PAYLOAD Ransomware compromete dominios mediante GPOs maliciosos

1. Antecedentes:



Se identificó una campaña de extorsión asociada a PAYLOAD Ransomware, cuyo acceso inicial se produjo mediante credenciales comprometidas de FortiGate SSL VPN. Tras obtener acceso a la red, los atacantes escalaron privilegios hasta alcanzar Administración de Dominio en Active Directory. En lugar de desplegar directamente un ejecutable de cifrado en los endpoints, utilizaron Objetos de Directiva de Grupo (GPO) maliciosos vinculados a la raíz del dominio. Esta técnica permite aplicar configuraciones y acciones de forma centralizada sobre los sistemas Windows unidos al dominio, ampliando significativamente el alcance del compromiso.

Fuente: Bafing

1. Antecedentes:

Se identificó una vulnerabilidad crítica CVE-2026-65113, clasificada como CWE-798 (Use of Hard-coded Credentials), que afecta a NVIDIA Infrastructure Controller para Linux. La falla permite utilizar credenciales estáticas incorporadas en el software para autenticarse de forma no autorizada contra el componente afectado. La explotación puede derivar en escalamiento de privilegios y control del sistema, comprometiendo la información y las operaciones administradas por el controlador. El vector es remoto y no requiere autenticación previa ni interacción del usuario. La vulnerabilidad presenta una puntuación CVSS v3.1 de 9.8 (Crítica).

3. Productos afectados:

• NVIDIA Infrastructure Controller para Linux: versiones 0 a 1.9.

4. Recomendaciones:

• Evitar la exposición de las interfaces de Infrastructure Controller a Internet o redes no confiables mediante segmentación y controles de firewall.
• Restringir el acceso al componente únicamente a redes y sistemas administrativos autorizados.
• Monitorear intentos de autenticación y accesos anómalos hacia las interfaces del controlador.
• Revisar registros del sistema para identificar accesos no autorizados o actividad administrativa inusual.
• Mantener seguimiento del aviso de seguridad oficial de NVIDIA y aplicar la actualización correctiva cuando esté disponible.
• Una vez liberado el parche, priorizar su implementación y verificar que las credenciales embebidas hayan sido eliminadas o corregidas.

Fuente: Bafing

1. Antecedentes:

Se identificó una vulnerabilidad crítica CVE-2026-86473 en Apache Airflow, asociada a una gestión incorrecta de la invalidación de sesiones. El endpoint de cierre de sesión de la API no revoca adecuadamente los tokens enviados mediante el encabezado Authorization: Bearer, limitando la invalidación al token almacenado en la cookie _token. Un atacante que haya obtenido previamente un token Bearer válido podría reutilizarlo después del cierre de sesión legítimo y mantener acceso a la sesión afectada. Esto permite prolongar el acceso no autorizado hasta que el token deje de ser válido por otros mecanismos.

3. Productos afectados:

• Apache Airflow: versiones 3.0.0 a 3.3.2.

4. Recomendaciones:

• Actualizar Apache Airflow a la versión corregida publicada por el proyecto y priorizar la aplicación del parche en entornos expuestos.
• Identificar sesiones y tokens potencialmente comprometidos y proceder con su revocación o rotación.
• Monitorear los logs de autenticación para detectar reutilización de tokens después del cierre de sesión.
• Restringir el acceso a los endpoints de la API mediante controles de red y listas de acceso.
• Revisar sesiones activas y actividad asociada a cuentas con privilegios elevados.
• Mantener controles de gestión de sesiones y autenticación actualizados en todas las instancias de Airflow.

Fuente: Bafing

1. Antecedentes:

Se identificó una vulnerabilidad crítica CVE-2026-89282 en Apache HTTP Server para Windows, asociada a una configuración insegura de permisos en el directorio de instalación de la distribución Apache Lounge. La instalación por defecto permite que usuarios autenticados dispongan de permisos de escritura sobre archivos ubicados en dicho directorio. Un atacante con credenciales válidas podría aprovechar esta condición para modificar componentes críticos del servidor. La explotación podría derivar en ejecución de código arbitrario, alteración de la configuración o interrupción del servicio.



3. Productos afectados:

• Apache HTTP Server 2.4.68 en la distribución Apache Lounge para Windows.

4. Recomendaciones:

• Aplicar la actualización de seguridad correspondiente en las instalaciones afectadas.
• Revisar y restringir los permisos NTFS del directorio de instalación, eliminando privilegios de escritura innecesarios.
• Limitar el acceso de usuarios autenticados al servidor bajo el principio de mínimo privilegio.
• Auditar modificaciones recientes sobre archivos y configuraciones dentro de directorios críticos de Apache.
• Monitorear logs del sistema y del servidor para identificar accesos o cambios no autorizados.
• Verificar la integridad de los archivos de Apache después de aplicar las medidas de mitigación.

