CyberSecurityPulse (by Telefónica Tech)

Nueva vulnerabilidad en Linux encontrada (con asistencia de IA) por el equipo de seguridad Deutsche Telekom. Pack2TheRoot (CVE-2026-41651), como se ha denominado, es una escalada de privilegios local que afecta a PackageKit, una especie de servicio que unifica la gestión de paquetes de muchas distros Linux, tratando de simplificar la cantidad existente de gestores de paquetes y las diferencias entre ellos. El impacto de la vulnerabilidad es directo: un usuario sin privilegios puede acabar ejecutando acciones como root. El fallo permite instalar o eliminar paquetes sin autorización, lo que en la práctica equivaldría a tomar control completo del sistema. El origen está en una condición de carrera clásica (TOCTOU) en la gestión de transacciones. Aprovechando ese desfase temporal, un atacante puede evadir los controles de seguridad y forzar operaciones privilegiadas que deberían estar protegidas. PackageKit está presente por defecto en múltiples distribuciones como Ubuntu, Debian o Fedora, y la vulnerabilidad ha permanecido presente durante años sin ser detectada. No es un fallo de memoria o similar al uso, sino una combinación de comportamiento legítimo que termina rompiendo el modelo de seguridad, es decir, un fallo en la lógica de la implementación del modelo de seguridad. Más información: https://github.security.telekom.com/2026/04/pack2theroot-linux-local-privilege-escalation.html

Nueva vulnerabilidad crítica en protobuf.js que vuelve a poner el foco en un problema poco visible pero bastante extendido: reutilizar definiciones sin entender su impacto real. El fallo permite la ejecución de código arbitrario en aplicaciones que procesan esquemas protobuf no confiables. El origen está en cómo protobuf.js interpreta ciertas definiciones dinámicas. Si un atacante pudiese controlar o inyectar un esquema, podría forzar la ejecución de código arbitrario durante el proceso de parsing o compilación, convirtiendo algo con apariencia de declarativo en una superficie de ataque. Lo interesante aquí no es solo la vulnerabilidad en sí, sino el patrón de uso que la hace explotable. Muchos proyectos reutilizan archivos .proto de terceros, los cargan dinámicamente o los aceptan desde fuentes externas sin una validación estricta. En ese contexto, el esquema deja de ser un contrato de datos y pasa a ser una entrada ejecutable. El impacto es especialmente importante en servicios backend, pipelines de datos y herramientas que procesan protobuf de forma flexible, donde este tipo de inputs puede atravesar varias capas sin ser revisado convenientemente. Posee un CVSS de 9.4 y afecta a las versiones inferiores a 8.0.0 y 7.5.4. Hay parches disponibles para ambas ramas. Se le ha asignado el CVE-2026-41242. Más información: https://www.endorlabs.com/learn/the-dangers-of-reusing-protobuf-definitions-critical-code-execution-in-protobuf-js-ghsa-xq3m-2v4x-88gg

Nuevo ataque a la cadena de suministro en el ecosistema WordPress que va un paso más allá de lo habitual. Alguien con intenciones maliciosas, compró un set completo de más de 30 plugins populares y, tras hacerse con el control legítimo del código, introdujo una puerta trasera en ellos. El troyano se introdujo meses antes de su uso real, camuflado como una actualización legítima que supuestamente mejoraba la compatibilidad. En realidad, añadía una funcionalidad de deserialización remota que permitía ejecutar código arbitrario controlado desde un servidor externo. Durante ocho meses no ocurrió nada. Hasta que el payload se activó. En ese momento, los plugins empezaron a descargar código malicioso, modificar wp-config.php y servir contenido SEO oculto únicamente para Googlebot, manteniéndose invisible para los administradores de los sitios comprometidos. El detalle es el vector inicial: no hubo hackeo. Hubo una compra legal. El atacante adquirió el negocio completo a través de un marketplace público, heredó acceso al repositorio oficial de WordPress y utilizó el canal legítimo de actualizaciones para distribuir el troyano. Cuando se detectó la campaña, WordPress.org cerró más de 30 plugins en un solo día y forzó actualizaciones para intentar neutralizar el código malicioso. Pero el daño ya estaba hecho: los sistemas afectados seguían comprometidos porque la carga persistía fuera del propio plugin. En este caso, no se vulnera el software o se monta una operación de ingeniería social sobre el administrador, se adquiere manteniendo la cadena de confianza. Más información: https://anchor.host/someone-bought-30-wordpress-plugins-and-planted-a-backdoor-in-all-of-them/

