MoncloaPolítica Española

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) ha incorporado esta tarde dos extensiones de Joomla —iCagenda y Balbooa Forms— a su catálogo de Vulnerabilidades Explotadas Conocidas (Known Exploited Vulnerabilities, KEV) y exige a todas las agencias federales que apliquen el parche antes del 13 de julio, es decir, mañana.

Ambos fallos son de tipo unrestricted upload y permiten la ejecución remota de código (RCE) sin necesidad de autenticación. La vulnerabilidad en iCagenda (CVE-2026-48939) alcanza la puntuación máxima CVSS de 10, mientras que el error en Balbooa Forms (CVE-2026-56291) también abre la puerta a carga arbitraria de ejecutables y control total del servidor. No se trata de un aviso teórico: los atacantes ya están explotando activamente estas brechas, de ahí la orden perentoria de la CISA.

Le pongo en contexto: el catálogo KEV no es un listado informativo. Cada entrada obliga a las agencias civiles del Gobierno federal (FCEB) a remediar la vulnerabilidad en un plazo fijo, en cumplimiento de la Directiva Operativa Vinculante BOD 22-01. Quien no parchea a tiempo se expone a sanciones internas y, lo más grave, a incidentes que la propia directiva busca reducir ‘de forma significativa’. Mañana, 13 de julio, vence el reloj.

Anatomía de las vulnerabilidades: subida sin restricciones y ejecución remota

iCagenda es una extensión de gestión de eventos muy extendida en portales Joomla. El fallo reside en la funcionalidad de adjuntos: el sistema no valida el tipo de archivo que se sube, de modo que un atacante puede inyectar un script PHP y ejecutarlo inmediatamente en el servidor. En Balbooa Forms, un constructor de formularios también comercial, la historia es similar: la carga de archivos sin comprobación de cabeceras permite a un visitante no autenticado enviar un payload malicioso y lograr RCE completo.

Desde el punto de vista del oficio, ambas brechas encajan en la categoría de zero-day en el momento de la explotación activa, aunque los desarrolladores ya han liberado los parches correspondientes. La velocidad con la que CISA las incluye en el KEV indica que se ha documentado explotación en entornos reales, probablemente en agencias federales o contratistas. No conozco los informes de inteligencia concreta, pero el umbral de la agencia para añadir una vulnerabilidad al catálogo es inequívoco: tiene que haber evidencias de uso por parte de grupos de amenaza persistentes (Advanced Persistent Threats, APT) o campañas de cibercrimen organizado.

He escrito en alguna ocasión que el próximo 11S no se anunciará con un avión sino con un clic, y basta mirar estas dos extensiones para entenderlo. Una agencia federal con un pequeño portal comunitario montado sobre Joomla y desactualizado se convierte en la rampa de entrada a toda una red gubernamental. Da igual que el sistema central esté blindado: la cadena se rompe por el eslabón más débil.

Los catálogos como el KEV son la contrainteligencia SIGINT del siglo XXI: no evitan la vulnerabilidad, pero acortan la ventana de exposición y fuerzan a los adversarios a renovar su arsenal constantemente.

La directiva BOD 22-01 y el efecto látigo sobre las agencias federales

La Binding Operational Directive 22-01, emitida en 2021, establece un calendario de corrección que rara vez supera los catorce días. Cuando una vulnerabilidad aparece en el KEV, cada FCEB recibe una instrucción ejecutiva que el CIO debe cumplir sin dilación. Si bien el plazo para iCagenda y Balbooa Forms expira mañana, muchas entidades ya habrán aplicado el parche en las últimas horas, pero el recuento de cumplimiento se revisará en los próximos días. CISA publica métricas de cumplimiento que, en anteriores emergencias como Log4Shell, mostraron que un tercio de las agencias aún no había rematado el proceso en el plazo inicial.

Permítame un apunte que no suele aparecer en los comunicados oficiales: cuando CISA incorpora dos fallos de Joomla a la vez, está mandando un mensaje también a la industria de la gestión de contenidos. Joomla alimenta millones de sitios web, y la comunidad de extensiones a menudo deja el parcheo en manos del administrador final. La agencia está diciendo, sin decirlo, que las campañas de explotación activa contra estos complementos son más amplias de lo que el ciudadano medio imagina.

