[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre":3,"prev-/blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre":519,"next-/blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre":522,"related-/blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre":525,"author-Diego Herrera":547},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":472,"cta":473,"date":478,"dateModified":478,"description":479,"draft":480,"extension":481,"faq":482,"featured":480,"howto":495,"image":496,"imageAlt":497,"intent":498,"keywords":499,"meta":505,"navigation":506,"path":507,"publishedTime":508,"readingTime":509,"seo":510,"seoTitle":511,"stem":512,"tags":513,"__hash__":518},"blog/blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre.md","CISA confirma ataques a SSHole y a FreeSWITCH: cuatro fallas al catálogo KEV con solo tres días de plazo, hasta el 12 de noviembre","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":462},"minimark",[11,46,53,58,162,173,177,205,227,230,234,257,260,300,305,357,370,374,390,402,415,419,450,453],[12,13,14,15,19,20,23,24,27,28,31,32,35,36,41,42,45],"p",{},"Este ",[16,17,18],"strong",{},"lunes 9 de noviembre",", la agencia de ciberseguridad de Estados Unidos (",[16,21,22],{},"CISA",") agregó ",[16,25,26],{},"cuatro vulnerabilidades"," a su catálogo de fallas con explotación confirmada (",[16,29,30],{},"KEV","). Dos le importan directamente a una pyme mexicana: ",[16,33,34],{},"SSHole",", la falla de OpenSSH en servidores Alpine que ",[37,38,40],"a",{"href":39},"/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga","te contamos el sábado",", y una en ",[16,43,44],{},"FreeSWITCH",", un motor de telefonía IP de código abierto.",[12,47,48,49,52],{},"Las cuatro llegaron con la misma fecha límite: ",[16,50,51],{},"jueves 12 de noviembre",". Tres días.",[54,55,57],"h2",{"id":56},"las-cuatro-fallas-de-hoy","Las cuatro fallas de hoy",[59,60,61,80],"table",{},[62,63,64],"thead",{},[65,66,67,71,74,77],"tr",{},[68,69,70],"th",{},"CVE",[68,72,73],{},"Producto",[68,75,76],{},"Qué permite",[68,78,79],{},"Versión corregida",[81,82,83,105,124,143],"tbody",{},[65,84,85,92,95,98],{},[86,87,88,91],"td",{},[16,89,90],{},"CVE-2026-123158"," (\"SSHole\")",[86,93,94],{},"OpenSSH en Linux con musl y sin PAM (Alpine, entre otros)",[86,96,97],{},"Entrar por SSH sin conocer la contraseña",[86,99,100,101,104],{},"OpenSSH ",[16,102,103],{},"10.6p2",", o el paquete corregido de tu distribución",[65,106,107,112,115,118],{},[86,108,109],{},[16,110,111],{},"CVE-2026-116779",[86,113,114],{},"FreeSWITCH (SignalWire)",[86,116,117],{},"Ejecutar comandos en el servidor, ver configuración y credenciales, controlar llamadas",[86,119,120,121],{},"FreeSWITCH ",[16,122,123],{},"1.11.3",[65,125,126,131,134,137],{},[86,127,128],{},[16,129,130],{},"CVE-2026-102895",[86,132,133],{},"GPUStack",[86,135,136],{},"Acceso de administrador sin credenciales; ejecución de código en los servidores con GPU",[86,138,139,140],{},"GPUStack ",[16,141,142],{},"2.2.0",[65,144,145,150,153,156],{},[86,146,147],{},[16,148,149],{},"CVE-2026-123218",[86,151,152],{},"IBM Aspera Faspex",[86,154,155],{},"Un usuario autenticado se vuelve administrador",[86,157,158,159],{},"Faspex ",[16,160,161],{},"5.0.19 PL1",[12,163,164,165,168,169,172],{},"En el catálogo, CISA marcó las cuatro con ",[16,166,167],{},"triage forense",": bajo su directiva ",[16,170,171],{},"BOD 26-04"," (del 10 de junio de 2026), las dependencias no solo deben parchar, también deben recolectar evidencia y determinar si ya hubo intrusión. Para una empresa privada nada de esto es obligatorio, pero el mensaje es útil: si el equipo estuvo expuesto, parchar no