[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a":3,"prev-/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a":500,"next-/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a":477,"related-/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a":503,"author-Diego Herrera":521},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":453,"cta":454,"date":460,"dateModified":460,"description":461,"draft":462,"extension":463,"faq":464,"featured":462,"howto":477,"image":478,"imageAlt":479,"intent":480,"keywords":481,"meta":486,"navigation":487,"path":488,"publishedTime":489,"readingTime":490,"seo":491,"seoTitle":492,"stem":493,"tags":494,"__hash__":499},"blog/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a.md","Fallas de 2015 todavía abren la puerta: agencias de siete países alertan que una red ligada a China roba correo con parches que tienen diez años","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":443},"minimark",[11,28,63,68,94,105,112,116,248,255,263,266,270,273,328,341,345,348,410,418,422,434],[12,13,14,15,19,20,23,24,27],"p",{},"Hay una idea muy común en las PyMEs: \"las fallas peligrosas son las nuevas, las de la semana\". El aviso que publicaron el ",[16,17,18],"strong",{},"jueves 8 de octubre de 2026"," diez agencias de seguridad de siete países dice lo contrario. La vulnerabilidad más vieja de su lista es de ",[16,21,22],{},"2014"," y la más reciente, de ",[16,25,26],{},"2023",". Todas tienen parche desde hace años. Y todas están sirviendo, hoy, para robar correo.",[12,29,30,31,34,35,38,39,42,43,46,47,50,51,54,55,58,59,62],{},"El aviso se llama ",[16,32,33],{},"AA26-281A"," y lo firman ",[16,36,37],{},"FBI, CISA y NSA"," de Estados Unidos, el ",[16,40,41],{},"NCSC"," de Reino Unido, el ",[16,44,45],{},"ASD's ACSC"," de Australia, el ",[16,48,49],{},"Centro Canadiense de Ciberseguridad",", la ",[16,52,53],{},"Agencia Nacional de Policía y la Oficina Nacional de Ciberseguridad de Japón",", el ",[16,56,57],{},"NCSC de Nueva Zelanda"," y el ",[16,60,61],{},"Centro Nacional de Inteligencia (CNI) de España",".",[64,65,67],"h2",{"id":66},"quién-está-detrás-y-qué-busca","Quién está detrás y qué busca",[12,69,70,71,74,75,78,79,82,83,86,87,90,91,62],{},"Según el aviso, el grupo opera con apoyo de ",[16,72,73],{},"Integrity Technology Group",", una empresa con sede en China y vínculos con su gobierno. Sus técnicas coinciden con las de grupos conocidos como ",[16,76,77],{},"Flax Typhoon",", ",[16,80,81],{},"Ethereal Panda"," y ",[16,84,85],{},"Red Juliett",". Según el aviso, el grupo entra a redes de víctimas ",[16,88,89],{},"desde al menos enero de 2021",", usa su escáner propio desde 2017 y algunos indicadores se remontan a ",[16,92,93],{},"2016",[12,95,96,97,100,101,104],{},"Lo que buscan es concreto: ",[16,98,99],{},"correo y credenciales",". El aviso describe que extraen buzones completos, calendarios, contactos y credenciales del directorio activo, tanto de servidores propios como de servicios en la nube. Incluso mantienen una ",[16,102,103],{},"aplicación web que da acceso a terceros al correo robado",": basta pasar ciertos parámetros en la dirección para leer los mensajes de una cuenta.",[12,106,107,108,111],{},"Los blancos que menciona incluyen gobierno, manufactura crítica, salud y TI en Estados Unidos, además de policías, escuelas y organizaciones religiosas, y organizaciones en el sudeste asiático, África y Norteamérica. ",[16,109,110],{},"No menciona víctimas en México",", pero el método no elige por país.",[64,113,115],{"id":114},"las-ocho-fallas-todas-viejas","Las ocho fallas, todas viejas",[117,118,119,138],"table",{},[120,121,122],"thead",{},[123,124,125,129,132,135],"tr",{},[126,127,128],"th",{},"Software",[126,130,131],{},"CVE",[126,133,134],{},"Año del fallo",[126,136,137],{},"Qué permite",[139,140,141,155,169,182,195,209,222,235],"tbody",{},[123,142,143,147,150,152],{},[144,145,146],"td",{},"GNU Bash",[144,148,149],{},"CVE-2014-6278",[144,151,22],{},[144,153,154],{},"Ejecutar comandos",[123,156,157,160,163,166],{},[144,158,159],{},"ProFTPD 1.3.5 (FTP)",[144,161,162],{},"CVE-2015-3306",[144,164,165],{},"2015",[144,167,168],{},"Leer