Apertura · Vulnerabilidades
Cuatro nuevas entradas en el KEV, y la que importa está en sshd
CISA ha añadido GPUStack, OpenSSH, FreeSwitch e IBM Aspera Faspex al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de una sola vez, y la de OpenSSH se está utilizando ahora mismo.
El lote llegó junto: CVE-2026-102895 en GPUStack, un fallo de autenticación incorrecta que CISA describe como un acceso administrativo sin autenticación, creación persistente de claves de API de administrador, divulgación de secretos de los nodos de trabajo y de los proveedores de nube, y ejecución de código mediante POST /v2/inference-backends/; CVE-2026-123158 en OpenSSH de OpenBSD en Linux, un fallo de código de estado o valor de retorno inesperado que permite eludir la autenticación; CVE-2026-116779 en SignalWire FreeSwitch, una inyección de código que permite la divulgación de la configuración y de credenciales, el control arbitrario de llamadas y la ejecución de comandos; y CVE-2026-123218 en IBM Aspera Faspex, un fallo de autorización incorrecta que permite la escalada de privilegios. Por separado, CISA señaló una elusión de la autenticación multifactor (MFA) en SonicWall SonicOS, a raíz de informes que, según el organismo, podrían haber sido explotados en ataques reales.
Las puntuaciones EPSS de los cuatro se sitúan entre 0,00331 y 0,01299, que es la forma estadística de decir «probablemente no a usted». El KEV es otro tipo de frase. Dos medios informan de que el fallo de OpenSSH, ya conocido como SSHole, se está explotando activamente para ejecutar comandos, robar credenciales y establecer accesos persistentes; los primeros intentos se atribuyen a botnets y mineros de criptomonedas, y se espera que le sigan actores con más recursos. Esta mañana un pronóstico y una fotografía discrepaban, y gana la fotografía.
La entrada de GPUStack es la que leería dos veces. Es acceso administrativo sin autenticación a lo que programa sus cargas de trabajo de modelos, incluidos los secretos de proveedores de nube que custodia en su nombre; un rastreador del KEV le asigna un CVSS de 9,8, alcanzable por red sin inicio de sesión ni clic. Pasamos tres años discutiendo si la IA era un problema de seguridad y después le dimos, sin hacer ruido, un plano de control con una elusión de autenticación incluida. Maureen señala, con razón, que nadie ha decidido todavía si el clúster de GPU entra en el alcance del informe trimestral de parches, porque cuando se adquirió se describió como investigación.
Por qué importaOrden de parcheo para hoy: sshd en todo lo que esté expuesto a internet; después, la capa de orquestación de GPU para la que nadie ha escrito un manual de procedimientos; y por último Faspex y FreeSwitch.