CISA suma a su catálogo KEV fallas antiguas de ProFTPD, ISC BIND y Apache Struts

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) publicó en su catálogo de vulnerabilidades explotadas conocidas (KEV) entradas, con fecha 8 de octubre de 2026, para tres fallas con casi una década de antigüedad: CVE-2015-3306 en ProFTPD, CVE-2015-5477 en ISC BIND y CVE-2016-3081 en Apache Struts. Su inclusión en el KEV indica que CISA cuenta con evidencia de explotación activa.

Afectan a quienes todavía operen versiones vulnerables de estos tres productos, algo habitual en servidores heredados de proveedores de hosting, proveedores de acceso a internet y áreas de sistemas de empresas y organismos públicos. La recomendación es inventariar dónde corren, actualizar a versiones corregidas siguiendo las instrucciones de cada fabricante y, si no es posible, aplicar mitigaciones o dar de baja el servicio, tal como indica CISA en cada entrada.

Qué dice cada entrada

ProFTPD (CVE-2015-3306)

Según la descripción registrada en la National Vulnerability Database (NVD) del NIST, la falla está en el módulo mod_copy de ProFTPD 1.3.5 y permite a un atacante remoto leer y escribir archivos arbitrarios en el servidor. La NVD le asigna un puntaje CVSS v3.1 de 10,0, el máximo de la escala. Es la más grave de las tres, porque la escritura de archivos en un servidor expuesto puede abrir la puerta a un compromiso mayor.

ISC BIND (CVE-2015-5477)

La NVD describe una falla en named, el servicio DNS de ISC BIND, que permite a un atacante remoto provocar la caída del proceso mediante consultas TKEY, es decir, una denegación de servicio. Afecta a BIND 9.x anterior a 9.9.7-P2 y a la rama 9.10.x anterior a 9.10.2-P3. El puntaje CVSS v3.1 registrado en la NVD es 7,5.

Apache Struts (CVE-2016-3081)

En este caso se trata de una inyección de comandos que permite ejecutar código de forma remota, pero solo cuando la invocación dinámica de métodos (Dynamic Method Invocation) está habilitada. Las versiones afectadas, según la NVD, son Apache Struts 2.3.19 a 2.3.20.2, 2.3.21 a 2.3.24.1 y 2.3.25 a 2.3.28. El NIST le asigna un CVSS v3.1 de 8,1. El proyecto Apache documentó la falla en su boletín S2-032.

Qué pide CISA

Las tres entradas comparten la misma acción requerida: aplicar las mitigaciones según las instrucciones del fabricante, en línea con la directiva BOD 26-04 de CISA, que prioriza las actualizaciones de seguridad según el riesgo, y con sus requisitos de triaje forense. Si no hay mitigaciones disponibles, CISA indica discontinuar el uso del producto. También señala que cada organización es responsable de evaluar la exposición a internet de sus activos.

En las tres entradas el uso conocido en campañas de ransomware figura como desconocido. Las entradas consultadas no atribuyen la explotación a un actor concreto ni dan detalles sobre las campañas.

Las directivas de CISA obligan a las agencias federales de Estados Unidos, pero el catálogo KEV se usa como referencia de priorización en todo el mundo.

Por qué importa en Latinoamérica

Las fuentes no aportan cifras sobre cuántos servidores vulnerables hay en la región, así que no es posible dimensionar la exposición. Sí puede razonarse dónde conviene mirar primero:

• Proveedores de hosting y servidores compartidos, donde ProFTPD sigue siendo una opción común para transferencia de archivos y donde conviven instalaciones antiguas que no siempre se actualizan.
• ISP, universidades y organismos que operan su propio DNS con BIND, ya sea como servidores autoritativos o resolutores. Una denegación de servicio sobre el DNS puede dejar sin resolución de nombres a muchos usuarios a la vez.
• Bancos, aseguradoras y administraciones públicas con aplicaciones Java heredadas construidas sobre Struts 2, un tipo de sistema que suele quedar en producción durante años sin migrar.

Que las fallas sean viejas no las vuelve menos relevantes: su presencia en el KEV indica que hay atacantes aprovechándolas hoy, y los sistemas que no se actualizaron desde 2015 o 2016 son justamente los más difíciles de detectar sin un inventario al día.

Qué conviene hacer

• Inventariar servidores con ProFTPD, BIND y aplicaciones basadas en Struts 2, incluidos equipos de terceros y entornos de prueba expuestos a internet.
• Actualizar a versiones corregidas según las instrucciones de cada fabricante: en BIND, a versiones posteriores a las afectadas que indica la NVD; en Struts, según el boletín S2-032 del proyecto Apache; en ProFTPD, según su documentación.
• Revisar la configuración: en ProFTPD, si el módulo mod_copy está cargado; en Struts, si la invocación dinámica de métodos está habilitada.
• Reducir la exposición: limitar el acceso desde internet a servicios FTP y DNS que no necesiten estar abiertos.
• Buscar indicios de compromiso en los equipos que hayan estado expuestos con versiones vulnerables, en línea con el énfasis de CISA en el triaje forense.