y escribir archivos sin permiso",[123,170,171,174,177,179],{},[144,172,173],{},"ISC BIND 9 (DNS)",[144,175,176],{},"CVE-2015-5477",[144,178,165],{},[144,180,181],{},"Tumbar el servidor DNS",[123,183,184,187,190,192],{},[144,185,186],{},"Apache Struts 2.3.19–2.3.28",[144,188,189],{},"CVE-2016-3081",[144,191,93],{},[144,193,194],{},"Ejecutar código",[123,196,197,200,203,206],{},[144,198,199],{},"Pulse Connect Secure (VPN)",[144,201,202],{},"CVE-2019-11510",[144,204,205],{},"2019",[144,207,208],{},"Leer archivos del equipo",[123,210,211,214,217,220],{},[144,212,213],{},"GitLab 11.9 en adelante",[144,215,216],{},"CVE-2021-22205",[144,218,219],{},"2021",[144,221,194],{},[123,223,224,227,230,232],{},[144,225,226],{},"ONLYOFFICE DocumentServer 5.1.5–5.6.2",[144,228,229],{},"CVE-2021-3199",[144,231,219],{},[144,233,234],{},"Escribir archivos en el servidor",[123,236,237,240,243,245],{},[144,238,239],{},"Strapi hasta 4.5.5",[144,241,242],{},"CVE-2023-22894",[144,244,26],{},[144,246,247],{},"Exponer datos sensibles de usuarios",[12,249,250,251,254],{},"Cinco de estas fallas (ProFTPD, BIND, Struts, ONLYOFFICE y Strapi) ",[16,252,253],{},"no estaban"," en el catálogo de vulnerabilidades explotadas de la CISA y entraron el mismo 8 de octubre, con plazo de corrección de tres días para las dependencias federales de Estados Unidos. Las otras tres ya estaban en esa lista: Pulse Connect Secure y GitLab desde noviembre de 2021, y Bash desde octubre de 2025.",[256,257,260],"callout",{"icon":258,"title":259},"i-lucide-history","Por qué una falla de 2015 sigue funcionando",[12,261,262],{},"Porque el equipo sigue ahí. El FTP que se montó para que un cliente subiera planos, el DNS que configuró un proveedor que ya no existe, el servidor de documentos que se instaló junto a la nube privada y nadie volvió a tocar. Si funciona, nadie lo actualiza. Y como nadie lo vigila, el atacante tiene años para entrar.",[264,265],"ad-banner",{},[64,267,269],{"id":268},"cómo-entran","Cómo entran",[12,271,272],{},"El aviso describe un proceso en dos tiempos:",[274,275,276,294],"ol",{},[277,278,279,282,283,286,287,290,291,62],"li",{},[16,280,281],{},"Escaneo masivo y automático."," Usan herramientas abiertas (masscan, Nmap, dirsearch, wpscan y otras) y una aplicación propia llamada ",[16,284,285],{},"MicroScan",", con ",[16,288,289],{},"más de 1,300 scripts"," de ataque contra servicios como OpenSSL, WebLogic, WordPress, Jenkins y Struts. Se fijan sobre todo en los puertos ",[16,292,293],{},"21 (FTP), 22 (SSH), 53 (DNS), 80 y 443 (web) y 1080 (SOCKS)",[277,295,296,299,300,303,304,307,308,311,312,315,316,319,320,78,324,327],{},[16,297,298],{},"Trabajo manual sobre lo que encontraron."," Con la falla aprovechada, inyectan código en sitios web vulnerables para mostrar formularios falsos de usuario y contraseña que, una vez llenados, ofrecen un ZIP con contraseña que trae malware. Contra ",[16,301,302],{},"Exchange"," hacen ",[16,305,306],{},"rociado de contraseñas"," con una herramienta llamada ",[16,309,310],{},"EBurst",", probando claves comunes en Outlook Web, EWS y el panel de control. Ya dentro, copian el directorio activo con ",[16,313,314],{},"DCSync"," y montan túneles ",[16,317,318],{},"SoftEther VPN"," disfrazados de procesos de Windows (",[321,322,323],"code",{},"conhost.exe",[321,325,326],{},"dllhost.exe",").",[12,329,330,331,78,334,337,338,62],{},"El correo robado se sube a servidores remotos con nombres inocentes como ",[321,332,333],{},"001.gif",[321,335,336],{},"Css.js"," o ",[321,339,340],{},"M2k.js",[64,342,344],{"id":343},"qué-hacer-esta-semana","Qué hacer esta semana",[12,346,347],{},"El aviso pone tres medidas por delante: apagar servicios y puertos que no se usan, validar lo que los usuarios capturan en las aplicaciones web y controlar identidades y accesos, con segundo factor. Las traduzco, junto con otras que también recomienda, a tareas para una PyME:",[274,349,350,360,376,390,404],{},[277,351,352,355,356,359],{},[16,353,354],{},"Mira tu red desde afuera."," Haz la lista de todo lo que responde desde internet: FTP, DNS, correo web, VPN, servidor de documentos, GitLab, paneles de