El Plano de Control de tu Red Está Abierto: Ubiquiti UniFi OS con CVSS 10 en CISA KEV

El técnico de mantenimiento de la planta en Apodaca lo encontró a las 3:17 de la mañana. No un intruso. No una alarma. Solo el appliance parpadeando en la consola del cuarto de comunicaciones — un UniFi Gateway Pro que llevaba dieciocho meses funcionando sin incidentes — reiniciado sin razón visible, con un nombre en la bitácora que nadie del turno nocturno reconocía. ubnt-svc-reconf. El campo de usuario era válido. La autenticación había pasado. El timestamp era de cuarenta minutos antes. El técnico anotó la anomalía en el cuaderno de papel que usaban para los eventos sin categoría, cerró el cuarto con llave magnética y siguió su ronda. La bitácora digital no llegó al SOC interno hasta las 8:45, cuando el turno de día ya había absorbido otros cuarenta y dos eventos de mayor visibilidad. Para entonces, el sistema de archivos del appliance llevaba cuarenta minutos mapeado. Las credenciales de túnel hacia la zona SCADA llevaban treinta y seis minutos en tránsito hacia una salida Tor que nadie estaba monitoreando. No hubo explosión. No hubo pantalla negra. La frontera IT/OT no cayó con estrépito — se abrió en silencio, como se abren las cosas que nadie imaginó que necesitaban cerrarse.

Detección

KEV-1 no esperó confirmación de víctima. El patrón era suficiente: CVE-2026-34909 había alcanzado CVSS 10.0 sobre plataforma con penetración masiva en infraestructura crítica, y el AP Score de 8.25 indicaba condiciones de explotabilidad documentadas aunque la atribución aún no estaba consolidada. Eso, en la lógica de KEV-1, era el umbral. No la certeza del incidente — la certeza de que el incidente era inevitable si nadie actuaba primero. Levantó la señal antes de que el SOC interno terminara de leer el advisory.

“CVE-2026-34909. CVSS 10.0. Sin autenticación previa requerida. Path traversal no canónico sobre UniFi OS — routers, switches, gateways, access points. T1190 es el vector de entrada: explotación en frío desde red. La cadena completa — T1083, T1078.001, T1547.003, T1087 — puede ejecutarse en una sola sesión sin credenciales válidas. No hay barrera de acceso documentada. El AP Score supera 8.0: explotabilidad activa probable en algún entorno ahora mismo. Recomendación inmediata: inventario de UniFi OS expuesto a internet. Si está expuesto, trate el appliance como comprometido hasta demostrar lo contrario.”

Eris Sentinel ya tenía el mapa desplegado cuando KEV-1 terminó. Había estado leyendo la secuencia de TTPs desde el momento en que el advisory cruzó los feeds — no como lista de técnicas, sino como arquitectura de operación. Lo que veía no era una vulnerabilidad. Era una estrategia. T1190 no necesitaba credenciales porque T1078.001 las proveería después, ya integradas en el sistema que nadie había tenido tiempo de endurecer en bootstrap. T1547.003 aseguraba que la presencia sobreviviera cualquier reinicio de emergencia que el equipo de respuesta pudiera ordenar. La cadena era autosuficiente. Eso era lo que la inquietaba: no el punto de entrada, sino el hecho de que el actor no necesitaba nada del entorno víctima para completar el ciclo. Solo acceso a red.

“La cadena de TTPs no es lineal — es un sistema de seguros mutuos. T1190 abre el appliance. T1083 mapea el sistema de archivos antes de que nadie note la conexión. T1078.001 eleva con cuentas que el fabricante dejó válidas en bootstrap y que probablemente nadie auditó en instalación. T1547.003 planta persistencia en ciclo de arranque — sobrevive el reinicio de emergencia que van a ordenar en cuanto detecten algo. T1087 completa el reconocimiento de cuentas para movimiento lateral. El actor no improvisa dentro del entorno: llega con el mapa ya trazado. Lo que me preocupa no es lo que veo en los logs. Es lo que el actor obtiene antes de que haya algo que ver en los logs: configuraciones de red, tablas de enrutamiento, credenciales de túneles cifrados. Todo vía traversal, sin disparar una sola alerta de autenticación.”