Campaña masiva en el ecosistema de extensiones de Chrome que vuelve a poner el foco en un vector que muchos siguen considerando “de bajo riesgo”. Investigadores de la empresa Socket, han identificado 108 extensiones maliciosas publicadas en la Chrome Web Store que, bajo apariencia legítima, formarían parte de una operación con una única infraestructura de mando y control. Lo relevante no es el número, sino la coherencia del ataque. Las extensiones, disfrazadas de herramientas de Telegram, utilidades de Youtube, juegos o traductores, funcionan correctamente, pero también roban credenciales de Google, exfiltran sesiones activas y abren puertas traseras en el navegador. Todo el tráfico acaba en el mismo backend, lo que apunta a un único operador detrás de la campaña. El caso más llamativo es el robo de sesiones de Telegram Web. Una de las extensiones captura la sesión desde el localStorage del navegador y lo envía al C2 cada pocos segundos, permitiendo al atacante tomar control de la cuenta sin necesidad de credenciales ni MFA. Varias de las extensiones incorporan una puerta trasera que se activa al iniciar el navegador, y son capaces de ejecutar acciones remotas como abrir URLs arbitrarias o inyectar contenido. Otras manipulan las cabeceras de seguridad o actúan como proxy del tráfico. Muchas de estas extensiones siguen disponibles aun y acumulan miles de instalaciones. Más información: https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2

Nuevo ataque a la cadena de suministro que demuestra, otra vez, que “descargar desde la web oficial” ya no es una garantía. El sitio de CPUID, responsable de herramientas ampliamente usadas como CPU-Z y HWMonitor, muy populares para obtener información y métricas de rendimiento en hardware, fue comprometido y durante varias horas sirvió instaladores troyanizados en lugar de los binarios legítimos. El vector es especialmente limpio. No hay phishing ni repositorios falsos: el propio dominio oficial redirigía a payloads maliciosos tras el compromiso. Cualquier usuario que descargara el software en esa ventana recibía malware (además, firmado) como si fuera legítimo. A nivel técnico, se apoya en DLL sideloading (mediante la librería cryptbase.dll) y ejecuta una cadena de varias etapas completamente en memoria (sin tocar disco), dificultando el análisis forense y la detección por firmas. El payload final identificado es un RAT (STX RAT), con capacidades de robo de credenciales, acceso remoto y movimiento lateral. Más información: https://www.cyderes.com/howler-cell/how-cpuids-hwmonitor-supply-chain-was-hijacked-to-deploy-stx-rat?utm_source=chatgpt.com

Interesante artículo del grupo TALOS de Cisco en el que se describe cómo los atacantes están aprovechando la vulnerabilidad React2Shell (afecta al framework web Next.js) para organizar campañas de infección masivas en servidores expuestos. El patrón: escaneo automatizado de internet (tipo Shodan o Censys), explotación sin interacción y despliegue inmediato de scripts que comienzan a extraer secretos del sistema. En cuestión de horas, la campaña fue capaz de comprometer cientos de hosts (más de 700 en un solo día) en múltiples proveedores cloud. Lo interesante no es solo el acceso inicial, sino lo que ocurre después. El malware ejecuta un proceso en varias fases que recopila variables de entorno, claves SSH, tokens cloud, historiales de comandos, credenciales de bases de datos y configuraciones de contenedores. Todo se envía a una infraestructura centralizada donde los atacantes pueden explorar la información desde una interfaz web llamada NEXUS Listener. Más información: https://blog.talosintelligence.com/uat-10608-inside-a-large-scale-automated-credential-harvesting-operation-targeting-web-applications/