administración. Lo que nadie usa, ",[16,357,358],{},"se apaga",". Lo que sí se usa y es viejo, se actualiza o se reemplaza. Si tienes ProFTPD, BIND, ONLYOFFICE, Strapi o GitLab instalados en algún servidor, revisa su versión hoy.",[277,361,362,365,366,371,372,62],{},[16,363,364],{},"Verificación en dos pasos en todo lo que da acceso."," Correo web, VPN y paneles críticos. El rociado de contraseñas no sirve contra una cuenta con segundo factor. Si aún no lo tienes, empieza con ",[367,368,370],"a",{"href":369},"/blog/tutorial/activar-2fa-cuentas","esta guía para activar el 2FA"," y revisa si ya hay ",[367,373,375],{"href":374},"/blog/tutorial/contrasenas-filtradas-empresa","contraseñas de tu empresa filtradas",[277,377,378,381,382,82,386,62],{},[16,379,380],{},"Reemplaza lo que está fuera de soporte."," El aviso lo dice textual: sustituir productos al final de su vida por alternativas con soporte. Si tu correo corre en Exchange 2016 o 2019, ese es el caso: ",[367,383,385],{"href":384},"/blog/noticias/exchange-2016-2019-fin-esu-31-octubre","su soporte pagado termina el 31 de octubre",[367,387,389],{"href":388},"/blog/noticias/exchange-2016-2019-correo-bloqueado-hibrido","Microsoft ya empezó a frenar su correo",[277,391,392,395,396,337,398,400,401,62],{},[16,393,394],{},"Busca señales."," Revisa inicios de sesión fuera de horario o desde lugares imposibles, replicación del directorio activo desde equipos que no son controladores de dominio, y procesos ",[321,397,323],{},[321,399,326],{}," fuera de su ruta normal en ",[321,402,403],{},"System32",[277,405,406,409],{},[16,407,408],{},"Ten un respaldo fuera de línea."," El aviso lo recomienda explícitamente, protegido con contraseña y desconectado de la red.",[12,411,412,413,417],{},"Para los servidores Linux que sí necesitas publicar, una pasada de ",[367,414,416],{"href":415},"/blog/tutorial/hardening-servidores-linux","endurecimiento básico"," cierra buena parte de lo que este grupo busca.",[64,419,421],{"id":420},"la-lección","La lección",[12,423,424,425,429,430,433],{},"Octubre es el ",[367,426,428],{"href":427},"/blog/guia-empresarial/mes-ciberseguridad-plan-4-semanas","mes de la ciberseguridad"," y casi toda la conversación gira en torno a la falla de la semana. Este aviso recuerda algo menos vistoso: ",[16,431,432],{},"el riesgo más grande de una PyME suele ser el servidor que se instaló hace años y del que ya nadie se acuerda."," Un inventario honesto de lo expuesto vale más que cualquier herramienta nueva.",[435,436],"call-to-action",{"description":437,"eyebrow":438,"icon":439,"label":440,"title":441,"to":442},"Revisamos qué servicios de tu empresa están publicados en internet, qué versión corren y cuáles deben apagarse, actualizarse o migrarse.","Superficie de ataque","i-lucide-radar","Pedir revisión","Encuentra el servidor olvidado antes que ellos","/contacto",{"title":444,"searchDepth":445,"depth":446,"links":447},"",2,3,[448,449,450,451,452],{"id":66,"depth":445,"text":67},{"id":114,"depth":445,"text":115},{"id":268,"depth":445,"text":269},{"id":343,"depth":445,"text":344},{"id":420,"depth":445,"text":421},"noticias",{"title":455,"description":456,"label":457,"to":458,"icon":459},"¿Sabes qué ve un atacante de tu red desde internet?","Escaneamos tu perímetro como lo haría un atacante, te entregamos la lista de servicios expuestos y viejos, y te ayudamos a cerrarlos o actualizarlos.","Ver ciberseguridad","/servicios/ciberseguridad","i-lucide-shield-alert","2026-10-15","El aviso AA26-281A de FBI, CISA, NSA y seis países: un grupo ligado a China roba correo con fallas de 2014 a 2023 en ProFTPD, BIND u ONLYOFFICE. Qué revisar.",false,"md",[465,468,471,474],{"question":466,"answer":467},"¿Qué es el aviso AA26-281A?","Es un aviso conjunto publicado el 8 de octubre de 2026 por FBI, CISA y NSA de Estados Unidos junto con agencias de Reino Unido, Australia, Canadá, Japón, Nueva Zelanda y España. Describe cómo actores ligados al gobierno chino, apoyados por la empresa Integrity Technology Group, combinan escaneo automático y ataque manual para robar correo y credenciales de organizaciones en varios continentes.",{"question":469,"answer":470},"¿Qué