Flax Typhoon Exploits Five Flaws as CISA Sets October 11 Deadline for Federal Agencies
The Hacker News · 9 oct, 14:21
Qué hacer: Aplica parches o cesa el uso de ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts, ISC BIND y las demás soluciones afectadas antes del 11 de octubre de 2026.
CISA añadió cinco vulnerabilidades al catálogo de vulnerabilidades conocidas explotadas (KEV) tras su abuso por Flax Typhoon, un actor vinculado a China. Las cinco flaws afectan a ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts e ISC BIND, y se explotan para obtener acceso inicial a organizaciones y exfiltrar datos sensibles. Una advertencia conjunta de siete países, incluyendo España, advierte de operaciones atribuidas a Integrity Technology Group que explotan ocho vulnerabilidades en total. CISA ha fijado la fecha límite del 11 de octubre de 2026 para que las agencias federales estadounidenses apliquen parches o cesen el uso de los productos afectados.
Flax Typhoon, un actor de amenaza vinculado al gobierno chino, ha explotado activamente estas cinco vulnerabilidades como parte de operaciones más amplias dirigidas a infraestructura crítica. Las tácticas incluyen el uso de herramientas de escaneo, ataques de cross-site scripting y pulverización de contraseñas contra Microsoft Exchange, seguido de establecimientos de persistencia mediante software VPN y exfiltración de correos electrónicos y credenciales mediante scripts. Las vulnerabilidades van desde control de acceso inadecuado en ProFTPD (CVSS 10.0) hasta almacenamiento en texto plano de información sensible en Strapi (CVSS 7.2).
El grupo está atribuido a Integrity Technology Group, una empresa de ciberseguridad con base en China. Las operaciones buscan específicamente posicionarse dentro de redes de infraestructura crítica, incluyendo sistemas de tecnología operacional (OT), aparentemente para preparar futuras interrupciones. La advertencia fue emitida de forma conjunta por Australia, Canadá, Japón, Nueva Zelanda, España, Reino Unido y Estados Unidos, reflejando la preocupación global sobre estas actividades. Tres de las ocho vulnerabilidades ya estaban en el catálogo KEV desde hace años (Shellshock de 2014, Ivanti Pulse Connect de 2019 y GitLab RCE de 2021).
Puntos clave
- CVE-2015-3306 (ProFTPD): control de acceso inadecuado, CVSS 10.0
- CVE-2021-3199 (ONLYOFFICE Docs): path traversal y RCE, CVSS 9.8
- CVE-2023-22894 (Strapi): almacenamiento en texto plano de datos sensibles, CVSS 7.2
- CVE-2016-3081 (Apache Struts): inyección de comandos, CVSS 8.1
- CVE-2015-5477 (ISC BIND): negación de servicio, CVSS 7.5