Nuevo incidente de cadena de suministro que afecta a uno de los paquetes más usados y populares del ecosistema JavaScript. Varias versiones de axios publicadas en npm han sido comprometidas e incluían un RAT (remote access tool). Axios está presente en una enorme cantidad de proyectos, tanto directos como transitivos (dependencias de dependencias), lo que convierte cualquier compromiso en un problema de propagación masiva. En este caso, el código malicioso se ejecutaba durante la instalación, permitiendo la descarga y ejecución de binarios maliciosos desde infraestructura controlada por el atacante. El malware buscaba establecer acceso remoto persistente en las máquinas afectadas. Es decir, no hablamos de un simple stealer puntual, sino de una puerta trasera completa. Este compromiso es diferente a los que acostumbramos a leer casi a diario. Axios tiene un nombre y reputación que ahora han sido dañados. Es esencial que el desarrollador medio confíe en librerías populares y este varapalo añade incertidumbre a la hora de añadirlas a los proyectos. Máxime en una era de vibe coding, donde ni tan siquiera se inspeccionan los componentes de los proyectos. Más información: https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan

Investigadores de Socket han detectado miles de publicaciones en Discussions de Github (una especie de foro dentro de los repositorios) que simulan avisos críticos de Visual Studio Code, con CVEs falsos y mensajes urgentes que incitan al usuario a descargar una supuesta versión “parcheada” del famoso editor. El mecanismo es simple pero muy efectivo. Los atacantes crean cuentas nuevas, publican en masa en repositorios populares y etiquetan a desarrolladores para forzar notificaciones e incluso correos automáticos desde la propia plataforma. El resultado es que el ataque entra directamente en el flujo de trabajo habitual del desarrollador, sin necesidad de un correo phishing clásico. En el siguiente paso, los enlaces no apuntan directamente al malware, sino que pasan por una cadena de redirecciones que realiza fingerprinting del navegador y del sistema antes de servir el payload definitivo. Esto permite filtrar víctimas reales, evadir análisis automatizados y adaptar el ataque en función del entorno. Más información: https://socket.dev/blog/widespread-github-campaign-uses-fake-vs-code-security-alerts-to-deliver-malware

Nuevo framework de explotación para iOS denominado Coruna. No es un kit cualquiera. Los investigadores de Karspesky lo sitúan como la evolución directa del framework utilizado en una operación APT llamada Triangulation, un ataque zeroclick que en 2023 comprometió sistemas iOS a través de iMessage. El nivel técnico es bastante bueno. Coruna integra cinco cadenas completas de explotación y un total de 23 vulnerabilidades, reutilizando y ampliando exploits ya vistos en Triangulation, pero adaptados a hardware moderno (chips A17, M3) y versiones más recientes de iOS. Lo relevante no es solo la reutilización de vulnerabilidades, sino la continuidad del desarrollo. El código analizado apunta a un framework mantenido en el tiempo, no a un ensamblado de exploits públicos. Es decir, estamos ante una plataforma de explotación con evolución activa (mantenida), no una compilación de exploits puntual. Además, el contexto ha cambiado. Lo que comenzó como herramientas para el ciberespionaje altamente dirigido ha terminado expandiéndose: el propio framework se ha observado en campañas más amplias, incluyendo ataques vía web (watering hole) donde el exploit se adapta dinámicamente al dispositivo y versión de iOS de la víctima, algo muy quirúrgico. Más información: https://securelist.com/coruna-framework-updated-operation-triangulation-exploit/119228/