vulnerabilidades usan?","El aviso lista ocho, todas con parche desde hace años: Bash (CVE-2014-6278), ProFTPD 1.3.5 (CVE-2015-3306), ISC BIND 9 (CVE-2015-5477), Apache Struts (CVE-2016-3081), Pulse Connect Secure (CVE-2019-11510), GitLab (CVE-2021-22205), ONLYOFFICE DocumentServer (CVE-2021-3199) y Strapi (CVE-2023-22894). Cinco de ellas entraron al catálogo de fallas explotadas de la CISA el mismo 8 de octubre.",{"question":472,"answer":473},"¿Mi empresa en México está en riesgo si no es infraestructura crítica?","El aviso no menciona víctimas en México, pero el método no distingue tamaño ni país: escanean internet en busca de servicios expuestos y viejos. Si tienes un FTP, un DNS propio, un servidor de documentos o un correo con acceso web publicados a internet y sin actualizar, eres el tipo de objetivo que describe.",{"question":475,"answer":476},"¿Qué es lo primero que debo hacer?","Listar qué servicios de tu empresa responden desde internet, apagar los que nadie usa, actualizar o reemplazar los que estén fuera de soporte y activar la verificación en dos pasos en el correo web y la VPN. El propio aviso pone como prioridades apagar servicios y puertos sin uso, validar lo que se captura en las aplicaciones web y exigir segundo factor en los accesos.",null,"/images/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a.jpg","Rack de servidores antiguos con etiquetas de fechas viejas junto a una pantalla con alertas de seguridad","informational",[482,483,484,485],"aa26-281a integrity technology group","vulnerabilidades antiguas explotadas","proftpd cve-2015-3306","robo de correo exchange password spraying",{},true,"/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a","2026-10-15T08:15:00-06:00",5,{"title":5,"description":461},"Fallas de hace 10 años siguen abriendo tu correo","blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a",[495,496,497,498],"ciberseguridad","vulnerabilidades","correo electrónico","servidores","LYelinpSCN0XCQt504udBmInoMtPGHRZKepfdehVA1w",{"path":501,"title":502},"/blog/noticias/sophos-firewall-email-suben-precio-1-noviembre","Sophos sube otra vez sus precios el 1 de noviembre: firewalls XGS 10% más caros por segunda vez en cuatro meses",[504,510,516],{"path":505,"title":506,"description":507,"date":460,"category":453,"image":508,"imageAlt":509,"readingTime":490},"/blog/noticias/github-copilot-retira-modelos-19-octubre","GitHub Copilot retira seis modelos el lunes 19, y el reemplazo de GPT-5.5 no está en el plan Pro","GitHub Copilot retira el 19 de octubre seis modelos: GPT-5.5, GPT-5.4 y su mini, GPT-5 mini, Gemini 3.7 Flash y Grok 4.5. Reemplazos, qué revisar y costo.","/images/blog/noticias/github-copilot-retira-modelos-19-octubre.jpg","Pantalla de un editor de código con un selector de modelos de inteligencia artificial y un calendario al lado",{"path":511,"title":512,"description":513,"date":460,"category":453,"image":514,"imageAlt":515,"readingTime":490},"/blog/noticias/csp-recargo-5-por-ciento-pago-mensual-windows-server-sql","Pagar mes a mes tu Windows Server ya cuesta 5% más: el recargo de Microsoft que llega con la renovación","Desde el 1 de octubre, Microsoft cobra 5% extra a Windows Server, SQL Server y CAL anuales pagados mes a mes por CSP. Cuándo te toca y si conviene pagar anual.","/images/blog/noticias/csp-recargo-5-por-ciento-pago-mensual-windows-server-sql.jpg","Calculadora y factura de licencias de software sobre un escritorio junto a un servidor",{"path":501,"title":502,"description":517,"date":518,"category":453,"image":519,"imageAlt":520,"readingTime":490},"Desde el 1 de noviembre, Sophos sube 10% sus firewalls XGS, sus suscripciones y los AP6. Es el segundo aumento desde julio. Qué revisar antes de renovar.","2026-10-14","/images/blog/noticias/sophos-firewall-email-suben-precio-1-noviembre.jpg","Firewall en un rack de comunicaciones junto a una cotización impresa y una calculadora",{"id":522,"avatar":477,"bio":523,"entityType":524,"expertise":525,"extension":526,"meta":527,"name":6,"role":528,"slug":529,"social":477,"stem":530,"url":7,"__hash__":531},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]