¿Cuál es la amenaza?

La vulnerabilidad CVE-2026-0257 es un fallo de seguridad en la función VPN GlobalProtect de los firewalls de Palo Alto Networks y Prisma Access. Afecta a los sistemas donde están habilitadas las cookies de anulación de autenticación y dichas cookies utilizan el mismo certificado que la interfaz web principal (HTTPS) de GlobalProtect.

Estas cookies son pequeños fragmentos de datos que se generan tras un inicio de sesión exitoso. Permiten a los usuarios volver a conectarse sin tener que introducir de nuevo su contraseña ni sus credenciales de autenticación multifactor. Debido a un fallo de diseño, el cortafuegos confía en cualquier cookie que pueda descifrar correctamente. No verifica que haya sido él quien la generó originalmente.

Un atacante puede conectarse al sitio web de GlobalProtect y obtener el certificado público que utiliza el servicio. A continuación, puede usar esa información para generar una cookie falsificada que parezca pertenecer a un usuario legítimo. Cuando el atacante envía la cookie falsificada al portal o puerta de enlace de GlobalProtect, el firewall podría autenticarlo erróneamente como un usuario legítimo. En algunos casos, podría tratarse de una cuenta de administrador local. No se requieren credenciales válidas.

Si el ataque tiene éxito, puede establecer una sesión VPN completa en la red de la organización y acceder a los sistemas internos como si fuera un usuario remoto legítimo. Proveedores de seguridad como Rapid7 y Palo Alto Networks han detectado esta técnica en ataques reales. Los informes indican que los atacantes utilizan proveedores de alojamiento en la nube de bajo costo para buscar y explotar dispositivos GlobalProtect vulnerables.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente importante porque afecta a las puertas de enlace VPN en el perímetro de la red. Estos sistemas suelen ser el método principal que utilizan los usuarios y administradores remotos para acceder a los recursos de la organización.

Si se explota, los atacantes pueden eludir los controles de autenticación habituales y obtener acceso desde internet haciéndose pasar por usuarios de VPN de confianza. Palo Alto Networks, Rapid7 y CISA han confirmado la explotación activa de esta vulnerabilidad en entornos reales.

Inicialmente, la vulnerabilidad recibió una calificación de gravedad media. Posteriormente, se reevaluó debido a que su impacto en el mundo real resultó ser más grave de lo estimado originalmente.

La CISA añadió la vulnerabilidad CVE-2026-0257 al catálogo KEV. Asimismo, exigió a las agencias federales estadounidenses que solucionaran el problema con prontitud. Estas medidas ponen de manifiesto la gravedad de la amenaza.

¿Cuál es la exposición o el riesgo?

La explotación exitosa permite a los atacantes autenticarse a través de GlobalProtect sin un nombre de usuario, contraseña o verificación multifactor (MFA) válidos. Como resultado, pueden obtener acceso remoto a redes internas desde internet haciéndose pasar por usuarios legítimos de VPN.

El nivel de acceso depende de la configuración de la VPN y de la cuenta que se está suplantando. En muchos entornos, esto podría proporcionar acceso a sistemas internos críticos, recursos compartidos de archivos y herramientas administrativas.

Palo Alto Networks y Rapid7 no han informado públicamente sobre evidencia de actividad posterior a la intrusión en los incidentes observados. Sin embargo, los atacantes aún podrían usar el acceso para profundizar en el entorno.

Las posibles actividades posteriores pueden incluir el robo de datos, la obtención de credenciales, la implementación de malware o el establecimiento de persistencia para futuros ataques. Dado que los ciberdelincuentes escanean activamente internet y atacan los sistemas GlobalProtect vulnerables, cualquier implementación sin parchear o mal configurada se enfrenta a un mayor riesgo de vulneración. Las organizaciones que dependen en gran medida de GlobalProtect para la conectividad remota deben extremar las precauciones. Una puerta de enlace VPN comprometida puede eludir múltiples capas de controles de seguridad internos.