basta.",[54,174,176],{"id":175},"sshole-de-prueba-de-concepto-a-ataque-confirmado","SSHole: de prueba de concepto a ataque confirmado",[12,178,179,180,183,184,187,188,191,192,196,197,200,201,204],{},"El jueves 5, OpenSSH publicó la versión 10.6p2. El viernes 6, la firma de inteligencia ",[16,181,182],{},"Previdian"," dijo a Help Net Security que su primer intento de explotación detectado llegó ",[16,185,186],{},"menos de nueve horas"," después de publicada la CVE, que contó ocho intentos desde una sola dirección IP en Japón y que el atacante obtuvo ",[16,189,190],{},"acceso root en una de sus trampas"," (honeypots) con Alpine Linux y OpenSSH reales. Luego corrió comandos de reconocimiento como ",[193,194,195],"code",{},"id",", ",[193,198,199],{},"uname"," y ",[193,202,203],{},"hostname",".",[12,206,207,208,211,212,215,216,219,220,196,223,226],{},"Hasta el sábado, CISA no la tenía en el KEV; hoy ya está. Si el fin de semana aplicaste el parche o desactivaste ",[193,209,210],{},"PasswordAuthentication",", vas bien. Lo que falta, si ese servidor estuvo expuesto con contraseñas activas entre el 5 y el día que parchaste, es ",[16,213,214],{},"revisar bitácoras",": busca ",[193,217,218],{},"Accepted password for"," en cuentas que no deberían tener contraseña (",[193,221,222],{},"root",[193,224,225],{},"alpine"," o usuarios que solo entran con llave), usuarios nuevos y llaves SSH agregadas.",[228,229],"ad-banner",{},[54,231,233],{"id":232},"freeswitch-el-conmutador-que-escucha-mensajes-de-chat","FreeSWITCH: el conmutador que escucha mensajes de chat",[12,235,236,237,240,241,244,245,248,249,252,253,256],{},"FreeSWITCH es un motor de telefonía de código abierto que puede correr por dentro de conmutadores IP y plataformas de call center sin que el usuario lo vea. El aviso de seguridad del proyecto, publicado el ",[16,238,239],{},"28 de octubre"," con severidad ",[16,242,243],{},"crítica (CVSS 9.8)",", explica el problema así: el módulo SIP (",[193,246,247],{},"mod_sofia",") acepta mensajes de chat (",[193,250,251],{},"SIP MESSAGE","), y un mensaje armado de cierta forma puede elegir el \"protocolo\" ",[193,254,255],{},"api",", que ejecuta comandos de FreeSWITCH. Desde ahí, el atacante puede correr comandos con los permisos del servicio, leer configuración y credenciales y controlar llamadas. El aviso ya mencionaba explotación observada.",[12,258,259],{},"Lo grave son las condiciones:",[261,262,263,277,283],"ul",{},[264,265,266,269,270,273,274,204],"li",{},[16,267,268],{},"Viene vulnerable de fábrica."," El chat está activo salvo que el perfil diga ",[193,271,272],{},"enable-chat=false",", y los perfiles de ejemplo (internal y external) lo dejan encendido. La lista de acceso de entrada (ACL) no cubre los mensajes ",[193,275,276],{},"MESSAGE",[264,278,279,282],{},[16,280,281],{},"Una cuenta cualquiera basta."," Si exiges autenticación en los mensajes, cualquier cuenta válida del perfil sirve, aunque solo tenga permiso de registrarse.",[264,284,285,288,289,292,293,296,297,204],{},[16,286,287],{},"Ni siquiera eso, con la configuración de ejemplo."," Las instalaciones que conservan el directorio de ejemplo tienen un usuario ",[193,290,291],{},"default"," sin contraseña que se autentica salvo que ",[193,294,295],{},"allow-empty-password"," esté en ",[193,298,299],{},"false",[12,301,302],{},[16,303,304],{},"Qué hacer:",[306,307,308,318,330,351],"ol",{},[264,309,310,313,314,317],{},[16,311,312],{},"Pregúntale a tu proveedor"," si tu conmutador, tu call center o tu troncal SIP usan FreeSWITCH, y en qué versión. Todas hasta la ",[16,315,316],{},"1.11.2"," son vulnerables.",[264,319,320,323,324,327,328,204],{},[16,321,322],{},"Actualiza a la 