La agencia estadounidense CISA ha añadido dos vulnerabilidades recientes al catálogo Known Exploited Vulnerabilities (KEV), lo que indica un riesgo inminente o confirmado de explotación en entornos reales. Las fallas afectan a software de gestión de archivos y administración de servidores: Gladinet CentreStack/Triofox y Control Web Panel (CWP).
La inclusión de ambas fallas en el catálogo KEV exige una respuesta urgente por parte de las organizaciones que utilizan estos productos.
Vulnerabilidades Afectadas:
- Control Web Panel (CWP) – CVE-2025-48703: CVSS 9.0 (Crítica).
- Impacto: Ejecución Remota de Comandos (RCE) sin autenticación vía inyección de comandos en el parámetro t_total del file manager.
- Estado: Inclusión en KEV implica riesgo inminente de explotación.
- Gladinet CentreStack/Triofox – CVE-2025-11371: CVSS 7.5 (Alta).
- Impacto: Divulgación no autorizada de archivos/directorios del sistema (ej., archivos de configuración sensibles).
- Estado: Explotación activa confirmada (comandos de reconocimiento Base64 como ipconfig /all ya observados).
Riesgos Estratégicos:
- La explotación de Gladinet ya observada con comandos de reconocimiento sugiere que los atacantes están en la fase inicial de reconocimiento interno de las redes, lo que puede preceder ataques más destructivos.
- La falla en CWP permite a un atacante no autenticado lograr RCE, lo que la convierte en un vector extremadamente peligroso para el compromiso total del servidor.
- Muchas organizaciones pueden no llevar inventario de soluciones menores como CWP, lo que significa que pueden estar expuestas sin saberlo.
Recomendaciones
Parcheo y Aislamiento:
- Verificar inventario: Asegúrate de que no tienes versiones vulnerables de Gladinet CentreStack/Triofox ni de Control Web Panel instaladas.
- Aplicar Parche: Aplicar las actualizaciones de parche proporcionadas por los proveedores para ambas vulnerabilidades tan pronto como estén disponibles.
- Aislamiento: Si el software está expuesto a Internet o a redes poco segmentadas, considerar remover o aislar temporalmente (VPN, MFA) hasta que se aplique el parche completo.
Detección y Hunting:
- Monitorizar Endpoints de Ataque: En Gladinet, buscar accesos a directorios sensibles. En CWP, monitorear solicitudes a changePerm con parámetros no usuales (buscando t_total o inyección de comandos).
- Segmentación de Red: Limitar el acceso a estos sistemas administrativos solo desde redes de confianza y con autenticación fuerte.
- Scan de IoCs: Realizar un scan de detección de Indicadores de Compromiso (IoCs) específicos, buscando payloads conocidos o comandos de reconocimiento interno codificados en Base64.
Gestión de Riesgos:
- Prioridad KEV: Informar a la dirección que estas vulnerabilidades están catalogadas por CISA como “con explotación activa”, lo que implica riesgo de cumplimiento y exige gestión urgente.
- Auditoría Forense: Si se detecta cualquier actividad anómala, priorizar una auditoría forense para verificar si hubo acceso no autorizado o exfiltración de datos antes de la aplicación del parche.
Conclusión
La incorporación de CVE-2025-11371 (Gladinet) y CVE-2025-48703 (CWP) al catálogo de vulnerabilidades explotadas por CISA es una alarma roja para las organizaciones que utilizan estos productos. El riesgo de acceso ilegal, exfiltración o compromiso continuo es real y requiere acción inmediata: identificación, parcheado, segmentación y monitorización.