El futuro de la seguridad comienza antes del malware

• Actualice los dispositivos afectados: Actualice todos los sistemas PAN-OS y Prisma Access a las últimas versiones con correcciones de seguridad publicadas por Palo Alto Networks.
• Deshabilitar o reconfigurar las cookies de anulación de autenticación: Deshabilitar las cookies de anulación de autenticación de GlobalProtect siempre que sea posible. Si deben permanecer habilitadas, configúrelas para que utilicen un certificado específico en lugar del certificado HTTPS principal o del portal.
• Restringir el acceso a la VPN: Limite el acceso a los portales y puertas de enlace de GlobalProtect mediante listas de direcciones IP permitidas, bloqueo geográfico o reglas de firewall que permitan conexiones solo desde fuentes confiables.
• Supervise los registros de GlobalProtect: revise periódicamente los registros de la VPN para detectar actividad de autenticación inusual, incluidos inicios de sesión inesperados basados en cookies, nombres de dispositivos desconocidos, ubicaciones sospechosas o direcciones IP maliciosas conocidas.
• Investigue de inmediato cualquier actividad sospechosa: finalice las sesiones VPN sospechosas, restablezca las credenciales o los tokens de autenticación y revise los sistemas internos en busca de evidencia de acceso no autorizado.
• Implementar la autenticación multifactor y la monitorización continua: Exigir la autenticación multifactor a todos los usuarios de VPN y considerar servicios de monitorización de seguridad 24/7 para identificar y responder rápidamente a las amenazas relacionadas con la VPN.

La inteligencia artificial ya está descubriendo vulnerabilidades

Herramientas de inteligencia artificial como Mythos de Anthropic o ChatGPT 5.5 de OpenAI ya son utilizadas por investigadores de seguridad para identificar decenas de miles de vulnerabilidades en aplicaciones y sistemas. Estas capacidades representan un avance significativo para la comunidad defensiva, permitiendo acelerar auditorías de seguridad, mejorar revisiones de código y detectar errores antes de que lleguen a producción.

Sin embargo, también existe una preocupación creciente. Si los investigadores pueden aprovechar estas tecnologías para encontrar vulnerabilidades, es razonable asumir que los actores maliciosos también podrán hacerlo. "Y probablemente ya lo estén haciendo."

Los ciberdelincuentes podrían utilizar modelos de IA para automatizar procesos que anteriormente requerían semanas o meses de investigación, reduciendo considerablemente el tiempo necesario para desarrollar ataques altamente efectivos.

La ventana de actualización se está cerrando

Diversos estudios indican que la mayoría de los equipos de seguridad requieren entre cuatro y siete días para identificar vulnerabilidades críticas dentro de sus entornos productivos los cuales presentan los siguiente:

• Solo una pequeña proporción logra detectar y evaluar amenazas en menos de 24 horas.
• Históricamente, muchas organizaciones han considerado la gestión de parches como un proceso periódico.
• Las actualizaciones suelen aplicarse después de ciclos extensos de pruebas, validaciones y ventanas de mantenimiento programadas.
• El problema es que los atacantes ya no operan bajo esos mismos tiempos.

• En algunos casos, los exploits aparecen incluso antes de que se publique una corrección oficial.

En otros, basta con analizar un parche recién liberado para comprender qué vulnerabilidad corrige y desarrollar un exploit funcional mediante herramientas de codificación asistidas por inteligencia artificial.

Lo que antes tomaba semanas, hoy puede suceder en cuestión de minutos.

Los MSP se convierten en actores estratégicos

Ante esta nueva realidad, cada vez más organizaciones están recurriendo a los Proveedores de Servicios Gestionados (MSP) para fortalecer sus procesos de gestión de vulnerabilidades.

Las empresas buscan socios capaces de proporcionar:

• Monitoreo continuo de vulnerabilidades.
• Seguimiento permanente de boletines de seguridad.
• Priorización de riesgos basada en exposición real.
• Automatización del despliegue de actualizaciones.
• Validación y pruebas aceleradas de parches.
• La gestión de parches está dejando de ser una actividad mensual para convertirse en una función prácticamente continua.

Para los MSP esto representa tanto una oportunidad de negocio como un desafío operativo.

Deberán decidir si apoyarse en plataformas especializadas, desarrollar capacidades propias o incorporar herramientas impulsadas por IA que permitan mantener el ritmo de un panorama de amenazas en constante evolución.

La seguridad de aplicaciones entra en una nueva etapa

La inteligencia artifical está redefiniendo por completo el ciclo de vida de la seguridad de aplicaciones. La pregunta ya no es únicamente si una organización aplicará un parche. La verdadera pretunta es cuanto tiempo tardará en hacerlo antes de que alguien encuetnre una forma de explotar la vulnerabilidad.

Para los MSP, esta transformación también implica mirar hacia adentro. Los clientes depositan su confianza en estos proveedores para actuar como su primera línea de defensa. Una vulneración dentro del propio MSP podría afectar simultáneamente a múltiples organizaciones y erosionar rápidamente esa confianza.