1.11.3."," Esta versión agrega un parámetro por perfil, ",[193,325,326],{},"enable-chat-api-proto",", apagado por defecto, y rechaza con un error 403 los intentos de usar el protocolo ",[193,329,255],{},[264,331,332,335,336,338,339,342,343,346,347,350],{},[16,333,334],{},"Si no puedes actualizar hoy",", pon ",[193,337,272],{}," en los perfiles que no necesiten chat por SIP. Según el aviso, eso cierra el camino por completo en esos perfiles. Activar ",[193,340,341],{},"auth-messages"," o ",[193,344,345],{},"disable_system_api_commands=true"," ",[16,348,349],{},"no"," es suficiente.",[264,352,353,356],{},[16,354,355],{},"Borra usuarios sin contraseña"," del directorio y cambia las credenciales SIP si sospechas que alguien leyó la configuración.",[12,358,359,360,364,365,369],{},"Si este escenario te suena, es porque ya lo vivimos con ",[37,361,363],{"href":362},"/blog/noticias/issabel-pbx-cve-2026-89026-conmutador-voip","Issabel en septiembre",": conmutadores instalados una vez, con la configuración de ejemplo, expuestos a internet y sin nadie a cargo de actualizarlos. En nuestra ",[37,366,368],{"href":367},"/blog/guia-empresarial/telefonia-ip-empresas-costos-migracion","guía de telefonía IP para empresas"," insistimos en que el mantenimiento del conmutador entre en el contrato.",[54,371,373],{"id":372},"gpustack-y-aspera-menos-comunes-igual-de-serios","GPUStack y Aspera: menos comunes, igual de serios",[12,375,376,378,379,382,383,385,386,389],{},[16,377,133],{}," es una herramienta de código abierto para administrar servidores con GPU y servir modelos de IA. Su aviso (publicado el 31 de julio, CVSS 9.8) explica que, con la configuración de fábrica, trata como administrador cualquier petición que parezca venir de la propia máquina, y eso se puede falsificar con un encabezado ",[193,380,381],{},"X-GPUStack-Real-IP"," o pasa solo si hay un proxy inverso en el mismo servidor. El proyecto reportó explotación contra una instalación 2.1.1. Corrige la ",[16,384,142],{},"; mientras, pon ",[193,387,388],{},"force_auth_localhost=true"," y no dejes la API expuesta a internet. Si tu equipo montó un servidor de IA propio \"para probar\", es buen momento para preguntar qué software usa.",[12,391,392,394,395,398,399,401],{},[16,393,152],{}," es la plataforma de IBM para enviar archivos muy grandes entre empresas. IBM publicó el 7 de noviembre que las versiones ",[16,396,397],{},"5.0.0 a 5.0.19"," permiten a un usuario autenticado obtener privilegios de administrador (CVSS 9.8) y que se corrige con ",[16,400,161],{},", sin alternativa temporal. El boletín de IBM no hablaba de ataques; el catálogo de CISA, sí.",[403,404,407],"callout",{"icon":405,"title":406},"i-lucide-timer","El patrón de noviembre: días, no semanas",[12,408,409,410,414],{},"Node2Shell tuvo ",[37,411,413],{"href":412},"/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre","plazo de CISA al 10 de noviembre","; SSHole pasó de parche a ataque en menos de nueve horas y a KEV en cuatro días. Si un servicio de tu empresa se ve desde internet, el tiempo realista para parcharlo ya no es \"el próximo mantenimiento\": es esta semana.",[54,416,418],{"id":417},"qué-hacer-antes-del-jueves","Qué hacer antes del jueves",[306,420,421,427,433,444],{},[264,422,423,426],{},[16,424,425],{},"Haz la lista de lo que se ve desde internet",": SSH, puertos SIP de telefonía (normalmente 5060 y 5061), paneles de administración y APIs de IA. Si no sabes qué está expuesto, empieza por los reenvíos de puertos de tu firewall.",[264,428,429,432],{},[16,430,431],{},"Parcha en este orden",": lo expuesto y sin autenticación (SSHole, FreeSWITCH con configuración de ejemplo, GPUStack), después