CISA alerta sobre exploits activos en fallos de OpenSSH, GPUStack e IBM

La Agencia de Ciberseguridad y Seguridad de la Infraestructura de EE. UU. (CISA) actualizó el lunes su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) con cuatro fallos de alta severidad que afectan a componentes de infraestructura ampliamente utilizados. La agencia citó evidencia de explotación activa para vulnerabilidades en OpenBSD OpenSSH, GPUStack, SignalWire FreeSWITCH e IBM Aspera Faspex. Esta actualización sirve como una directiva urgente para las agencias federales y una fuerte advertencia para los equipos del sector privado que gestionan estos sistemas.

Qué ocurrió

La adición al catálogo KEV por parte de CISA destaca amenazas inmediatas en lugar de riesgos teóricos. La entrada más prominente es CVE-2026-123158, conocida como SSHole, que afecta a OpenBSD OpenSSH ejecutándose en Linux. Desde el 6 de noviembre de 2026, las firmas de seguridad han registrado 22 intentos de explotación desde 14 direcciones IP únicas. GreyNoise detectó el primer intento contra su red de honeypots el 7 de noviembre a las 12:46 a.m. UTC. Aunque Defused Cyber señaló que la actividad aún no es generalizada, las acciones confirmadas post-explotación indican una intención seria. Los atacantes están realizando reconocimiento, consultando servicios de metadatos de la nube e intentando leer hashes de contraseñas y claves SSH root.

Las otras tres vulnerabilidades también tienen puntuaciones CVSS críticas de 9.8, excepto SSHole, que está calificada con 8.1. CVE-2026-102895 en GPUStack permite acceso administrativo sin autenticación, lo que habilita a los atacantes a cambiar modelos, crear claves API persistentes y ejecutar código. Este fallo fue corregido en julio de 2026 tras informes de explotación en entornos reales. CVE-2026-116779 en SignalWire FreeSWITCH permite la inyección de código, llevando a la divulgación de credenciales y ejecución arbitraria de comandos, con una corrección publicada en octubre de 2026. Por último, CVE-2026-123218 en IBM Aspera Faspex permite a usuarios autenticados eludir las comprobaciones de autorización para la escalada de privilegios, parcheado en noviembre de 2026.

El análisis post-explotación revela tácticas sofisticadas. En algunos casos, un actor de amenazas denominado GT10 desplegó TAC Agent, una herramienta de comando y control basada en Python. Este agente realiza ejecución de comandos de shell, enumeración de directorios y transferencias de archivos. WatchTowr también ha observado el uso de la vulnerabilidad de OpenSSH para el reclutamiento de botnets y operaciones de minería de criptomonedas. Las agencias del Rama Ejecutiva Civil Federal deben aplicar las correcciones antes del 12 de noviembre de 2026, pero la ventana para todas las organizaciones se cierra rápidamente.

Cómo funciona

La vulnerabilidad SSHole surge de un código de estado inesperado o valor de retorno en el proceso de autenticación de OpenSSH en sistemas Linux. Este error lógico permite a los atacantes eludir completamente los mecanismos de autenticación, otorgándoles acceso sin credenciales válidas. Una vez dentro, los atacantes modifican el archivo authorized_keys de SSH para mantener el acceso persistente, asegurando que puedan regresar incluso si los puntos de entrada iniciales se cierran. También apuntan a los servicios de metadatos de la nube para cosechar secretos de entorno y credenciales.

En GPUStack, el defecto de autenticación inadecuada permite a usuarios no autenticados enviar solicitudes POST específicas al endpoint /v2/inference-backends/from-yaml. Esta acción otorga privilegios administrativos, permitiendo la creación de claves API persistentes y la exposición de secretos de proveedores de nube y workers. Para IBM Aspera Faspex, el problema radica en un manejo incorrecto de la autorización. Un usuario autenticado puede elaborar un mensaje específico que el sistema no valida correctamente, escalando así sus privilegios más allá de su rol previsto. Estos mecanismos dependen de errores sutiles de implementación en lugar de roturas criptográficas complejas, lo que los hace difíciles de detectar sin pruebas rigurosas.

Detalles clave

• CVE-2026-123158 (SSHole): Afecta a OpenBSD OpenSSH en Linux; permite eludir la autenticación mediante códigos de estado inesperados; corregido en noviembre de 2026.
• CVE-2026-102895: Afecta a GPUStack; permite acceso de administrador sin autenticación y ejecución de código; corregido en julio de 2026.
• CVE-2026-116779: Afecta a SignalWire FreeSWITCH; habilita la inyección de código y la divulgación de credenciales; corregido en octubre de 2026.
• CVE-2026-123218: Afecta a IBM Aspera Faspex; permite la escalada de privilegios mediante mensajes elaborados; corregido en noviembre de 2026.
• Amenazas Activas: El actor GT10 despliega TAC Agent para persistencia; watchTowr informa sobre el uso de botnets y minería de criptomonedas.
• Fecha Límite: Las agencias federales deben parchear antes del 12 de noviembre de 2026.

Por qué importa

Para los equipos de ingeniería, la presencia de estos fallos en el catálogo KEV cambia la prioridad del mantenimiento rutinario a la respuesta de emergencia. OpenSSH es un componente fundamental para la gestión remota de servidores, lo que significa que casi toda la infraestructura basada en Linux está potencialmente expuesta. El hecho de que los atacantes ya estén modificando archivos authorized_keys sugiere que buscan persistencia a largo plazo en lugar de ataques rápidos de golpear y huir. Esto dificulta la detección, ya que las alertas estándar de inicio de sesión pueden no activarse si el atacante utiliza autenticación basada en claves de aspecto válido después de la brecha inicial.

La vulnerabilidad de GPUStack es particularmente relevante para los equipos de IA y ML que dependen de este paquete para gestionar backends de inferencia. El acceso administrativo sin autenticación significa que los atacantes pueden alterar configuraciones de modelos o robar secretos de proveedores de nube almacenados en el entorno. Dado que las correcciones estaban disponibles hace meses para algunos de estos problemas, la explotación continua resalta una brecha entre la disponibilidad del parche y su despliegue. Los equipos deben verificar no solo que existan parches, sino que se hayan aplicado en todas las instancias, incluidas aquellas en entornos de staging o legacy.

Qué puedes hacer

• Parchea inmediatamente OpenSSH a la última versión publicada en noviembre de 2026 para mitigar la vulnerabilidad SSHole.
• Actualiza GPUStack a la versión corregida en julio de 2026 y rota todas las claves API de administrador y secretos de proveedores de nube.
• Aplica la corrección de octubre de 2026 para SignalWire FreeSWITCH y audita los registros de control de llamadas para cambios no autorizados.
• Actualiza IBM Aspera Faspex al nivel de parche de noviembre de 2026 y revisa las asignaciones de privilegios de usuario para detectar anomalías.
• Monitoriza modificaciones en los archivos authorized_keys de SSH y consulta los registros de servicios de metadatos de la nube para patrones de acceso inusuales.
• Escanea indicadores de compromiso relacionados con TAC Agent, como procesos de Python inesperados o actividades de enumeración de directorios.