CISA alerta: dos fallos críticos ya se explotan en Collabora y Arista

La CISA ha vuelto a mover ficha y esta vez le toca a dos productos que muchas empresas usan sin ser plenamente conscientes de ello. Según informa The Hacker News, la agencia estadounidense ha incorporado a su catálogo de vulnerabilidades explotadas conocidas (KEV) dos fallos de severidad crítica que afectan a Collabora Online Built-in CODE Server y a Arista VeloCloud Orchestrator (VCO). El motivo no es menor: hay informes de explotación activa en el mundo real.

Conviene detenerse en un detalle que suele pasarse por alto. Que una vulnerabilidad entre en el KEV no significa que sea teórica ni que esté esperando a que alguien la descubra. Significa que ya hay evidencias de que se está usando contra sistemas reales. Y cuando eso ocurre, el margen de reacción se mide en horas, no en semanas.

Qué es cada cosa y por qué debería importarte

Empecemos por el primero. Collabora Online es una suite ofimática colaborativa basada en web, muy utilizada en entornos que apuestan por alternativas abiertas a las suites en la nube. Su Built-in CODE Server es el componente que permite editar documentos directamente desde el navegador. Es decir, no hablamos de un servidor auxiliar cualquiera: hablamos de la pieza que gestiona la edición de documentos de la organización. Un fallo crítico ahí puede traducirse en acceso a documentos, manipulación de contenido o ejecución de código en el servidor.

El segundo afecta a Arista VeloCloud Orchestrator, la consola de gestión de redes SD-WAN. Este tipo de plataformas controlan la conectividad entre sedes, sucursales y la nube. Si un atacante compromete el orquestador, no solo entra en un servidor: puede alterar el enrutamiento, interceptar tráfico o dejar fuera de juego la red de toda la empresa. Para una pyme con varias oficinas o con teletrabajo, el impacto potencial es enorme.

La noticia identifica el fallo de Collabora con una puntuación CVSS de 9,2, dentro del rango crítico. No es un aviso para tomárselo con calma.

El patrón se repite: la ventana de exposición se estrecha

Si sigues este blog con cierta asiduidad, esto te sonará. Hace poco comentábamos en PHP2Shell: la IA acelera la carrera de parches y las pymes van con retraso que los atacantes están reduciendo drásticamente el tiempo entre la publicación de un fallo y su explotación masiva. Lo de Wasmtime fue otro ejemplo de cómo componentes de infraestructura aparentemente invisibles se convierten en puertas de entrada.

La conclusión es incómoda pero necesaria: ya no vale eso de "lo parcheamos en el próximo mantenimiento". Cuando CISA añade una vulnerabilidad al KEV, está diciendo implícitamente que hay que actuar ya. Y si tu equipo de IT no tiene un inventario claro de qué versiones de Collabora o de VeloCloud Orchestrator corren en tu infraestructura, el problema no es el parche: es que no sabes dónde aplicarlo.

Qué recomendamos desde ForgeNEX

No vamos a inventar plazos ni a prometer soluciones mágicas. Lo que sí podemos hacer es ordenar el trabajo con criterio práctico:

1. Localiza los sistemas afectados. Revisa si tienes desplegado Collabora Online con el CODE Server integrado o Arista VeloCloud Orchestrator. Si la respuesta es sí, esto es prioridad uno.
2. Comprueba la versión exacta. Sin versión no hay parche posible. Documenta qué build está en producción y en qué entornos de pruebas.
3. Aplica las actualizaciones del fabricante cuanto antes. Collabora y Arista publican sus propios avisos; sigue sus canales oficiales y no te fíes de parches de terceros.
4. Revisa la exposición a internet. Si el CODE Server o el orquestador están accesibles desde fuera sin necesidad, ciérralo. Segmenta y limita el acceso al mínimo imprescindible.
5. Busca indicios de compromiso. Revisa logs de acceso, cuentas creadas sin justificación, cambios de configuración o tráfico anómalo en la red gestionada.
6. Activa un plan de respuesta. Si detectas algo raro, aísla el sistema, conserva evidencias y no improvises.

Un apunte sobre el contexto. Las herramientas de colaboración y las consolas de red son dos de los activos más sensibles de cualquier pyme: una concentra la información y la otra controla cómo circula. Los atacantes lo saben. Por eso los fallos en estos productos no se quedan en el cajón de "ya lo miraremos".

La pregunta útil no es si te van a atacar, sino si sabrías detectarlo y responder en menos de 24 horas.

En ForgeNEX trabajamos con pymes que no tienen un departamento de ciberseguridad dedicado y que necesitan convertir este tipo de alertas en acciones concretas. Si quieres revisar cómo está tu infraestructura frente a este tipo de vulnerabilidades, este es un buen momento para hacerlo. Y si tu equipo ya está metido en proyectos de automatización con IA, como los que contamos en Automatización de procesos con n8n e IA para empresas, recuerda que cada integración añade superficie de ataque: la seguridad no puede ir por separado del proyecto.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.