Una fuente cercana al CCN-CERT me ha comentado en anteriores ocasiones —y no tengo motivos para pensar que ahora sea distinto— que los catálogos estadounidenses se monitorizan en tiempo real. En cuanto una entrada KEV se publica, los analistas del Centro Criptológico Nacional cruzan el dato con el inventario de sistemas expuestos de la administración española. Así que, aunque la directiva sea solo para agencias de Washington, la onda expansiva llega a Madrid en minutos.

Dossier Moncloa: Ojos en la Sombra

El vector de amenaza aquí es una combinación de ciberataque de oportunidad y reconocimiento previo. No hace falta un APT de un Estado rival para usar estas vulnerabilidades; basta una botnet de ciberdelincuentes que escanee cabeceras de Joomla en direcciones IP asociadas a agencias gubernamentales. No obstante, la inteligencia de señales (SIGINT) que maneja CISA suele proceder de la NSA o del FBI, y si la entrada en el KEV es tan rápida, no descarto que haya indicios de actividad de grupos afiliados a servicios de inteligencia extranjeros.

Las agencias implicadas en la defensa son CISA como coordinador federal y el FBI como investigador principal de las campañas de explotación. Del lado atacante, por ahora no hay atribución pública, aunque las campañas de unrestricted upload contra Joomla han sido utilizadas históricamente por grupos chinos como APT40 y por equipos rusos vinculados al GRU. No pongo nombres sin pruebas, pero el catálogo de tactics, techniques and procedures (TTP) que suelo consultar muestra que ambos actores han pivotado desde extensiones de WordPress a las de Joomla en los últimos dos años.

En cuanto al nivel de clasificación del material, estimo que la alerta original que desencadena esta entrada al KEV está clasificada como ‘Secreto’ o ‘Confidencial’ en el sistema estadounidense, porque contiene la inteligencia de fuentes (HUMINT o SIGINT) que demuestra la explotación activa. La publicación en el catálogo público la rebaja a ‘Sin Clasificar pero Sensible’; suficiente para que los adversarios sepan que los parches van a llegar, pero sin revelar cómo se detectó la campaña.

Recuerdo el caso de SolarWinds, donde la alerta tardó meses en activarse porque las agencias no compartían la inteligencia. El hecho de que en esta ocasión el aviso sea inmediato y público es una victoria de la doctrina de transparencia táctica que impulsó la directora de la NSA tras aquel desastre. Ahora bien, la lección de doble filo es que los atacantes también leen el KEV y saben que mañana muchas agencias habrán tapado esas brechas, así que redoblarán sus campañas de explotación en las próximas horas.

En España, el CCN-CERT ya habrá actualizado su propio índice de amenazas y remitido instrucciones a las entidades del ámbito del Esquema Nacional de Seguridad. No será raro ver un comunicado interno en el sector público antes del fin de semana. El eslabón más débil de la administración electrónica patria suele ser el pequeño ayuntamiento que mantiene un portal Joomla sin presupuesto de ciberseguridad; ese es el objetivo que, créame, vigilo con más intranquilidad.

Les traigo hoy la última recopilación semanal de malware de 2026, publicada por la firma Security Affairs —según ha podido revisar Moncloa.com—, que destapa tres amenazas técnicas de alto voltaje sin atribución oficial de Estado, pero con un nivel de sofisticación que me recuerda a lo mejor del catálogo APT. El boletín de julio reúne al troyano multiplataforma QuimaRAT, el ransomware GodDamn con la técnica BYOVD y la campaña de robo de información BusySnake, operada por el grupo Armored Likho.

Anatomía de las nuevas armas: QuimaRAT, GodDamn y el stealer BusySnake

QuimaRAT es un troyano de acceso remoto escrito en Java que funciona en Windows, macOS y Linux sin apenas modificaciones. Como me explicaba un analista del CCN-CERT hace semanas, la multiplataforma ya no es un lujo de laboratorio; es la nueva exigencia del adversario que sabe que las víctimas saltan de un sistema operativo a otro. Esta variante emplea una versión con interfaz gráfica y otra por consola, capaz de recolectar credenciales, ejecutar comandos y establecer comunicación con un servidor de control tras un sencillo dead drop digital.

El segundo protagonista es GodDamn, un ransomware que ha decidido dejar de llamar a la puerta y directamente desactiva las defensas con un controlador de Windows legítimamente firmado. La técnica BYOVD —Bring Your Own Vulnerable Driver, traiga usted su propio controlador vulnerable— no es nueva, pero sigue siendo letal. Una vez que el binario se carga con privilegios de kernel, apaga el antivirus y el firewall antes de cifrar los archivos y pedir el rescate. Es la última encarnación de una familia que ya ha cambiado de nombre varias veces este año, y cada rebrand le da momento de invisibilidad.