lo que requiere cuenta (Aspera).",[264,434,435,438,439,443],{},[16,436,437],{},"Cierra lo que no necesita estar abierto."," SSH y la administración del conmutador deben quedar detrás de una ",[37,440,442],{"href":441},"/blog/comparativa/vpn-tradicional-vs-ztna","VPN o un acceso Zero Trust",", no abiertos a todo internet.",[264,445,446,449],{},[16,447,448],{},"Revisa huellas"," en cada equipo que estuvo expuesto antes del parche: accesos raros, usuarios nuevos, llamadas a destinos internacionales que nadie hizo.",[12,451,452],{},"Fuentes: catálogo KEV de CISA (versión 2026.11.09) y guía de implementación de la directiva BOD 26-04; aviso GHSA-mg63-h38w-8p9p de FreeSWITCH (28 de octubre); aviso GHSA-gj9m-f8ph-pmhr de GPUStack (31 de julio); boletín de seguridad de IBM para Aspera Faspex (7 de noviembre); Help Net Security (6 de noviembre) con datos de Previdian; notas de la versión 10.6p2 de OpenSSH y aviso de Alpine Linux (5 de noviembre).",[454,455],"call-to-action",{"description":456,"eyebrow":457,"icon":458,"label":459,"title":460,"to":461},"Escaneamos qué servicios de tu empresa se ven desde internet, aplicamos parches o mitigaciones en servidores y conmutadores, y buscamos huellas de intrusión.","Ciberseguridad","i-lucide-shield-alert","Agendar revisión","Revisa lo que tu empresa expone antes del jueves","/contacto",{"title":463,"searchDepth":464,"depth":465,"links":466},"",2,3,[467,468,469,470,471],{"id":56,"depth":464,"text":57},{"id":175,"depth":464,"text":176},{"id":232,"depth":464,"text":233},{"id":372,"depth":464,"text":373},{"id":417,"depth":464,"text":418},"noticias",{"title":474,"description":475,"label":476,"to":477,"icon":458},"¿Tu conmutador o tus servidores están expuestos?","Revisamos qué servicios de tu empresa se ven desde internet (SSH, telefonía SIP, paneles de IA), aplicamos parches o mitigaciones y buscamos huellas de intrusión.","Ver servicio de ciberseguridad","/servicios/ciberseguridad","2026-11-09","CISA metió hoy a su catálogo KEV SSHole (OpenSSH), FreeSWITCH, GPUStack e IBM Aspera Faspex, con plazo al 12 de noviembre. Qué versiones corrigen y qué revisar.",false,"md",[483,486,489,492],{"question":484,"answer":485},"¿Qué agregó CISA hoy a su catálogo KEV?","El 9 de noviembre de 2026 CISA agregó cuatro vulnerabilidades con explotación confirmada: CVE-2026-123158 (SSHole, en OpenSSH sobre Linux), CVE-2026-116779 (FreeSWITCH), CVE-2026-102895 (GPUStack) y CVE-2026-123218 (IBM Aspera Faspex). Las cuatro tienen fecha límite del 12 de noviembre para las dependencias federales de Estados Unidos.",{"question":487,"answer":488},"¿Por qué el plazo es de solo tres días?","Bajo la directiva BOD 26-04 de CISA, vigente desde junio de 2026, una falla en un equipo expuesto a internet, con impacto técnico total y fácil de automatizar, recibe un plazo de tres días. Las cuatro de hoy también vienen marcadas para triage forense: además de parchar, hay que revisar si ya hubo intrusión.",{"question":490,"answer":491},"¿Cómo sé si mi conmutador usa FreeSWITCH?","FreeSWITCH es un motor de telefonía de código abierto que puede correr por dentro de conmutadores IP y plataformas de call center sin que el usuario lo vea. Pregúntale a tu proveedor qué motor usa y en qué versión. La versión corregida es la 1.11.3; todas hasta la 1.11.2 son vulnerables.",{"question":493,"answer":494},"Ya revisé SSHole el fin de semana, ¿qué cambia?","Que ya no es un riesgo teórico. Previdian reportó el 6 de noviembre acceso como root en una trampa (honeypot) con Alpine real, y hoy CISA lo confirmó en su catálogo. Si tu servidor estuvo expuesto con contraseñas activas antes de parchar, revisa bitácoras por accesos