Fuente: Bafing

1. Antecedentes:



Se identificó una vulnerabilidad crítica CVE-2026-12227, clasificada como CWE-98, en Visual Composer Website Builder para WordPress. La falla se origina en una validación insuficiente del parámetro vcv-template, utilizado por el complemento en operaciones de inclusión de archivos mediante include/require de PHP. Un atacante remoto podría manipular este parámetro para acceder o procesar archivos arbitrarios presentes en el servidor. Bajo determinadas condiciones, esta capacidad podría derivar en ejecución de código PHP, comprometiendo la integridad y disponibilidad del sitio. La vulnerabilidad tiene una puntuación CVSS v3.1 de 9.8 (Crítica).

3. Productos afectados:

• Visual Composer Website Builder: versiones 0 a 45.16.0.
• Versión corregida: 45.16.1.

4. Recomendaciones:

• Actualizar inmediatamente Visual Composer Website Builder a la versión 45.16.1 o superior.
• Si la actualización no es inmediata, implementar reglas de WAF para detectar y bloquear solicitudes que manipulen vcv-template.
• Monitorear los logs web y de PHP en busca de intentos de inclusión de archivos o solicitudes anómalas contra el parámetro vulnerable.
• Revisar la integridad de archivos del sitio y detectar modificaciones no autorizadas posteriores a posibles intentos de explotación.
• Auditar otros plugins y componentes WordPress para identificar versiones vulnerables o vectores de ejecución de código.
• Tras la actualización, validar que el plugin se encuentre efectivamente en la versión corregida y mantener monitoreo reforzado.

Fuente: Bafing

1. Antecedentes:

Se identificó una vulnerabilidad de alta severidad, CVE-2026-49810, en Dell Command PowerShell Provider (DCPP), relacionada con la exposición de información sensible en archivos de registro. La falla puede provocar que datos confidenciales sean registrados durante determinadas operaciones del componente. Un atacante con bajos privilegios y acceso local al sistema podría consultar estos registros y obtener información que potencialmente incluya credenciales. La exposición de estos datos puede facilitar posteriores intentos de acceso no autorizado al sistema afectado.

3. Productos afectados:

• Dell Command PowerShell Provider (DCPP): versiones anteriores a 2.10.2.
• Versión corregida: 2.10.2 o posterior.

4. Recomendaciones:

• Actualizar Dell Command PowerShell Provider a la versión 2.10.2 o posterior.
• Revisar y restringir los permisos de acceso a los archivos de registro generados por DCPP.
• Auditar los logs existentes para determinar si contienen información sensible o credenciales expuestas.
• Aplicar el principio de mínimo privilegio a las cuentas con acceso local a los sistemas afectados.
• Monitorear accesos inusuales a directorios y archivos de registro asociados al componente.
• Tras la actualización, validar la versión instalada y eliminar o proteger registros que puedan contener información sensible.

Fuente: Bafing

1. Antecedentes:

Se identificó una vulnerabilidad de alta severidad, CVE-2026-75649, en Adobe Bridge, asociada a un desbordamiento de búfer basado en heap. La falla puede producir corrupción de memoria al procesar archivos especialmente diseñados, pudiendo permitir la ejecución de código arbitrario con los privilegios del usuario que ejecuta la aplicación. La explotación requiere que la víctima abra o procese un archivo malicioso. En entornos donde Bridge se utiliza para gestionar archivos provenientes de fuentes externas, esta condición incrementa el riesgo de compromiso del endpoint.

3. Productos afectados:

• Adobe Bridge: versiones 16.0.6 o anteriores → corregida en 16.0.7.
• Adobe Bridge: versiones 15.1.7 o anteriores → corregida en 15.1.8.

4. Recomendaciones:

• Actualizar Adobe Bridge a 16.0.7, 15.1.8 o posterior, según la rama instalada.
• Restringir la apertura de archivos provenientes de fuentes no confiables o remitentes no verificados.
• Implementar controles EDR para detectar comportamientos anómalos derivados de aplicaciones de edición o gestión de archivos.
• Revisar endpoints que hayan procesado archivos sospechosos con versiones vulnerables de Bridge.
• Mantener actualizados los mecanismos de protección y gestión centralizada de aplicaciones.
• Reforzar la concientización de usuarios sobre archivos adjuntos y documentos recibidos desde fuentes externas.

Fuente: Bafing

Central: +511 2259900 anexo 110

Equipo de Marketing: marketing@bafing.com o al +51 969454618

Command Center y SOC: helpdesk@bafing.com o al +51 971500877