Cinco vulnerabilidades críticas que siguen explotándose (y qué enseñan a tu PYME)

Cada año se publican miles de vulnerabilidades nuevas, pero los incidentes más graves casi nunca llegan por un fallo recién descubierto: llegan por fallos conocidos que llevan meses —o años— sin corregirse. El catálogo de vulnerabilidades explotadas (KEV) de la CISA mantiene una lista pública que no deja de crecer, y muchas de sus entradas ya tienen varios años.

Estas cinco vulnerabilidades protagonizaron campañas masivas de robo de datos y extorsión. Ninguna exige ser un objetivo «grande»: los atacantes buscan cualquier sistema accesible desde Internet y sin parchear. Estas son las historias y lo que enseñan.

1. Log4Shell (CVE-2021-44228): la dependencia que nadie sabía que tenía

En diciembre de 2021 se publicó una vulnerabilidad crítica (CVSS 10) en Log4j 2, una biblioteca de registro usada por millones de aplicaciones Java en todo el mundo. El fallo permitía a un atacante ejecutar código en el servidor enviando una cadena de texto especialmente construida a cualquier campo que acabara en un registro (log).

El problema añadido fue la incertidumbre: muchas organizaciones descubrieron entonces que usaban Log4j sin saberlo, de forma indirecta, a través de otras herramientas. La vulnerabilidad entró en el catálogo KEV el mismo día de su publicación.

• Lección: no puedes parchear lo que no conoces. Ten inventario de tu software y de sus dependencias, aunque sea una hoja de cálculo.
• Qué hacer: actualiza librerías y frameworks con regularidad; que el parcheo de dependencias sea una tarea programada y no algo que se hace «cuando pasa algo».

2. MOVEit Transfer (CVE-2023-34362): el intercambio de archivos, objetivo prioritario

MOVEit Transfer es el software que muchas empresas usan para intercambiar ficheros con clientes y proveedores. En mayo de 2023 se descubrió una inyección SQL crítica (CVSS 9,8) que permitía a un atacante no autenticado alcanzar su base de datos. El grupo de extorsión Cl0p la explotó de forma masiva: miles de organizaciones vieron sus datos robados, sin que hiciera falta cifrar nada.

• Lección: los servicios que compartes con terceros (transferencia de ficheros, portales, APIs) son objetivos de alto valor. Si están expuestos a Internet, el parcheo urgente no es opcional.
• Qué hacer: aplica las actualizaciones de estos sistemas en horas, no en semanas; limita desde qué direcciones se puede acceder; y pregúntate si el servicio necesita estar expuesto a Internet o puede quedar detrás de una VPN.

3. Citrix Bleed (CVE-2023-4966): el MFA no siempre te salva

En octubre de 2023 se reveló una filtración de información sensible en NetScaler ADC y NetScaler Gateway de Citrix (CVSS 9,4 según Citrix) cuando se usan como VPN. El fallo permitía robar tokens de sesión válidos y, con ellos, secuestrar sesiones ya autenticadas: el MFA del usuario dejaba de ser una barrera porque la sesión «ya había pasado» el MFA.

La vulnerabilidad se explotó en campañas de ransomware, y la CISA insistió en un punto clave: después de parchear hay que invalidar todas las sesiones activas y persistentes, porque los tokens robados siguen siendo válidos.

• Lección: parchear no siempre es suficiente. Tras un incidente en un sistema de acceso (VPN, SSO, paneles), revoca sesiones y tokens.
• Qué hacer: audita los accesos de tus sistemas de entrada; ante la duda, fuerza el cierre de sesión de todos los usuarios y obliga a reautenticarse.

4. ScreenConnect (CVE-2024-1709): tus herramientas de administración también son una puerta

En febrero de 2024 se publicó un bypass de autenticación (CVSS 10) en ConnectWise ScreenConnect, una herramienta de soporte remoto. El fallo permitía crear cuentas de administrador en instalaciones vulnerables, y se explotó en campañas de ransomware contra empresas que gestionaban su soporte remoto con esa herramienta.

• Lección: las herramientas con las que administras tus equipos (soporte remoto, RMM, paneles de virtualización) valen su peso en oro para un atacante: controlan muchos sistemas a la vez.
• Qué hacer: trátalas como sistemas críticos: actualización inmediata, MFA en el proveedor, acceso restringido y auditoría de las sesiones de soporte.

5. El backdoor de XZ Utils (CVE-2024-3094): cuando el peligro viene de la cadena de suministro

En marzo de 2024, un ingeniero de Microsoft descubrió por casualidad un backdoor en xz/liblzma 5.6.0 y 5.6.1 (CVSS 10): código malicioso insertado en el proceso de compilación que podía interferir en la autenticación SSH de los sistemas afectados. Había llegado a distribuciones en pruebas (como Debian unstable o Fedora rawhide), no a versiones estables, y el desastre se evitó por poco.

Lo más inquietante era el método: una campaña de meses ganándose la confianza del mantenedor del proyecto, con presión y cuentas falsas, para colar cambios aparentemente inocentes. No era un fallo: era sabotaje en la cadena de suministro.

• Lección: dependes de código que no escribiste. La confianza en un proyecto debe ir acompañada de controles.
• Qué hacer: usa versiones estables y repositorios oficiales; revisa qué actualizas y desde dónde; mantén inventario de dependencias; y actualiza de forma controlada, no desordenada.

Cinco lecciones aplicables a tu PYME

1. Inventario primero: no puedes proteger —ni parchear— lo que no sabes que tienes. Empieza por identificar qué servicios tuyos se ven desde Internet.
2. Parchea por prioridad: primero lo expuesto a Internet y lo crítico. Un objetivo razonable es resolver lo crítico en menos de 72 horas.
3. MFA sí, y también sesiones: activa MFA donde puedas y revoca sesiones cuando toques sistemas de acceso.
4. Reduce la superficie: no expongas paneles de administración, soporte remoto o ficheros a Internet si pueden quedar detrás de VPN o de listas de direcciones permitidas.
5. Monitoriza y ten un plan: registra accesos, vigila lo anómalo (IPs nuevas, descargas masivas) y ten claro a quién llamas si algo pasa.

Si quieres saber cómo se ve tu empresa desde fuera antes de que lo mire un atacante, empieza por nuestra auditoría OSINT gratuita: analizamos tu exposición pública y te entregamos un informe en 72 horas. Y para los fallos que solo se ven desde dentro, realizamos pruebas de intrusión controladas y autorizadas por escrito.

Fuentes: NVD — CVE-2021-44228, NVD — CVE-2023-34362, NVD — CVE-2023-4966, NVD — CVE-2024-1709, NVD — CVE-2024-3094 y el catálogo KEV de la CISA.