El 9 de noviembre de 2026, CISA añadió al catálogo de vulnerabilidades conocidas explotadas (KEV) cuatro vulnerabilidades que afectan a OpenSSH, GPUStack, SignalWire FreeSWITCH e IBM Aspera Faspex. Tres de las cuatro vulnerabilidades (CVSS 8.1–9.8) tienen casos de explotación confirmados: para OpenSSH se han registrado ataques con despliegue de agentes C2, para GPUStack — creación de shells inversas mediante acceso administrativo, para FreeSWITCH — ejecución de comandos a través de mensajes SIP. Se ha fijado para las agencias federales de EE. UU. un plazo de mitigación hasta el 12 de noviembre de 2026. Las organizaciones que utilicen estos productos deben comprobar inmediatamente sus versiones y aplicar las actualizaciones.
Vulnerabilidades: análisis técnico
CVE-2026-123158 — OpenSSH (SSHole)
La vulnerabilidad CVE-2026-123158, denominada SSHole, afecta a OpenSSH hasta la versión 10.6p2 en sistemas Linux que utilizan la biblioteca musl libc sin PAM (un ejemplo característico es Alpine Linux). La vulnerabilidad está clasificada como CWE-394 (gestión incorrecta del valor de retorno) con una puntuación CVSS de 8.1. Bajo determinadas configuraciones de cuentas, cualquier contraseña con una longitud de 256 a 1024 caracteres permite eludir la autenticación.
Ya hemos analizado en detalle esta vulnerabilidad. Desde su publicación, la situación se ha agravado significativamente: según GreyNoise, la primera explotación satisfactoria se registró el 7 de noviembre de 2026 a las 00:46 UTC. A fecha de 11 de noviembre, GreyNoise había registrado 5 posibles intentos de explotación y 31 sesiones post-explotación confirmadas en sus sensores.
CVE-2026-102895 — GPUStack
La vulnerabilidad CVE-2026-102895 (CVSS 9.8) en GPUStack hasta la versión 2.2.0 permite obtener acceso administrativo no autenticado. Según la recomendación de los desarrolladores, si un servidor proxy inverso en el mismo host o una cabecera falsificada X-GPUStack-Real-IP hace que la solicitud parezca provenir de 127.0.0.1, el atacante obtiene control administrativo completo: modificación de usuarios, modelos, workers y configuración, creación de claves API de administrador persistentes, revelación de secretos y ejecución de código en nodos de trabajo.
Según la entrada en GitHub Advisory Database, la vulnerabilidad fue explotada contra un despliegue de la versión 2.1.1, donde los atacantes creaban backends personalizados con shells inversas. La corrección en la versión 2.2.0 elimina el mecanismo de concesión automática de acceso administrativo para solicitudes locales y endurece el tratamiento de las cabeceras de redirección.
CVE-2026-116779 — FreeSWITCH
La vulnerabilidad CVE-2026-116779 (CVSS 9.8) en SignalWire FreeSWITCH versiones 1.11.2 y anteriores es una inyección de código a través de un mensaje SIP entrante (SIP MESSAGE). Un atacante puede seleccionar el protocolo de chat FreeSWITCH API y ejecutar comandos con los privilegios del proceso FreeSWITCH, incluida la divulgación de configuración y credenciales, la gestión de llamadas y la ejecución de comandos arbitrarios del sistema operativo. La recomendación de los desarrolladores indica que se ha observado explotación en entornos reales, aunque no se revelan los detalles de la campaña —alcance, víctimas y atribución—.
CVE-2026-123218 — IBM Aspera Faspex
La vulnerabilidad CVE-2026-123218 (CVSS 9.8, CWE-863) en IBM Aspera Faspex versiones 5.0.0–5.0.19 permite a un usuario autenticado crear un mensaje especialmente diseñado para eludir la autorización y lograr una escalada de privilegios. IBM recomienda actualizar a la versión 5.0.19 PL1. A diferencia de las otras tres vulnerabilidades, para CVE-2026-123218 no hay en los materiales disponibles confirmaciones independientes de casos concretos de explotación.
Actividad post-explotación de SSHole
Según GreyNoise, la actividad post-explotación observada tras el uso de CVE-2026-123158 incluye:
- Comprobación de si el sistema se ejecuta en un contenedor
- Solicitudes a los servicios de metadatos de proveedores de nube (AWS, Azure, Alibaba Cloud)
- Intentos de lectura de claves SSH de root y hashes de contraseñas de
/etc/shadow - Modificación del archivo
authorized_keyspara afianzar el acceso
En uno de los clústeres de actividad se registró el despliegue de TAC Agent, un agente C2 en Python capaz de ejecutar comandos, realizar reconocimiento del sistema, transferir archivos y actualizarse a sí mismo. El agente está vinculado al dominio tac.vpnla.org. GreyNoise subraya que no toda la actividad de SSHole está relacionada con este clúster.
Priorización y diferencias en los requisitos de explotación
Las cuatro vulnerabilidades difieren significativamente en sus condiciones de explotación. IBM Aspera Faspex requiere la presencia de un usuario autenticado. FreeSWITCH es vulnerable cuando el tráfico SIP entrante es accesible. GPUStack se explota a través de un proxy inverso en el mismo host o falsificación de cabeceras. SSHole está limitado a configuraciones con musl libc sin PAM.
Desde el punto de vista de la prioridad, requieren atención inmediata OpenSSH, GPUStack y FreeSWITCH: para ellas existen confirmaciones independientes o del propio proveedor de explotación en condiciones reales. Para IBM Aspera Faspex, el material disponible confirma una criticidad elevada, pero no contiene evidencias análogas de ataques activos.
Recomendaciones
- OpenSSH: actualizar a la versión 10.6p2. Comprobar si se utiliza musl libc sin PAM (Alpine Linux y distribuciones similares). Buscar indicios de compromiso: solicitudes a metadatos de nube, lectura de
/etc/shadow, modificación deauthorized_keys, conexiones contac.vpnla.org - GPUStack: actualizar a la versión 2.2.0 o posterior. Comprobar la existencia de claves API de administrador desconocidas y backends personalizados
- FreeSWITCH: actualizar a la versión 1.11.3 o posterior. Restringir el tráfico SIP entrante a fuentes de confianza
- IBM Aspera Faspex: actualizar a la versión 5.0.19 PL1
Indicadores de compromiso (a partir de datos de GreyNoise)
Direcciones IP asociadas a la explotación de SSHole:
183.220.91.15,196.128.138.201,20.255.63.133,20.2.81.241152.175.65.88,202.155.94.33,47.80.65.43,209.248.50.17157.15.77.139,103.140.130.248,79.116.138.30
Dominio C2: tac.vpnla.org
Teniendo en cuenta el plazo de mitigación extremadamente ajustado (12 de noviembre de 2026 para las agencias federales), las organizaciones deben comprobar en primer lugar la presencia de OpenSSH en sistemas con musl y la accesibilidad de GPUStack y FreeSWITCH desde redes externas: son precisamente estos tres vectores los que tienen explotación confirmada y el mayor riesgo de compromiso en este momento.
