Falla crítica en IBM Aspera Faspex da control de administrador y ya se explota

IBM Aspera Faspex, la plataforma de IBM para enviar archivos muy pesados entre empresas, tiene una falla crítica que deja a un usuario común tomar el control de administrador con un mensaje armado, y ya se usa en ataques. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la sumó el 9 de noviembre a su catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de vulnerabilidades explotadas, con plazo hasta el 12 de noviembre para que las agencias federales civiles de ese país la corrijan.

IBM publicó el arreglo, la versión 5.0.19 PL1, en un boletín de seguridad fechado el 7 de noviembre, y no ofrece ninguna medida alternativa para quien no pueda actualizar. El boletín no habla de ataques. La explotación la informa CISA, que no dio detalles, y SecurityWeek señaló que no hay información pública sobre quién la usa ni contra quién.

Qué es la falla

En simple, Faspex no controla bien qué puede hacer cada usuario. Según IBM, alguien con una cuenta en el sistema puede mandar un mensaje preparado para saltarse los permisos y obtener privilegios completos de administrador.

En lo técnico es una autorización incorrecta que lleva a una escalada de privilegiosAprovechamiento de una falla para pasar de una cuenta con permisos limitados a otra con más control sobre un sistema, como la de administrador o root. por la red. IBM le asigna un puntaje CVSSEstándar abierto de la industria, promovido por la organización FIRST, que asigna un puntaje a cada vulnerabilidad para expresar su gravedad y ayudar a decidir con qué urgencia responder. de 9,8 sobre 10, severidad crítica. Su propio aviso tiene un desajuste. El texto habla de un usuario autenticado, pero el vector del puntaje indica que el ataque no requiere privilegios previos, y es ese dato el que lo lleva a 9,8. Con privilegios bajos, la misma fórmula daría 8,8. IBM no explicó la diferencia.

A quién afecta

• IBM Aspera Faspex 5, de la versión 5.0.0 a la 5.0.19, en Linux.
• La versión 5.0.19 PL1 está corregida.
• El boletín no menciona las versiones sin soporte, y IBM aclara en el mismo texto que eso no significa que estén a salvo.

Estado de explotación

Explotada, según CISA. En el registro de la falla en la Base de Datos Nacional de Vulnerabilidades de Estados Unidos (NVD), la agencia anotó que la explotación es activa, que se puede automatizar y que el impacto técnico es total. El catálogo marca como desconocido si se usó en campañas de ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso. y, además del parche, pide a las agencias un análisis forense de sus equipos. No hay datos públicos de cuántos servidores Faspex están expuestos.

CISA sumó el mismo día otras tres fallas explotadas, entre ellas la de la central telefónica FreeSWITCH, que LatamByte contó el 9 de noviembre, y la de OpenSSH en Alpine, que ya registra intrusiones.

Antecedentes

Faspex ya pasó por esto. En febrero de 2023, CISA sumó al catálogo CVE-2022-47986, una falla de ejecución de código en el mismo producto que figura en el catálogo como usada en campañas de ransomware.

Qué hacer

• Actualizar a Aspera Faspex 5.0.19 PL1 con las instrucciones del boletín de IBM y comprobar que la imagen del contenedorEntorno aislado que ejecuta programas o un sistema operativo completo compartiendo el núcleo del servidor anfitrión, con menos consumo de recursos que una máquina virtual. faspex-core quedó en la 5.0.19 (1ce4b13, Fix Pack 1).
• Si no se puede actualizar ya, IBM no ofrece alternativa. Limitar el acceso al servidor a redes y usuarios conocidos reduce la exposición, pero no corrige la falla.
• Revisar las cuentas con permisos de administrador creadas o modificadas en los últimos días y los cambios de configuración que nadie pidió. Si aparece algo, tratar el servidor como comprometido.

Ficha técnica

• Producto: IBM Aspera Faspex 5, en Linux.
• CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla.: CVE-2026-123218, en el registro de NVD desde el 7 de noviembre de 2026.
• CVSS: 9,8 (crítica), asignado por IBM, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CWE: CWE-863, autorización incorrecta.
• Versiones afectadas: 5.0.0 a 5.0.19. Corregida: 5.0.19 PL1.
• Aviso del fabricante: Boletín de seguridad de IBM 7295921, del 7 de noviembre de 2026.
• Alta en el catálogo KEV de CISA: 9 de noviembre de 2026, con plazo para las agencias federales civiles de Estados Unidos hasta el 12 de noviembre.