CISA clasifica vulnerabilidad de OpenSSH y establece plazo

La agencia estadounidense de ciberseguridad, la CISA, incluyó el lunes (9) cuatro vulnerabilidades en el catálogo Known Exploited Vulnerabilities (KEV), lista reservada para fallas con evidencia de explotación activa. Entre ellas está la CVE-2026-123158, en OpenSSH, el servidor de acceso remoto más utilizado en Linux. El plazo de corrección para los organismos federales es el 12 de noviembre, tres días después de la inclusión. Para la falla de SonicWall incluida el 6 de noviembre, el plazo otorgado había sido de dos semanas.

Las otras tres entradas afectan a GPUStack, plataforma de código abierto para gestionar clústeres de GPU y servir modelos de IA (CVE-2026-102895), FreeSWITCH de SignalWire, usado como base de centrales telefónicas y plataformas de voz (CVE-2026-116779), y IBM Aspera Faspex, sistema de transferencia de archivos grandes (CVE-2026-123218). Las cuatro recibieron la etiqueta de triage forense obligatorio, lo que significa que la CISA solicita no solo la corrección, sino la verificación de señales de compromiso previo.

El caso de OpenSSH

La vulnerabilidad de OpenSSH, apodada "*sshole" por los investigadores, afecta al sshd anterior a la versión 10.6p2 en sistemas Linux que utilizan la biblioteca musl sin PAM, configuración predeterminada de Alpine Linux. Según la descripción de la CISA, el error está en el manejo de un código de retorno inesperado y permite eludir la autenticación. En la práctica, de acuerdo con el aviso de Alpine y la cobertura especializada, las cuentas bloqueadas con un asterisco en el campo de contraseña pueden ser accedidas con una contraseña sobredimensionada.

OpenSSH 10.6p2 fue publicado el 5 de noviembre. La corrección ahora rechaza hashes almacenados que sean demasiado cortos para ser válidos. Alpine distribuyó paquetes corregidos en todos los ramas soportadas, y la recomendación provisional, para quienes no puedan actualizar de inmediato, es desactivar el inicio de sesión por contraseña con PasswordAuthentication no. Las distribuciones basadas en glibc, como Red Hat, Ubuntu y Debian, no se ven afectadas, según los avisos publicados.

El riesgo para las empresas está menos en el servidor físico y más en el contenedor. Alpine es una de las imágenes base más populares en Docker precisamente por ser ligera, y equipos que integran sshd en imágenes para depuración o acceso de proveedores pueden haber heredado la configuración vulnerable sin saberlo. OpenWrt, Buildroot y Yocto, utilizados en enrutadores y dispositivos embebidos, también aparecen en las listas de sistemas expuestos.

GPU como superficie de ataque

La entrada de GPUStack es la que más se relaciona con la agenda de IA corporativa. La descripción de la CISA menciona acceso administrativo sin autenticación, con posibilidad de alterar usuarios y modelos, crear claves de API de administrador persistentes, exponer secretos de trabajadores y proveedores de nube, y ejecutar código a través del endpoint POST /v2/inference-backends/from-yaml. La versión 2.2.0 corrige el problema, según el registro de la CVE y la cobertura especializada.

Un panel de orquestación de inferencia expuesto entrega al atacante las credenciales de nube que alimentan las GPUs. Equipos de datos suelen levantar este tipo de herramienta fuera del inventario formal de TI, lo que hace que la respuesta sea más lenta precisamente donde el costo de un abuso, en horas de GPU facturadas, es más alto.

En FreeSWITCH, la CISA señala inyección de código con filtración de configuración y credenciales, control arbitrario de llamadas y ejecución de comandos. La corrección está en la versión 1.11.3, según el aviso de SignalWire. Operadoras y proveedores de centros de contacto en la nube que utilizan el software como motor de voz deben tratar la actualización como emergencial. En Aspera Faspex, la falla permite a un usuario autenticado escalar privilegios con un mensaje falsificado; IBM publicó un boletín propio.

De la agencia estadounidense a otros mercados

El plazo del 12 de noviembre aplica formalmente para el gobierno federal estadounidense, pero el KEV se ha convertido en una referencia de priorización para equipos de seguridad en otros países. En la Unión Europea, donde la NIS2 exige gestión de vulnerabilidades documentadas de operadores esenciales, una inclusión en el catálogo es un argumento listo para justificar ventanas de mantenimiento fuera del calendario. En Brasil, la Resolución CMN 4.893, que impone política de seguridad cibernética a instituciones financieras, y el reglamento de Anatel para operadoras (Resolución 740/2020) también exigen gestión de vulnerabilidades, y el KEV ofrece la referencia externa que los auditores suelen pedir.

La combinación de esta semana tiene un denominador común: tres de los cuatro productos son componentes de código abierto integrados en otros productos, como la propia CISA anota en los registros de OpenSSH, GPUStack y FreeSWITCH. Esto desplaza el trabajo del equipo de parches al de inventario. La pregunta que el CISO debe responder antes del jueves no es si la empresa usa OpenSSH, sino en cuántas imágenes Alpine, appliances de proveedores y clusters de GPU montados por áreas de negocio está funcionando sin que nadie lo haya registrado.