Nuevo incidente de cadena de suministro, esta vez al ecosistema de la IA generativa. LiteLLM, una de las librerías más utilizadas como puerta de entrada a múltiples proveedores LLM, ha sido comprometida en PyPI con versiones maliciosas. El vector es especialmente interesante. En la versión 1.82.8 se introduce un archivo .pth que se ejecuta automáticamente al arrancar el intérprete de Python, sin necesidad de importar la librería. Esto implica que basta con tener el paquete instalado para que el payload se ejecute en cualquier script, notebook o proceso del sistema. El malware además recolecta variables de entorno, claves SSH, credenciales cloud (AWS, GCP, Azure), configuraciones de Kubernetes, tokens, historiales de shell… básicamente todo lo que suele poseer las máquinas de desarrollo, CI/CD o producción. Después, cifra la información y la envía a una infraestructura controlada por el atacante. Pero lo realmente preocupante es el contexto. Este compromiso no es aislado, sino parte de una campaña más amplia donde el atacante primero compromete herramientas de seguridad en pipelines y luego utiliza esas credenciales para envenenar dependencias críticas como LiteLLM. En otras palabras, el ataque no va contra el código en desarrollo, sino contra la infraestructura en la que se aloja. Y en el caso de LiteLLM es una librería que centraliza API keys y secretos de múltiples proveedores de IA, convirtiéndose en un objetivo muy apetecible para los atacantes. Más información: https://github.com/BerriAI/litellm/issues/24512

Nuevo infostealer en el radar con un enfoque bastante más fino de lo habitual. VoidStealer introduce una técnica bastante novedosa en campañas de infección para saltarse la protección Application Bound Encryption (ABE) del navegador Chrome (y por ende, todos sus derivados). Se trat de un mecanismo diseñado precisamente para impedir el robo de credenciales almacenadas en el navegador. La novedad no está en el objetivo, que es seguir robando contraseñas, cookies o datos sensibles, sino en cómo lo hace. En lugar de recurrir a inyección de código o privilegios elevados, el malware "hookea" al navegador como debugger y espera el momento exacto en el que la clave maestra (v20_master_key) aparece en memoria en texto plano durante operaciones habituales de descifrado. A partir de ahí, utiliza breakpoints de hardware (más difíciles de detectar) y lecturas de memoria para extraer la clave directamente, sin modificar el proceso ni levantar demasiadas sospechas. Este detalle es clave: elimina gran parte del “ruido” típico de otras técnicas, reduciendo su huella de detección y por lo tanto pasando más desapercibido. Más información: https://www.gendigital.com/blog/insights/research/voidstealer-abe-bypass

Investigadores de ThreatFabric alertan de nuevo malware para Android que pone el foco en las aplicaciones de notas. La campaña, bautizada como Perseus, ha sido detectada distribuyendo aplicaciones maliciosas (disfrazadas de otras utilidades) fuera de tiendas oficiales. Una vez infectado el dispositivo, busca información sensible en las notas creadas por el usuario. El comportamiento es interesante porque apunta a un hábito muy extendido: guardar contraseñas y otra información sensible en notas personales. Perseus escanea este tipo de aplicaciones en busca de contenido útil, elevando considerablemente el valor de la información exfiltrada. Además, el malware cuenta con las capacidades típicas de troyanos en Android: control del dispositivo, capturas de pantalla y ataques overlay para robar credenciales en tiempo real. Más información: https://www.threatfabric.com/blogs/perseus-dto-malware-that-takes-notes

Microsoft ha publicado un “hotpatch” fuera de ciclo (OOB) para corregir una vulnerabilidad de ejecución remota de código (RCE) en el componente Routing and Remote Access Service (RRAS) de Windows 11 Enterprise. Identificado como KB5034597, este hotpatch en estos entornos permite actualizaciones de seguridad sin necesidad de reiniciar el sistema. Los CVE implicados son los siguientes: CVE-2026-2517, CVE-2026-2517, CVE-2026-26111. Se da la circunstancia de que ya habían sido corregidos en un parche anterior y en calendario, pero ahora se publican de esta forma para los sistemas que usan el método de hotpatch (sin reinicio). Las vulnerabilidades, todas relacionadas, afectan a la herramienta de administración de RRAS. Un atacante podría aprovechar los fallos si consigue que un administrador utilice la consola para conectarse a un servidor malicioso, lo que permitiría la ejecución remota de código en el sistema afectado. De momento no hay noticias que indiquen que las vulnerabilidades estén siendo explotadas activamente. Más información: https://support.microsoft.com/en-us/topic/march-13-2026-hotpatch-kb5084597-os-builds-26200-7982-and-26100-7982-out-of-band-ef323fee-e70f-4f43-8bbc-1021c435bf5c

