ownCloud y Ecosistema — Campaña de Ciberespionaje Exploita Vulnerabilidades Críticas para Sustraer Información Sensible (CVE-2023-49105)

Fecha de publicación: 28 de agosto de 2026
Categoría: Inteligencia de Amenazas / Ciberespionaje

Introducción

A finales de agosto de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) incorporó la vulnerabilidad crítica CVE-2023-49105 en su catálogo de Vulnerabilidades Conocidas Explotadas (KEV). Esta decisión se produce tras descubrirse que un operador de ciberespionaje de habla china weaponizó el fallo para infiltrarse en un organismo de investigación nuclear y en una empresa de ingeniería naval en Filipinas. La campaña demuestra un enfoque deliberado contra infraestructuras críticas y de defensa en el sudeste asiático, complementado con la explotación de múltiples vectores adicionales en servidores web y plataformas de desarrollo, incluyendo fallos recientes vinculados a agentes de inteligencia artificial y entornos de contenedores.

¿Qué es ownCloud y las Amenazas Asociadas? (Análisis General)

ownCloud es una plataforma de software libre y de código abierto para la sincronización y compartición de archivos en la nube (Enterprise File Synchronization and Sharing - EFSS), ampliamente utilizada por instituciones académicas, gubernamentales y corporativas para gestionar almacenamiento autohospedado.

El núcleo del incidente gira en torno a CVE-2023-49105, un fallo crítico de omisión de autenticación en la API WebDAV de ownCloud que afecta a las versiones “core” desde la 10.6.0 hasta la 10.13.0. Su impacto se fundamenta en los siguientes datos oficiales verificados en el NVD:

  • Vector CVSS oficial (CVSS v3.1): AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — Puntuación: 9.8 (CRITICAL).
  • Clasificación CWE oficial: CWE-287 (Improper Authentication).
  • Catálogo CISA KEV: Sí (confirmado).

Adicionalmente, la campaña documentada involucra otros vectores críticos detectados en la infraestructura de las víctimas o en incidentes paralelos recientes:

  • CVE-2024-28000: Fallo de asignación incorrecta de privilegios en el plugin LiteSpeed Cache para WordPress (CVSS 9.8, CWE-266).
  • CVE-2026-53362: Vulnerabilidad en el kernel de Linux relacionada con el manejo de fragmentos UDPv6 y MSG_SPLICE_PAGES (CVSS 7.8, CWE-787 / CWE-122, en CISA KEV).
  • CVE-2026-66384: Defecto de recorrido de rutas (Path Traversal) en JFrog Artifactory bajo condiciones específicas de repositorios remotos (CVSS 5.3, CWE-22, en CISA KEV).

¿Cómo funciona? (Análisis Técnico)

La campaña de intrusión combina técnicas de reconocimiento, omisión de autenticación a nivel de aplicación y abuso de configuraciones predeterminadas para el exfiltrado silencioso de datos:

  • Flujo de Explotación de ownCloud (CVE-2023-49105): El fallo reside en el subsistema de URLs pre-firmadas (pre-signed URLs). Cuando un usuario legítimo no tiene configurada una clave de firma personalizada (configuración por valor predeterminado en muchas instalaciones), el sistema acepta solicitudes WebDAV firmadas de manera arbitraria si se conoce el nombre de usuario de la víctima. Los atacantes utilizaron scripts personalizados en Python para construir peticiones WebDAV válidas sin necesidad de suministrar credenciales, logrando acceso irrestricto al árbol de archivos.
  • Persistencia y Exfiltración: Se identificó un directorio expuesto (31.58.209[.]241) que contenía scripts de ataque y herramientas ofensivas de código abierto como Sliver, Metasploit y Mettle. El actor de amenaza descargó 176 archivos (aproximadamente 372 MB) del organismo nuclear, abarcando registros de cuentas de material nuclear, planes estratégicos, componentes de reactores de investigación, inventarios históricos de combustible y bases de datos SQL de control de asistencia.
  • Vectores Complementarios: En la infraestructura de la empresa naval, los atacantes explotaron CVE-2024-28000 en WordPress para obtener escalada de privilegios no autenticada, combinándola con ataques de fuerza bruta sobre XML-RPC (brute_xmlrpc.py). Asimismo, se detectó la presencia de campañas de distribución de malware mediante EtherHiding y redirecciones orientadas a marcos de tipo ClickFix.

Sistemas / Entornos Afectados

Los componentes y software impactados en esta serie de eventos de seguridad abarcan:

  • ownCloud Core: Versiones desde la 10.6.0 hasta la 10.13.0 (corregido en la versión 10.13.1).
  • WordPress LiteSpeed Cache: Versiones anteriores o iguales a la 6.3.0.1.
  • Kernel de Linux: Versiones con soporte para MSG_SPLICE_PAGES en pilas de red IPv6 afectadas por desalineaciones en buffers paged.
  • JFrog Artifactory Self-Managed: Versiones expuestas a condiciones vulnerables de repositorios remotos de Docker.
CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2023-49105 CWE-287 (Improper Auth) Crítico / Exfiltración 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2024-28000 CWE-266 (Privilege Assignment) Crítico / Escalada de Privilegios 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-53362 CWE-787 / CWE-122 (Out-of-bounds Write) Alto / Ejecución de Código en Kernel 7.8 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVE-2026-66384 CWE-22 (Path Traversal) Medio / Escritura fuera de ruta 5.3 AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N

Mitigación y Detección

Remediación

  • Actualización de ownCloud: Aplicar de inmediato el parche a la versión 10.13.1 o superior, asegurando la correcta configuración y rotación de claves de firma para URLs WebDAV.
  • Parches en Ecosistema Web y Sistemas Operativos: Actualizar el plugin LiteSpeed Cache a versiones posteriores a la 6.3.0.1, aplicar los parches estables del kernel de Linux correspondientes a CVE-2026-53362 y actualizar JFrog Artifactory según los boletines del fabricante.
  • Hardening de Directorios y Cuentas: Deshabilitar interfaces administrativas expuestas innecesariamente a internet (como XML-RPC en WordPress) y restringir el acceso a directorios abiertos de almacenamiento temporal (staged directories).

Detección

  • Monitorear logs de servidores WebDAV en busca de peticiones anómalas que accedan a recursos de múltiples usuarios sin una fase de autenticación previa explícita (Authorization headers ausentes o manipulados en URLs pre-firmadas).
  • Auditar la presencia de herramientas de comandos ofensivos (Sliver, scripts de Python personalizados para exfiltración) en directorios web temporales o particiones de staging.

Nota de Inteligencia: La explotación activa de vulnerabilidades de omisión de autenticación en repositorios documentales subraya la necesidad de implementar controles estrictos de segmentación de red e inspección profunda de paquetes HTTP/WebDAV para proteger activos estratégicos de investigación científica y defensa nacional.

Recapitulando

La campaña dirigida contra entidades de investigación nuclear y defensa en Filipinas evidencia cómo los actores de ciberespionaje aprovechan vulnerabilidades conocidas en plataformas de colaboración documental (ownCloud) y CMS (WordPress), combinadas con fallos de infraestructura a nivel de sistema operativo y contenedores. La inclusión de estas fallas en el catálogo KEV de CISA refuerza la urgencia de aplicar parches rigurosos y mantener una visibilidad defensiva estricta para evitar la exfiltración masiva de secretos industriales y estatales.

Referencias