La era de los parches trimestrales o mensuales está lelgando a su fin. En un mundo impulsado por IA, la gestión de vulnerabilidades deberá operar con la misma velocidad con la que evolucionan las amenazas.

Porque cuando una IA puede encontrar una vulnerabilidad en minutos, esperar semanas para corregirla simplemente deja de ser una opción.

¿Cuál es la amenaza?

CVE-2026-50751 es una vulnerabilidad crítica de omisión de autenticación en los productos de Firewall Check Point Mobile Access VPN, Remote Access VPN y Spark que permite a atacantes remotos no autenticados establecer sesiones VPN. Su origen reside en la forma en que la puerta de enlace VPN procesa la autenticación y la inicialización de la sesión para ciertas rutas de acceso, especialmente cuando se habilitan protocolos heredados o en desuso (en particular IKEv1) o modos de autenticación mixtos. Debido a una validación incorrecta durante la negociación de la sesión, las solicitudes de conexión especialmente diseñadas pueden provocar que la puerta de enlace trate erróneamente a un usuario como autenticado.

La explotación es sencilla y de gran impacto. Un atacante no autenticado puede enviar solicitudes de negociación VPN o SSL VPN manipuladas a una puerta de enlace expuesta, alterando parámetros específicos del protocolo e identificadores de sesión para eludir las comprobaciones de credenciales. Como resultado, la puerta de enlace establece una sesión VPN que otorga a los atacantes acceso directo a recursos internos de capa 3 o capa 7 según la configuración sin necesidad de credenciales robadas ni interacción del usuario.

Tras lograr eludir la autenticación, la conexión VPN comprometida se convierte en una poderosa puerta de entrada. Los atacantes pueden enumerar las redes internas, acceder a recursos compartidos de archivos y aplicaciones, y aprovechar la conectividad VPN de confianza para evadir las defensas perimetrales.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente relevante porque es explotada activamente por afiliados del Ransomware Qilin. En los incidentes observados, los atacantes utilizaron este acceso para preparar rápidamente herramientas, obtener credenciales y moverse lateralmente por el entorno antes de desplegar las cargas útiles del Ransomware.

Dado que la actividad se origina en una interfaz VPN de confianza, puede parecer tráfico normal de usuario remoto, lo que retrasa significativamente su detección y respuesta. Como dispositivos de borde que proporcionan un amplio acceso a los sistemas internos, los dispositivos VPN son objetivos especialmente atractivos para los operadores de ransomware. La explotación de protocolos obsoletos subraya aún más el riesgo que representan las configuraciones antiguas que permanecen habilitadas por motivos de compatibilidad. La emisión de una directiva obligatoria de la CISA pone de manifiesto la gravedad de la situación y confirma que la explotación ya se está produciendo a gran escala.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan implementaciones vulnerables de VPN o firewalls de Check Point se enfrentan a un alto riesgo de sufrir una vulneración total de la red. Una explotación exitosa permite a los atacantes eludir los controles de autenticación y obtener acceso interno seguro, a menudo sin activar los mecanismos de detección tradicionales.

Este nivel de acceso permite el robo de datos, la vulneración de credenciales, el movimiento lateral y el despliegue de ransomware con mínimo esfuerzo y alta fiabilidad. Las pasarelas VPN con acceso a Internet son especialmente vulnerables, lo que representa una amenaza crítica para empresas, proveedores de servicios y organismos gubernamentales.

El problema de los registros de seguridad modernos

La mayoría de los equipos de seguridad cuentan con acceso a grandes cantidades de datos. Sin embargo, obtener información útil a partir de esos registros suele implicar:

• Conocer SQL y lenguales de consulta especializados.
• Entender múltiples esquemas de datos.
• Ajustar consultas manualmente.
• Correlacionar información entre diferentes fuentes.
• Invertir tiempo valioso en tareas repetitivas.

En un escenario donde cada minuto cuenta durante una investigación, estas limitaciones pueden retrasar significativamente la deteccion y la respuesta ante amenazas.

La IA cambia las reglas del juego

La incorporación de inteligencia artificial al análisis de registros permite que los analistas interactúen con los datos utilizando lenguaje natural.

En lugar de escribir consultas complejas, ahora es posible formular preguntas como:

• "Muestrame los intentos de inicio de sesión fallidos de las últimas 24 horas."
• "¿Qué ususarios registraron múltiples fallos de autenticación?"
• "¿Qué dispositivos se comunicaron con dominios maliciosos conocidos?"

