Vulnerabilidades zero-day: cuando el peligro llega sin aviso previo

Las últimas semanas han sido un verdadero terremoto en el mundo de la ciberseguridad. Cisco acaba de lanzar parches de emergencia para frenar dos vulnerabilidades críticas en sus firewalls que ya están siendo explotadas activamente. Lo preocupante no es solo la existencia de estos fallos, sino que forman parte de una sofisticada campaña de espionaje conocida como ArcaneDoor.

Las vulnerabilidades que han puesto en alerta a gobiernos de todo el mundo

Si trabajas con infraestructura de Cisco, esto te interesa especialmente. Las vulnerabilidades identificadas como CVE-2025-20333 (con una puntuación CVSS de 9.9) y CVE-2025-20362 (con 6.5 puntos) afectan al servidor web VPN de los productos Cisco Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD).

El problema es bastante técnico pero fácil de entender: estos dispositivos no validan correctamente la entrada que reciben en las solicitudes HTTP(S). Esto abre la puerta a que atacantes remotos puedan enviar solicitudes manipuladas y, en el peor de los casos, ejecutar código arbitrario con privilegios de root. En términos más sencillos: pueden tomar el control total del dispositivo.

La gravedad varía según el vector de ataque

No todas las vulnerabilidades son iguales. La primera (CVE-2025-20333) requiere que el atacante tenga credenciales de VPN válidas para explotarla, pero su impacto potencial es devastador. La segunda (CVE-2025-20362) puede aprovecharse sin autenticación, aunque su impacto es considerado de gravedad media.

Lo curioso de este caso es que Cisco descubrió estos fallos en mayo de 2025, tras ser llamados para investigar ataques dirigidos contra organizaciones gubernamentales. Esto significa que los atacantes encontraron y explotaron estas vulnerabilidades zero-day antes que los propios fabricantes. Un recordatorio de que en el mundo de la ciberseguridad, a veces los malos llevan ventaja.

La campaña ArcaneDoor: sofisticación a otro nivel

Lo que hace este caso particularmente alarmante es la sofisticación de los ataques. Estamos ante actores que saben exactamente lo que hacen. Mediante la explotación de estos zero-days, los atacantes pudieron desplegar malware, ejecutar comandos a voluntad y, muy probablemente, extraer información sensible de los dispositivos comprometidos.

No se limitaron a entrar y salir rápidamente. Emplearon técnicas avanzadas de evasión: deshabilitaron el registro de eventos, interceptaron comandos de interfaz de línea (CLI) e incluso provocaron bloqueos intencionales en los dispositivos para evitar análisis de diagnóstico. Es como si el ladrón no solo entrara en tu casa, sino que además desactivara las cámaras de seguridad y borrara las huellas.

Persistencia a través de modificaciones de ROM

Lo más impresionante técnicamente hablando es cómo lograron mantener su acceso. Los atacantes manipularon la memoria de solo lectura (ROM) de los dispositivos, asegurándose así de que su presencia persistiera incluso después de reinicios y actualizaciones de software.

Esta técnica fue efectiva porque los modelos comprometidos (principalmente de la serie ASA 5500-X) no admiten características de seguridad avanzadas como Secure Boot y Trust Anchor. Es como si hubieran modificado el ADN del dispositivo para que siguiera sirviendo a sus propósitos maliciosos.

¿Quién está detrás de estos ataques?

Aunque no hay confirmación oficial de la comunidad de ciberseguridad, existen indicios que apuntan a que los responsables de la campaña ArcaneDoor podrían estar basados en China. Esto no es sorprendente considerando el nivel de sofisticación y los objetivos (principalmente organizaciones gubernamentales).

Lo cierto es que el perfil del atacante coincide con el de grupos de amenazas persistentes avanzadas (APTs) respaldados por estados, cuyo objetivo principal no es el beneficio económico inmediato sino la inteligencia y el espionaje a largo plazo.

Dispositivos afectados: ¿está el tuyo en la lista?

Los hackers comprometieron con éxito varios modelos, incluyendo dispositivos 5512-X, 5515-X y 5585-X (ya descatalogados), así como modelos 5525-X, 5545-X y 5555-X, que serán discontinuados a finales de septiembre de 2025.

El software ASA vulnerable también se ejecuta en dispositivos ASA 5505-X, 5506H-X, 5506W-X, 5508-X y 5516-X, y en todos los modelos Firepower y Secure Firewall. Sin embargo, estos últimos productos incorporan Secure Boot y Trust Anchors, lo que ha dificultado su compromiso efectivo. Al menos hasta ahora, Cisco no ha observado que estos modelos hayan sido comprometidos exitosamente.

Mitigación: lo que debes hacer ahora mismo

Si tienes dispositivos Cisco afectados, no hay tiempo que perder. La recomendación es actualizar tus dispositivos lo antes posible. La versión parcheada verificará automáticamente la ROM y eliminará cualquier mecanismo de persistencia que los atacantes hayan podido implementar.

Pero no te quedes solo en la actualización. También deberías:

Rotar todas las contraseñas, certificados y claves después de la actualización
Considerar no confiable cualquier elemento de configuración si sospechas que el dispositivo ha sido comprometido
Seguir la guía de detección publicada por Cisco para identificar posibles compromisos

En el caso de los modelos ASA 5500-X que serán descontinuados pronto, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) recomienda directamente reemplazarlos lo antes posible. A veces la mejor solución no es parchear sino actualizar completamente el hardware.

La respuesta institucional: cuando los gobiernos se ponen serios

La gravedad de estas vulnerabilidades ha provocado una respuesta contundente a nivel gubernamental. La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE.UU. (CISA) ha añadido ambas vulnerabilidades a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV), instando a las agencias federales a abordarlas en un plazo de 24 horas.

Además, CISA ha emitido la Directiva de Emergencia ED 25-03, ordenando a las agencias federales identificar todos los dispositivos Cisco ASA y Firepower en sus entornos, recopilar archivos de memoria y enviarlos para análisis forense.

Esta reacción institucional nos da una idea de la seriedad del asunto. No es una actualización cualquiera que puedes postergar; es una emergencia de ciberseguridad en toda regla.

Más allá de las dos vulnerabilidades principales

Como si dos vulnerabilidades zero-day no fueran suficientes, Cisco también parcheó el CVE-2025-20363 (con puntuación CVSS de 9.0), un error de ejecución remota de código que puede ser explotado sin autenticación en dispositivos con software ASA y FTD.

Aunque este último fallo aparentemente no ha sido explotado en entornos reales, Cisco lo menciona en la alerta que detalla los compromisos observados, lo que sugiere que podría estar relacionado con la misma campaña.