Los ciberataques se dirigen a vulnerabilidades de Linux, Android y Sitecore

Ataques activos en servidores Linux, dispositivos móviles Android y plataformas Sitecore: las alertas se acumulan. CISA ya está observando vulnerabilidades, a pesar de los parches disponibles. Los atacantes se están aprovechando de sistemas que no se han actualizado. Ya no hay dudas, pero se requiere acción inmediata para evitar la escalada y el ransomware multiplataforma.

Kernel de Linux: rápida explotación de la vulnerabilidad TOCTOU CVE-2025-38352

Desde julio, investigadores de Trend Micro y Kaspersky han estado rastreando scripts que atacan la condición de carrera que afecta a handle_posix_cpu_timers(). La vulnerabilidad, con una calificación de 7.4, afecta a las versiones de la 2.6.36 a la 6.16.3. Una simple solicitud temporizada desencadena una escalada de privilegios. En un proveedor de alojamiento con sede en París, un atacante transformó un contenedor aislado en superusuario en menos de treinta segundos. Los registros muestran la ejecución de un binario descargado de un servidor Tor, luego enmascarado por un rootkit casero. Fortinet ahora detecta este código en el 12% de las alertas de IDS. La popularidad de los contenedores sin parchear amplifica el riesgo, ya que las imágenes públicas de Docker no siempre se recompilan tras una actualización del kernel. Palo Alto Networks enfatiza: la acción correcta sigue siendo reiniciar los nodos una vez actualizado el kernel; de lo contrario, el código antiguo permanece activo. Android y CVE-2025-48543: Escape de Sandbox, acceso completo al dispositivo La falla de uso después de la liberación en el motor de Chrome integrado permite el acceso al proceso system_server. Con una calificación de 8.8, no requiere interacción. En una flota de smartphones pertenecientes a una empresa de transporte, el atacante distribuyó un sitio web con trampa explosiva; en cinco segundos, un malware bancario obtuvo privilegios del sistema. Check Point Ya se enumeran más de mil variantes capaces de instalar puertas traseras persistentes. Los parches de septiembre están disponibles para Android 13 a 16, pero solo el 38% de los dispositivos europeos los han recibido, según ESET. Las tiendas de aplicaciones de terceros están empeorando la situación: algunas aún distribuyen APK compiladas antes del parche. Dada esta discrepancia, Bitdefender recomienda exigir la verificación de SafetyNet antes de cualquier implementación interna. La escala móvil está redefiniendo la superficie de ataque: un solo teléfono comprometido suele ser suficiente para penetrar en la red corporativa a través del correo electrónico o el servicio VPN. Sitecore: La deserialización crítica CVE-2025-53690 presiona a los CMS. Detectada por Mandiant en un incidente bancario, la falla de deserialización explota muestras de claves de máquina que quedaron en producción. Con una puntuación CVSS de 9.0, permite la inyección remota de DLL. En un caso clásico, un consultor clonó el repositorio GitLab de un cliente; la clave de prueba seguía activa. El resultado: un shell web ejecutado en dos solicitudes. Symantec ahora rastrea este ataque hasta las campañas del grupo Nokoyawa, que suele combinar Linux y Sitecore para ofuscar la respuesta. La protección implica la rotación inmediata de claves y la activación del modo de «fortalecimiento» introducido en la versión 10.3. Los equipos del SOC observan que muchos servidores de marketing menos monitoreados aún ejecutan la versión 9.x, un caldo de cultivo perfecto para los ciberdelincuentes. La automatización de Ansible puede corregir la configuración, siempre que los playbooks no ignoren la carpeta App_Config. Tácticas híbridas: Ransomware multiplataforma y cadenas de exploits automatizadas

Campañas recientes simulan el sistema objetivo. La herramienta de código abierto «Erebus» compila un cargador para archivos .ELF, .DEX y .DLL con un solo comando. McAfee

reporta un aumento del 48% en incidentes mixtos en un trimestre, un fenómeno ya anticipado por Check Point Research en 2024. Los operadores primero cifran las copias de seguridad y luego lanzan un ataque DDoS para acelerar las negociaciones. Un proveedor de alojamiento con sede en Lyon vio saturada su nube privada mientras las máquinas virtuales Windows y Linux ya estaban secuestradas. Sophosseñala que los kits de exploits integran la serie CVE 2025 en su flujo de trabajo de CI/CD: en cuanto se publica un parche, la firma se actualiza. Esta industrialización reduce la brecha entre la vulnerabilidad y el ataque a unas pocas horas. Por lo tanto, los CISO deben anticipar, no seguir. Esta dinámica altera los SLA tradicionales: el plazo de 30 días para aplicar un parche importante ya no es sostenible cuando el exploit llega en 24 horas. Acciones inmediatas: aplicar parches, segmentar y supervisar continuamente. El primer paso sigue siendo la gestión de parches. Los kernels afectados se publican; un reinicio nocturno programado limita el impacto. En Android, MDM debe forzar la versión mínima de seguridad. Para Sitecore, la auditoría de claves y la activación obligatoria de los módulos WAF proporcionan una protección adicional. A continuación, viene la segmentación de la red, recomendada por Palo Alto Networks: aislar los servidores CMS de los recursos compartidos internos de PostgreSQL y NFS. Finalmente, la monitorización. Los EDR de Bitdefender y Trend Micro ya detectan llamadas anormales del sistema relacionadas con handle_posix_cpu_timers(). La incorporación de reglas YARA centradas en CVE-2025-53690 bloquea la carga de cargas útiles binarias. Finalmente, la formación del equipo sigue siendo crucial. Un ejercicio trimestral de respuesta a incidentes, respaldado por los playbooks de código abierto de Fortinet, reduce el MTTR a la mitad, según los comentarios publicados en FIC 2025. Las organizaciones que logran un tiempo de respuesta inferior a 72 horas entre la alerta CISA y la implementación del parche reducen la superficie explotable en un 85 %, según un estudio interno de Sophos. Frente a atacantes cada vez más rápidos, solo un ciclo de mejora continua garantiza la resiliencia.