raros.",null,"/images/blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre.jpg","Rack de servidores con un conmutador de telefonía IP y una consola mostrando una lista de vulnerabilidades marcadas como explotadas","informational",[500,501,502,503,504],"cisa kev 9 noviembre 2026","sshole cve-2026-123158 explotada","freeswitch cve-2026-116779","gpustack cve-2026-102895","ibm aspera faspex cve-2026-123218",{},true,"/blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre","2026-11-09T17:00:00-06:00",5,{"title":5,"description":479},"SSHole y FreeSWITCH, al KEV: plazo al 12 de noviembre","blog/noticias/cisa-kev-sshole-freeswitch-gpustack-plazo-12-noviembre",[514,515,516,517],"ciberseguridad","vulnerabilidades","telefonia ip","servidores","ribL63LJzJNA3gy0tT4ixG9qMpkRuFJdLyEzXsJLbRw",{"path":520,"title":521},"/blog/noticias/teams-copilot-reuniones-meetingai-transcripcion-diciembre","Teams cambia los controles de Copilot en reuniones: la política se divide en dos entre diciembre y enero",{"path":523,"title":524},"/blog/noticias/copilot-studio-sale-de-teams-prioritize-outlook-researcher-retiros","Copilot Studio sale de Teams en febrero y Outlook pierde «Prioritize»: lo que Microsoft retira de Copilot antes de marzo",[526,533,540],{"path":527,"title":528,"description":529,"date":530,"category":472,"image":531,"imageAlt":532,"readingTime":509},"/blog/noticias/sonicwall-gms-sin-soporte-cisco-fmc-ftd-7-7-consolas-firewall","La consola de tus firewalls también caduca: SonicWall GMS ya no recibe parches y Cisco deja de surtir FTD y FMC 7.7 el 28 de diciembre","SonicWall GMS perdió soporte el 30 de septiembre; Cisco FTD y FMC 7.7 dejan de surtirse el 28 de diciembre y sin parches en 2027. Fechas y qué hacer.","2026-11-13","/images/blog/noticias/sonicwall-gms-sin-soporte-cisco-fmc-ftd-7-7-consolas-firewall.jpg","Pantalla de consola de administración de firewalls en un escritorio de TI, junto a un rack con equipos de red y un calendario marcado en diciembre",{"path":534,"title":535,"description":536,"date":530,"category":472,"image":537,"imageAlt":538,"readingTime":539},"/blog/noticias/isr-ley-ingresos-2027-publicados-dof-13-noviembre-resico-5-millones","Ya es ley: el DOF publica el ISR 2027, la Ley de Ingresos y la de Derechos; RESICO sube a 5 millones, llega el IVA de 7 % y desaparece la integración de grupos","El DOF del 13 de noviembre publica la reforma al ISR, la LIF y la LFD 2027. Vigor 1 de enero: tope a deducciones, RESICO a 5 millones, IVA de 7 % y condonación.","/images/blog/noticias/isr-ley-ingresos-2027-publicados-dof-13-noviembre-resico-5-millones.jpg","Ejemplar del Diario Oficial de la Federación del 13 de noviembre de 2026 junto a una calculadora y una declaración de pagos provisionales",6,{"path":541,"title":542,"description":543,"date":530,"category":472,"image":544,"imageAlt":545,"readingTime":546},"/blog/noticias/gemini-omni-1-1-flash-redireccion-1-2-3-diciembre-video","Gemini Omni 1.1 Flash duró 98 días: el 3 de diciembre Google manda tus videos a la versión 1.2, más barata y sin preguntarte","Desde el 3 de diciembre, la API de Gemini envía las llamadas a gemini-omni-1.1-flash a la versión 1.2: video 30% más barato, pero otro modelo. Qué revisar.","/images/blog/noticias/gemini-omni-1-1-flash-redireccion-1-2-3-diciembre-video.jpg","Monitor de una agencia pequeña con una línea de tiempo de video y miniaturas de clips de producto generados con IA, junto a un calendario de escritorio",4,{"id":548,"avatar":495,"bio":549,"entityType":550,"expertise":551,"extension":552,"meta":553,"name":6,"role":554,"slug":555,"social":495,"stem":556,"url":7,"__hash__":557},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]