El sueño de todo creador de malware es que este no sea cazado a medio camino de una infección prometedora. Por ejemplo, en los casos de infección donde el verdadero malware es descargado después de que un “dropper” se ejecute en el sistema. Se utilizan todo tipo de técnicas para que este último le “abra camino” de manera silenciosa al verdadero ataque. En este sentido, el investigador Chris Aziz, de Bombadiel Systems ha descubierto una técnica, sencilla pero efectiva, denominada "Zombie Zip", que elude la detección de la gran mayoría de motores de malware. Zombie Zip consiste en la manipulación de las cabeceras de un archivo ZIP. En concreto, se asigna el valor "Method=0" que indica que el archivo no posee compresión. De esta forma, el escáner procede a no descomprimir el archivo para examinarlo, mientras que realmente el zip sí está comprimido con DEFLATE y sí que contiene dentro malware. Una vez el archivo ha pasado el potencial escaneo por parte de las defensas, en una segunda fase sí es tratado incondicionalmente como lo que es: un archivo comprimido, con malware real dentro, que ya no hace caso al valor que posea en las cabeceras. La técnica es una “pillería”. Básicamente, lo que ha descubierto es que los motores antivirus obedecen la configuración de la cabecera, no la realidad del archivo, violando un principio elemental de seguridad: no te fíes, compruébalo. Se le ha asignado el CVE-2026-0866 y el CERT/CC ha publicado un reporte alertando de su uso potencial. Más información: https://kb.cert.org/vuls/id/976247

Interesante fotografía de los zero days de 2025 que ha publicado el GTIG (Google Threat Intelligence Group). En el informe hacen un repaso de lo que se ha visto durante el pasado año exclusivamente desde la óptica de las vulnerabilidades explotadas sin parche ni vistas previamente por el fabricante. Entre los datos más interesantes, por supuesto, el número: hasta 90 zero days. En perspectiva respecto a otros años, está en la media: en 2024 fueron 78, en 2023 fueron 100, en 2022 eran 63 y en 2021, 96. Por fabricante: Microsoft, Google, Apple y una cola de proveedores de dispositivos de redes. Por tipos de vulnerabilidades las inyecciones y deserializaciones, corrupción de memoria (esta no sorprende en absoluto), control de acceso y fallos de lógica o diseño. Curiosamente, los ataques son detectados a partes iguales entre entornos corporativos y usuarios finales. La IA asoma en el informe elevando las capacidades tanto de atacantes, para descubrimiento de vulnerabilidades y creación de exploits, como para defensores, que la emplean para detección de ataques, orquestación de defensas y despliegue de parches. El uso de IA en este ámbito es ya es algo común y esperado. Más información: https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review

Oasis Security ha descubierto una vulnerabilidad crítica (denominada ClawJacked) en OpenClaw, la conocida plataforma open source que puede ser alojada en ordenadores con prestaciones discretas y que permite a los agentes de IA ejecutar tareas, comandos y gestionar múltiples plataformas de forma autónoma. Aunque no está siendo activamente explotada (de momento), es posible que sitios web maliciosos puedan secuestrar una instancia local de OpenClaw simplemente con que la víctima visite un sitio web especialmente manipulado. No se necesitaba interacción adicional del usuario más allá de abrir la pestaña. El fallo ya posee parche publicado en la versión 2026.2.26 o superior. La explotación consiste (una vez el usuario visita la página maliciosa) en una conexión websocket a localhost (donde escucha OpenClaw) y la realización de un ataque por fuerza bruta contra la autenticación. A partir de ahí, realizan un registro de cuenta y toman el control, principalmente para extraer credenciales, apikeys y ejecutar comandos arbitrarios o descargar ficheros. Más información: https://www.oasis.security/blog/openclaw-vulnerability

Boletín Semanal de Ciberseguridad, 27 de febrero Nuestro boletín de ciberseguridad ofrece una visión actualizada de las amenazas activas y de las claves para reforzar la protección de los sistemas corporativos. https://telefonicatech.com/blog/boletin-ciberseguridad-21-27-febrero-2026