La plataforma interpreta la intención de la consulta, genera automáticamente las búsquedas necesarias y presenta los resultados de forma clara y comprensible.

El resultado es simple pero poderoso: los analistas pasan menos tiempo construyendo consultas y más tiempo investigando amenazas.

De la pregunta a la respuesta en minutos

Uno de los mayores beneficios de la búsqueda de registros impulsada por IA es la reducción drástica en los tiempos de investigación.

Tradicionalmente, una consulta compleja podía requerir múltiples iteraciones antes de obtener resultados útiles. Con inteligencia artificial, los investigadores pueden:

• Obtener respuestas inmediatas.
• Refinar busquedas mediante conversaciones naturales.
• Profundizar en los hallazgos sin cambiar de herramienta.
• Visualizar las consultas generadas para validación técnica.

Esta capacidad resulta especialmente valiosa durante investigaciones activas, donde la velocidad puede marcar la diferencia entre contener una amenaza o permitir que se propague.

Democratizando el acceso a la inteligencia de seguridad

No todos los miembros de un equipo de seguridad son expertos en bases de datos o análisis avanzado de registros.

La búsqueda impulsada por IA elimina esa barrera técnica y permite que más profesionales participen activamente en las investigaciones.

• Esto genera beneficios importantes:
• Menor dependencia de especialistas.
• Reducción de cuellos de botella operativos.
• Mayor colaboración entre equipos.
• Incremento de la productividad general del SOC.

La información deja de estar reservada para unos pocos expertos y se vuelve accesible para toda la organización.

Seguridad sin comprometer la privacidad

Uno de los principales desafíos de las plataformas modernas es mantener la separación segura de datos entre diferentes clientes y entornos.

Los modelos más avanzados incorporan mecanismos de seguridad multinivel, incluyendo:

• Seguridad a nivel de fila (Row-Level Security).
• Aislamiento completo entre organizaciones.
• Controles estrictos de acceso.
• Validación continua de consultas.
• Registro completo para auditoría y cumplimiento.

Esto permite aprovechar el poder de la inteligencia artificial sin comprometer la confidencialidad de la información.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

¿Cuál es la amenaza?

RedSun es una vulnerabilidad de escalada de privilegios local (LPE) en la lógica de remediación de Microsoft Defender para archivos marcados con una etiqueta de nube a través de la API de Archivos en la Nube de Windows. En lugar de poner en cuarentena o eliminar de forma segura el contenido malicioso, los atacantes pueden manipular Defender para restaurar el archivo a su ruta protegida original utilizando privilegios elevados. Al combinar este comportamiento con uniones de directorios NTFS, puntos de reanálisis y bloqueos oportunistas (oplocks), los atacantes pueden redirigir la operación de escritura privilegiada de Defender para sobrescribir binarios del sistema protegidos, como C:\Windows\System32\TieringEngineService.exe. Como resultado, el servicio de Infraestructura de Archivos en la Nube ejecuta código controlado por el atacante con privilegios de SYSTEM. Esto permite a los usuarios con pocos privilegios obtener el control total del host, lo que posibilita la persistencia, el volcado de credenciales, la implementación de ransomware y el movimiento lateral sin necesidad de exploits del kernel ni derechos administrativos.

¿Por qué es digno de mención?

Esta amenaza es relevante porque representa una segunda prueba de concepto (PoC) de LPE relacionada con Defender, publicada por el mismo investigador, y ya se ha confirmado su explotación en entornos reales. La cadena de ataque es particularmente peligrosa porque convierte el comportamiento de gestión de archivos en la nube de un producto de seguridad en un mecanismo fiable para la ejecución a nivel de sistema, lo que amplía significativamente el riesgo en entornos Windows que utilizan la protección en tiempo real de Defender y Cloud Files o el etiquetado en la nube.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

¿Cuál es la amenaza?

CVE 2026 42897 es una vulnerabilidad de suplantación de identidad provocada por un fallo de secuencias de comandos entre sitios (XSS) en la interfaz OWA de Microsoft Exchange Server local. Exchange no sanitiza correctamente cierto contenido de correo electrónico antes de mostrarlo en el navegador, lo que permite a los atacantes distribuir cargas maliciosas.

Un atacante puede enviar un correo electrónico manipulado que, al visualizarse en OWA bajo ciertas condiciones (como la vista previa o determinados modos de visualización), ejecuta código JavaScript controlado por el atacante en la sesión del navegador de la víctima. Dado que este código se ejecuta en el contexto de la sesión de OWA del usuario, los atacantes pueden suplantar su identidad, robar tokens de sesión o cookies y manipular los datos del buzón, incluyendo la creación de reglas de reenvío o el envío de mensajes como la víctima.