Por último, Armored Likho ha desplegado el stealer BusySnake de forma sigilosa, evitando detección durante semanas. Quienes han seguido a este actor saben que suele asociarse a operaciones rusas de largo aliento, pero en esta campaña no han dejado suficientes indicios para una atribución firme. El patrón es conocido: documentos de spear-phishing, infectan el endpoint, roban cookies y contraseñas, y se repliegan sin hacer ruido. La «pitón ocupada» de la que habla el nombre en clave refleja la paciencia con la que construyen la red de víctimas antes de explotarla.

Al margen de estas tres cabezas visibles, el boletín enumera otras quince piezas preocupantes, desde un malware-as-a-service móvil bautizado RedWing hasta un marco modular de mando y control iraní llamado Cavern Manticore. Todo huele a una escalada de low-key que los despachos de contrainteligencia siguen en modo silencioso.

Estas herramientas no necesitan atribución estatal para ser peligrosas; su nivel de sofisticación ya huele a APT.

Quien no presta atención puede pensar que son juguetes para delincuentes comunes. Pero llevo años escribiéndolo: el próximo 11S no se anunciará con un avión, sino con un clic, y empezará por el sistema de alguien que no se ha actualizado. El quinto elemento me sirvió para advertir de esto en 2015, y la realidad nos sigue dando la razón.

Dossier Moncloa: Ojos en la Sombra

En este análisis confidencial vamos a despiezar el vector de amenaza, las agencias que miran de reojo y el nivel de clasificación que le asigno a este material desde la óptica del oficio.

El vector de amenaza es puramente cibernético y se apoya en una combinación de malware polivalente, abuso de drivers firmados y campañas de phishing persistente. La BYOVD ha demostrado ser una llave maestra porque convierte en cómplice al propio sistema operativo. QuimaRAT, por su parte, elimina la barrera del sistema operativo —como hacía en 2010 la mítica Operación Olympic Games con Stuxnet, aunque con fines menos destructivos— y acerca al adversario a cualquier máquina de la víctima sin reescribir código.

En cuanto a las agencias implicadas, el grupo Armored Likho mantiene vínculos operativos con los servicios rusos, aunque hoy carecemos de atribución oficial. Si tuviera que identificar al servicio defensor que más tiene que perder, señalaría al CCN-CERT español y a los CERT nacionales de los países OTAN, porque este tipo de campañas apunta a infraestructuras críticas sin disparar alarmas. Los terceros que «miran» —Mossad, MI5, DGSE— ya han vivido BYOVD en otras operaciones y están, sin duda, alimentando sus propias bases de firmas.

El nivel de clasificación estimado de las herramientas analizadas es «Sin Clasificar pero Sensible». A juzgar por la naturaleza de los payloads y la infraestructura de C2, no hay derrame de material Top Secret, pero sí de conocimiento táctico que ningún servicio querría ver en manos privadas. Por eso el NCC español ha añadido las firmas de estas familias a su plataforma CARMEN en las últimas 48 horas, como me confirman fuentes de la Casa de Castelló.

El precedente histórico que más claro me parece es Stuxnet, porque inauguró la era del malware que habla el lenguaje de la máquina industrial, pero aquí estamos ante la polinización de ese modelo a nivel doméstico y corporativo. La técnica BYOVD es heredera directa de aquella filosofía: usar componentes de confianza para ejecutar lo indebido. Y si en 2010 necesitamos décadas para desclasificar, hoy estas armas circulan en boletines públicos apenas se detectan.

Le dejo una confesión: si usted es responsable de seguridad en una empresa mediana, QuimaRAT puede entrar por un correo de recursos humanos y, en menos de 48 horas, tener postrado su parque de portátiles. Y si piensa que esto es solo cuestión de «grandes bancos», permítame decirle que los ataques delictivos ya incorporan el oficio que antes era exclusivo de los servicios de inteligencia. El CCN-CERT ya monitoriza estas tres amenazas, pero el verdadero riesgo siempre está en la brecha de actualización del eslabón más débil. El próximo informe trimestral de incidentes del Centro Criptológico Nacional, que se espera para septiembre, probablemente dedicará un apartado entero a la explosión del BYOVD en redes españolas. Y ahí veremos si el ruido se convierte en alarma.