde arriba. La misma lógica se ha visto en SonicWall SMA 1000, con 135 intentos de explotación tras la publicación del parche, y en las VPN de Ivanti Connect Secure, donde se encadenaron tres zero-days sin parche disponible. Quien controla la herramienta de administración controla a todos los administrados.
El espionaje industrial y el sabotaje comparten puerta de entrada; solo se diferencian en lo que el intruso hace cuando ya está dentro.
El incidente de BAE Systems añade la capa que de verdad preocupa. Una compañía de defensa no es una tienda online: es un nodo de la base industrial aliada, con contratos clasificados, cadenas de suministro a varios niveles y presencia en programas que no se pueden contar en voz alta. Que un fallo de disponibilidad deje una semana entera sin servicio un sistema judicial estadounidense ya es grave; que el vector entre por un proveedor del sector defensa es una advertencia estructural. La pregunta que ningún comunicado responde es la que yo haría en una sala cerrada: ¿el atacante buscaba el servicio o el proveedor?
Reconozco que aquí la atribución se vuelve terreno pantanoso. La CISA no atribuye y hace bien: su mandato es cerrar la puerta, no señalar al que llamó. Quien afirme sin más que detrás de esto hay un servicio concreto está vendiendo humo o tiene un interés. Lo que sí puede sostenerse con respaldo técnico es el patrón: explotación masiva de borde, persistencia en la consola de gestión y silencio del fabricante hasta que el parche está listo. Ese patrón lo han usado Sandworm (GRU), APT29 (SVR) y varios grupos de acceso inicial de habla rusa y china sin que exista una atribución cruzada definitiva.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de explotación de vulnerabilidades en dispositivos de borde, con explotación confirmada en campo. No estamos ante un ransomware oportunista ni ante un phishing masivo; estamos ante acceso inicial de calidad, del que se compra en un mercado cerrado y se guarda para el día en que haga falta. La segunda pieza, el incidente del proveedor de defensa, admite dos lecturas: disponibilidad pura o reconocimiento previo. La diferencia entre sabotaje y espionaje, en este oficio, es lo que el intruso hace después.
Agencias implicadas, en tres círculos. En el atacante, ninguna atribución oficial: el KEV certifica explotación, no autoría. En el defensivo, la CISA estadounidense como autoridad del catálogo, el NCSC británico por su dependencia de la base industrial y, en lo que nos toca, el CCN-CERT del CNI, que replica estas alertas con retraso de días. En el tercero, los servicios de contrainteligencia económica que vigilan la cadena de suministro de defensa sin publicarlo: DGSE francesa, BND alemana, AISE italiana y los Five Eyes en bloque.
Nivel de clasificación estimado: Reservado en la parte del catálogo, porque son datos públicos, y Confidencial o superior en todo lo relativo a BAE Systems, donde el alcance real, la duración y el posible acceso a documentación contractual no se van a publicar. A juzgar por la naturaleza del material, estimo que el informe interno está clasificado y que lo leído es la versión saneada para el regulador.
La atribución en ciberguerra se ha convertido en un ejercicio de fe; la explotación, en cambio, deja huellas que se pueden fechar.
Precedente: SolarWinds, 2020. Entonces el vector no fue un fallo del borde sino la actualización legítima, y el resultado fue el mismo, acceso silencioso a miles de organizaciones incluida la propia CISA. La diferencia es que en 2020 hubo atribución pública al SVR y aquí, de momento, no hay nada. Con Stuxnet aprendimos que el código habla más que los comunicados; con SolarWinds, que la cadena de suministro es el objetivo. Ambas lecciones siguen vigentes y ninguna se ha interiorizado del todo.
Lo escribí en El quinto elemento y lo mantengo: el próximo 11S empezará con un clic en el sistema de alguien que no se ha actualizado.
Tenga presente un dato de escala antes de cerrar: el Patch Tuesday de octubre de 2026 batió el récord con 1.415 CVE en una sola tanda. Con ese volumen, pretender que el parcheo manual resuelva el problema es una fantasía administrativa. España tiene ocho mil infraestructuras críticas y buena parte de ellas se gestiona desde consolas de borde que nadie audita con la frecuencia debida. Lo he escrito en alguna ocasión y no ha cambiado tanto. Permítame una última advertencia: compruebe usted mismo cuántas de esas consolas tiene abiertas a internet. Ahí empieza todo.