Microsoft clasifica esto como una vulnerabilidad de suplantación de identidad, en lugar de una ejecución remota directa de código en el servidor; sin embargo, representa un riesgo significativo de robo de cuentas y filtración de datos.

¿Por qué es digno de mención?

Esta vulnerabilidad es importante porque afecta a OWA, una de las interfaces más expuestas y utilizadas en las implementaciones locales de Exchange. Las organizaciones que siguen dependiendo de Exchange local a menudo utilizan OWA para el acceso remoto e híbrido, lo que crea una amplia superficie de ataque.

La vía de explotación un correo electrónico manipulado que conduce a la ejecución de JavaScript en el navegador puede eludir las defensas tradicionales de correo electrónico y de los puntos finales, que se centran principalmente en los archivos adjuntos o en el malware evidente.

Varios equipos nacionales de respuesta a emergencias cibernéticas (CERT), incluido CISA, han confirmado la explotación activa de la vulnerabilidad y han añadido la CVE-2026-42897 al catálogo de vulnerabilidades explotadas conocidas (KEV), lo que la convierte de un problema teórico en un riesgo operativo real. Dado que aún no se dispone de un parche completo, las organizaciones deben recurrir a medidas de mitigación y controles compensatorios, que pueden implementarse de forma inconsistente o estar mal configurados.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

¿Cuál es la amenaza?

Esta vulnerabilidad es un fallo de autenticación de máxima gravedad en el controlador y administrador Cisco Catalyst SD-WAN que permite a un atacante hacerse pasar por un enrutador de red de confianza y obtener el máximo nivel de acceso administrativo sin credenciales válidas ni conocimiento previo del entorno objetivo.

En las versiones afectadas, una validación incorrecta de la lógica de autenticación en el servicio del plano de control permite que solicitudes no autorizadas accedan a recursos protegidos. Un atacante con acceso a la red de una instancia vulnerable podría potencialmente:

• Omita los controles de autenticación y obtenga acceso administrativo completo a la interfaz del controlador o administrador de SD-WAN.
• Redirigir el tráfico de red, interceptar las comunicaciones o imponer configuraciones maliciosas en toda la infraestructura SD-WAN.
• Consiga influir en cada sucursal, centro de datos y borde de la nube conectado a la red superpuesta gestionada.
• Interrumpir la conectividad de red en toda la organización desde un único punto de acceso comprometido.

¿Por qué es digno de mención?

Esta vulnerabilidad es especialmente crítica porque el controlador SD-WAN gestiona el enrutamiento y las políticas en toda la red superpuesta. Si un atacante lo compromete, obtiene un control total y puede afectar a toda la organización.

Diversos factores agravan esta vulnerabilidad. CVE-2026-20182 tiene una puntuación CVSS máxima de 10.0, lo que evidencia tanto la falta de requisitos de autenticación como el potencial de una vulneración total del sistema. Los atacantes no necesitan credenciales ni conocimiento previo del entorno, lo que facilita su explotación.

La explotación activa ya está en marcha. CISA añadió esta vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV, por sus siglas en inglés) el 14 de mayo de 2026, el mismo día en que Cisco la reveló y la parcheó. Esta coincidencia temporal confirma que los ciberdelincuentes ya la estaban utilizando en ataques reales.

El actor malicioso vinculado a esta actividad, UAT-8616, es altamente capacitado y persistente. Este grupo tiene un historial de explotación de vulnerabilidades de día cero de Cisco, y en ocasiones mantiene campañas durante años antes de ser detectado.

Las tendencias recientes generan mayor preocupación. En un período de tres meses, CISA agregó siete vulnerabilidades de Cisco SD-WAN y firewall al catálogo KEV. Este patrón apunta a ataques sostenidos y dirigidos contra las tecnologías de borde de Cisco.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

¿Cuál es la amenaza?

Esta vulnerabilidad de desbordamiento de búfer en el portal de autenticación de ID de usuario de PAN-OS permite a un atacante no autenticado ejecutar código arbitrario con privilegios de administrador en firewalls vulnerables de las series PA y VM mediante el envío de paquetes especialmente diseñados. En las intrusiones observadas, los atacantes lograron la ejecución de código inyectando shellcode en un proceso de trabajo de NGINX que gestiona el tráfico del portal. Tras obtener acceso, implementaron utilidades de tunelización de código abierto (por ejemplo, Earthworm y ReverseSocks5), utilizaron credenciales almacenadas en el firewall para realizar reconocimiento de directorios y eliminaron deliberadamente registros y archivos para ocultar pruebas de la explotación.

