CISA da por explotada la falla de OpenSSH y GreyNoise detalla 17 intrusiones

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó el 9 de noviembre la falla de OpenSSH conocida como SSHole a su catálogo de vulnerabilidades explotadas conocidas (KEV)catálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. y les dio a las agencias federales civiles de ese país solo tres días, hasta el 12 de noviembre, para corregirla. La versión del catálogo salió a las 16:16 UTC (13:16 en Buenos Aires, Santiago y São Paulo, 11:16 en Bogotá y Lima, 10:16 en Ciudad de México) y además marca la falla para triaje forense, la revisión de los equipos en busca de rastros de intrusión.

Con el alta, CISA confirma por su cuenta que la falla CVE-2026-123158 se usa en ataques reales, algo que el 6 de noviembre informaba una sola firma. LatamByte contó el 5 de noviembre cómo funciona y el 6 de noviembre los primeros ataques. Desde entonces aparecieron intrusiones completas, con un programa de control remoto instalado.

Qué es la falla

Es un salto de autenticaciónFalla que permite entrar a un sistema o usar sus funciones sin pasar por el control de usuario y contraseña, como si el atacante ya estuviera identificado. en el servidor SSHProtocolo para conectarse a otra computadora y darle órdenes a distancia por un canal cifrado. Se autentica con contraseña o con llaves, y quien agrega su llave a un equipo puede entrar sin clave. de OpenSSH sobre Linux con la biblioteca musl y sin el módulo PAM, como en Alpine. Una contraseña de más de 256 caracteres abre cuentas que no deberían aceptar ninguna, como root. El registro del CVE mantiene el puntaje CVSS de 8,1 sobre 10, severidad alta.

A quién afecta

• Servidores con OpenSSH anterior a 10.6p2 sobre Linux con musl y sin PAM, como Alpine, Buildroot, OpenWrt y Yocto, según SecurityWeek.
• No están afectados los sistemas con glibc, como Debian, Ubuntu o Fedora, ni los que validan con PAM.

Estado de explotación

Explotada, según CISA, GreyNoise, Previdian, watchTowr y Defused.

GreyNoise, una firma que vigila el tráfico malicioso de internet con una red de sensores, registró la primera explotación exitosa el 7 de noviembre a las 00:46 UTC contra uno de sus honeypotsSistema señuelo que se deja expuesto a propósito en internet para atraer ataques y registrar cómo actúan los atacantes, sin datos ni servicios reales.. Al 9 de noviembre a las 18:10 UTC contaba 17 cadenas de ataque exitosas desde seis direcciones IP; BleepingComputer había informado 16 a las 16:04 UTC. Los intrusos revisaron si el equipo era un contenedor, consultaron los servicios de metadatos de AWS, Azure y Alibaba Cloud, intentaron leer las contraseñas cifradas y las llaves SSH de root y agregaron llaves propias en authorized_keys para volver a entrar.

Uno de los atacantes llegó a rootUsuario con todos los permisos en sistemas Linux y Unix, también llamado superusuario. Quien obtiene acceso como root controla el equipo por completo. e instaló TAC Agent, un programa de control remoto en Python con comentarios y mensajes en chino. No logró conectarse con su servidor de comando y controlServidor desde el que un atacante da órdenes a los programas maliciosos que instaló en equipos ajenos y recibe los datos que estos le envían., tac.vpnla[.]org, y no recibió órdenes. GreyNoise aclaró que el idioma es un indicio que solo sirve junto con otras pruebas, y no atribuyó el ataque. A partir de archivos hallados en un servidor del mismo atacante, que cubren solo una parte de su escaneo, la firma le adjudica con confianza media casi 60 equipos tomados en Australia, India, Nueva Zelanda, Japón, Hong Kong, Corea del Sur, Taiwán, Laos y Francia, ninguno en Latinoamérica.

Las fuentes no coinciden en las fechas. BleepingComputer dice que los intentos empezaron el 5 de noviembre, Previdian registró el primero el 6 y ya suma 20 desde 13 direcciones, y GreyNoise fecha la primera intrusión exitosa el 7. watchTowr, firma de seguridad ofensiva, dijo el 6 de noviembre que solo veía botnetsRed de computadoras, servidores o dispositivos infectados que un atacante controla a distancia y usa en conjunto, por ejemplo para enviar spam, minar criptomonedas o atacar otros sistemas. y mineros de criptomonedas, según SecurityWeek, mientras que GreyNoise muestra además a un operador con un implante propio.

Qué hacer

• Actualizar OpenSSH a la versión 10.6p2 o al paquete corregido de la distribución y reiniciar sshd. Si no se puede ya, apagar el ingreso con contraseña con PasswordAuthentication no.
• Buscar ingresos con contraseña en cuentas con un asterisco en /etc/shadow, llaves desconocidas en authorized_keys y rastros de TAC Agent, como /opt/py3/tac_agent.py o el servicio /etc/init.d/tac-agent.
• Bloquear el dominio tac.vpnla[.]org y cruzar los registros con las direcciones que publica GreyNoise.
• Si hubo un ingreso, tratar el equipo como comprometido y cambiar las llaves SSH y las credenciales de nube que se podían leer desde él.

Ficha técnica

• Producto: OpenSSH portable sobre Linux con musl, sin PAM.
• CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla.: CVE-2026-123158, publicado el 5 de noviembre de 2026.
• CVSS: 8,1 (alta), vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CWE: CWE-394, valor de retorno inesperado.
• Versión corregida: OpenSSH 10.6p2, del 5 de noviembre de 2026, según sus notas de versión.
• Alta en el catálogo KEV de CISA: 9 de noviembre de 2026, con plazo para las agencias federales civiles de Estados Unidos hasta el 12 de noviembre.