{"id":744,"date":"2026-05-04T11:41:32","date_gmt":"2026-05-04T11:41:32","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/04\/vulnerabilidad-critica-de-cpanel-armada-para-apuntar-a-redes-gubernamentales-y-msp-cyberdefensa-mx\/"},"modified":"2026-05-04T11:41:32","modified_gmt":"2026-05-04T11:41:32","slug":"vulnerabilidad-critica-de-cpanel-armada-para-apuntar-a-redes-gubernamentales-y-msp-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/04\/vulnerabilidad-critica-de-cpanel-armada-para-apuntar-a-redes-gubernamentales-y-msp-cyberdefensa-mx\/","title":{"rendered":"Vulnerabilidad cr\u00edtica de cPanel armada para apuntar a redes gubernamentales y MSP \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Se ha observado que un actor de amenazas previamente desconocido ataca a entidades gubernamentales y militares en el sudeste asi\u00e1tico, junto con un grupo m\u00e1s peque\u00f1o de proveedores de servicios administrados (MSP) y proveedores de alojamiento en Filipinas, Laos, Canad\u00e1, Sud\u00e1frica y EE. UU., al explotar la vulnerabilidad recientemente revelada en cPanel.<\/p>\n

la actividad, detectado<\/a> por Ctrl-Alt-Intel el 2 de mayo de 2026, implica el abuso de CVE-2026-41940, una vulnerabilidad cr\u00edtica en cPanel y WebHost Manager (WHM) que podr\u00eda resultar en una omisi\u00f3n de autenticaci\u00f3n y permitir a atacantes remotos obtener un control elevado del panel de control.<\/p>\n

Los esfuerzos de ataque se originaron desde la direcci\u00f3n IP \u00ab95.111.250[.]175\u00bb, destacando principalmente los dominios gubernamentales y militares asociados con Filipinas (*.mil.ph y (*.ph)) y Laos (*.gov.la), as\u00ed como MSP y proveedores de alojamiento, que utilizan disponible p\u00fablicamente<\/a> prueba de conceptos<\/a> (PoC).<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Adem\u00e1s, Ctrl-Alt-Intel revel\u00f3 que el actor de amenazas utiliz\u00f3 una cadena de exploits personalizada separada para un portal de capacitaci\u00f3n del sector de defensa de Indonesia antes de los ataques de cPanel, empleando una combinaci\u00f3n de inyecci\u00f3n SQL autenticada y ejecuci\u00f3n remota de c\u00f3digo. En este caso, se dice que el atacante ya estaba en posesi\u00f3n de credenciales v\u00e1lidas para el portal en cuesti\u00f3n.<\/p>\n

\u00abEl script utiliza credenciales codificadas y anula el CAPTCHA del portal leyendo el valor CAPTCHA esperado de la cookie de sesi\u00f3n emitida por el servidor en lugar de resolver el desaf\u00edo normalmente\u00bb, dijo Ctrl-Alt-Intel.<\/p>\n

\u00abUna vez autenticado y pasado el CAPTCHA, el actor pasa a una funci\u00f3n de administraci\u00f3n de documentos. El par\u00e1metro vulnerable es el campo utilizado para guardar el nombre de un documento, y el script inyecta SQL en ese campo cuando se publica en el punto final para guardar el documento\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

Un an\u00e1lisis m\u00e1s detallado ha determinado que el actor de la amenaza est\u00e1 utilizando el marco de comando y control (C2) AdaptixC2 para controlar de forma remota el punto final comprometido. Tambi\u00e9n se utilizan herramientas como OpenVPN y Ligolo para facilitar el acceso persistente a las redes internas de las v\u00edctimas.<\/p>\n

\u00abEl actor construy\u00f3 una capa de acceso duradera usando OpenVPN, Ligolo, systemd persistence, y luego us\u00f3 ese acceso para pivotar hacia una red interna y exfiltrar un corpus sustancial de documentos del sector ferroviario chino\u00bb, agreg\u00f3 Ctrl-Alt-Intel.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Actualmente no se sabe qui\u00e9n est\u00e1 detr\u00e1s de la campa\u00f1a, pero el desarrollo se produce como lo dijo Censys. descubierto<\/a> evidencia que sugiere que varios terceros est\u00e1n utilizando la vulnerabilidad de cPanel como arma dentro de las 24 horas posteriores a la divulgaci\u00f3n p\u00fablica, incluida la implementaci\u00f3n de variantes de botnet Mirai y una cepa de ransomware llamada Sorry.<\/p>\n

Seg\u00fan datos de la Shadowserver Foundation, se dice que al menos 44.000 direcciones IP probablemente comprometidas a trav\u00e9s de CVE-2026-41940 tienen comprometido<\/a> en escaneo y ataques de fuerza bruta contra sus honeypots el 30 de abril de 2026. A partir del 3 de mayo, la cifra ha abandon\u00f3<\/a> a 3.540. <\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Se ha observado que un actor de amenazas previamente desconocido ataca a entidades gubernamentales y militares en el sudeste asi\u00e1tico, junto con un grupo m\u00e1s peque\u00f1o de proveedores de servicios administrados (MSP) y proveedores de alojamiento en Filipinas, Laos, Canad\u00e1, Sud\u00e1frica y EE. UU., al explotar la vulnerabilidad recientemente revelada en cPanel. la actividad, detectado […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[886,2258,2227,611,24,363,534,36,153,313],"class_list":["post-744","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apuntar","tag-armada","tag-cpanel","tag-critica","tag-cyberdefensa-mx","tag-gubernamentales","tag-msp","tag-para","tag-redes","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/744","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=744"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/744\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=744"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=744"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=744"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}