¿Por qué es digno de mención?

Esta amenaza destaca porque explota una vulnerabilidad de ejecución remota de código de día cero sin autenticación en los firewalls perimetrales, lo que podría otorgar a los atacantes el control total de los sistemas ubicados en el borde de la red, que a menudo cuentan con altos privilegios, visibilidad del tráfico sensible y acceso a la infraestructura de identidad. La actividad observada muestra técnicas de ataque bien organizadas, que incluyen técnicas de aprovechamiento de recursos del sistema, acceso interactivo intermitente, abuso de identidad para el movimiento lateral y manipulación selectiva de registros para evadir la detección. Si bien la explotación actual parece limitada, los entornos que exponen el Portal de Autenticación de ID de Usuario a redes no confiables pueden enfrentar una amplia superficie de ataque, por lo que una mitigación rápida es fundamental.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

¿Cuál es la amenaza?

La amenaza consiste en una campaña de phishing a gran escala que instala herramientas de administración remota legítimas, firmadas por el proveedor, para obtener acceso sigiloso y persistente a los entornos de las víctimas. La campaña se dirige a múltiples vectores de acceso inicial y ha comprometido a más de 80 organizaciones de diversos sectores, principalmente en Estados Unidos. Los atacantes implementan software personalizado de SimpleHelp 5.0.1 y SecureConnect Remote Monitoring and Management (RMM), a menudo haciéndose pasar por instalaciones iniciadas por el usuario, lo que les permite eludir los controles de seguridad tradicionales.

¿Por qué es digno de mención?

Esta campaña destaca por su resistencia y sofisticación operativa. Los atacantes implementan dos herramientas RMM independientes simultáneamente, creando un acceso redundante que persiste incluso si los defensores corrigen un canal. La intrusión inicial se basa en un ataque de phishing con suplantación de identidad gubernamental que imita a la SSA, incitando a las víctimas a descargar un estado de cuenta de beneficios falso. Una vez abierto, el malware se instala como un servicio de Windows, establece persistencia en Modo Seguro, realiza comprobaciones automáticas de seguridad cada 67 segundos y busca la presencia del operador cada 23 segundos. Si bien no existe una atribución formal, la técnica empleada coincide con la de un agente de acceso inicial con fines lucrativos o un precursor de ransomware dirigido a organizaciones occidentales.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora

¿Cuál es la amenaza?

Dirty Frag ataca a las principales distribuciones de Linux, incluyendo Ubuntu, RHEL, Fedora, CentOS Stream, AlmaLinux, openSUSE Tumbleweed y sistemas derivados de Debian. La amenaza encadena dos fallos lógicos independientes del kernel: CVE-2026-43284 en xfrm-ESP y CVE-2026-43500 en RxRPC. Esta encadenación permite escrituras controladas de 4 y 8 bytes directamente en la caché de páginas del kernel. Estas escrituras permiten una escalada de privilegios de root determinista en el primer intento.

Dirty Frag combina una escritura en el kernel basada en ESP con una escritura basada en RxRPC que no requiere espacios de nombres de usuario. Esta combinación elude las medidas de seguridad específicas de cada distribución, incluidas las restricciones de espacios de nombres de usuario de AppArmor y las limitaciones de los módulos predeterminados. Dado que ambas vulnerabilidades son errores lógicos, no condiciones de carrera, el exploit se ejecuta con éxito de forma fiable. Sigue siendo efectivo incluso cuando se aplican medidas de mitigación previas para Copy Fail. Si no se cumplen los requisitos previos, el exploit falla silenciosamente. Este comportamiento convierte a Dirty Frag en una amenaza local altamente fiable y de amplia aplicación.

¿Por qué es digno de mención?

Dado que Dirty Frag se basa en fallos lógicos deterministas del kernel, y no en exploits de condiciones de carrera, permite un éxito silencioso en el primer intento y dificulta su detección. Esta amenaza proporciona una escalada de privilegios universal y fiable en Linux, sin parches disponibles y con uso activo de la herramienta. La prueba de concepto pública permite obtener acceso de administrador a casi todas las principales distribuciones de Linux mediante un único binario. Dado que la mitigación actual se basa en cambios de configuración manuales disruptivos, plantea preocupaciones más amplias sobre la seguridad a largo plazo de las rutas de código del kernel de Linux.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Contactar ahora