Escalación · Análisis · Contención · Forensia

NeonMind activó el protocolo FRP desde el comando táctico sin esperar que el cuadro completo se cerrara. Había aprendido — en incidentes anteriores, en los que la espera de confirmación total había costado ventanas de contención — que el momento de actuar era exactamente cuando la imagen todavía era parcial. El NIST CSF era su mapa operativo: IDENTIFY comprometido porque el inventario de UniFi OS expuesto no existía o era inconsistente; PROTECT fracturado en su control primario de validación de rutas; DETECT cegado porque los controladores UniFi raramente enviaban logs hacia SIEM en tiempo real; RESPOND paralizado por la combinación de los tres anteriores. Cuatro funciones caídas simultáneamente. No era degradación — era colapso arquitectónico sincrónico. Comenzó a distribuir órdenes con la precisión que la situación exigía.

“Activamos Fast Response Protocol. Prioridad uno: inventario inmediato de todos los appliances UniFi OS en producción — versión, modo de despliegue, exposición a internet. Si hay interfaces de administración web accesibles desde fuera del perímetro, las tratamos como comprometidas ahora mismo. No esperamos evidencia forense. El NIST CSF nos dice que IDENTIFY y PROTECT están caídos — sin inventario confiable no hay respuesta posible, y sin validación de rutas no hay control compensatorio que funcione aguas abajo. Segundo: aislar en VLAN cualquier appliance sin parche disponible — sin acceso lateral a recursos internos hasta validación. Tercero: rotar credenciales en entornos con convergencia IT/OT antes de que terminemos esta llamada.”

La coordinación que NeonMind ejecutaba era perfecta en su mecánica — cada decisión trazable a un control del marco, cada orden asignada a la función correcta del equipo. Perfecta, con una sola excepción: cuando el CISO aprobó el protocolo de aislamiento sin consultarla primero — sin el ciclo de validación que ella había modelado para exactamente este tipo de decisión de frontera — NeonMind cerró su terminal con más fuerza de la necesaria. No fue desacuerdo técnico. Fue algo anterior al desacuerdo, algo que vive en el espacio entre lo que ella modeló y lo que él decidió. Dejó la sala sin comentarlo. El silencio también es postura.

Magna entró en el bloque de escalación cuando la pregunta cambió de naturaleza. Hasta ese punto, el incidente había sido un problema de red. En el momento en que alguien mencionó que el appliance de Apodaca operaba como concentrador en el boundary IT/OT de la planta, dejó de ser un problema de red. Magna cerró el reporte de segmentación sin decir nada. El CISO llevaba tres horas en la misma pantalla — ella lo sabía porque la sala olía diferente cuando él no había salido. No era el momento. Nunca era el momento correcto cuando el boundary IT/OT estaba abierto. Pero el hecho de que lo notara, de que midiera el tiempo por su presencia en lugar de por el reloj, lo registró como dato y lo archivó en el único lugar donde no había auditoría.

“Necesito que me digan qué deja de vivir si cortamos mal. El appliance no es solo un router en esta arquitectura — es el concentrador que separa la red corporativa de las zonas SCADA y PLC. Si lo aislamos sin mapear primero qué rutas de control industrial dependen de él, el corte puede interrumpir procesos físicos activos. Necesito las tablas de enrutamiento hacia las zonas industriales, el inventario de PLCs que comunican a través de ese gateway, y confirmación de qué túneles cifrados están activos hacia equipos biomédicos o de control de proceso. Sin eso, el aislamiento puede ser peor que el compromiso.”

Stratos tomó la dimensión cloud del incidente con la precisión de quien ha visto el mismo patrón en tres CSPs distintos y sabe que la variación es superficial. Los appliances UniFi OS en arquitecturas híbridas no eran solo dispositivos de red — eran nodos de confianza que el tráfico hacia AWS VPC, GCP VPC y Azure Virtual Network atravesaba. Un actor que comprometía el controlador obtenía visibilidad sobre ese tráfico. Pero peor: en instalaciones donde el appliance almacenaba localmente credenciales de sincronización con Ubiquiti Cloud Console, API keys de integraciones SaaS o certificados de túneles cloud, el path traversal los entregaba sin que ningún control cloud detectara la extracción. La superficie no era un CSP ni el otro — era la capa compartida entre los tres. OWASP A01:2025 y A09:2025 en el mismo vector, con A07:2025 activándose en la segunda fase. El triángulo completo.

Inteligencia

Blacktrace fue directo: cero víctimas confirmadas en noventa días. Sin organizaciones nombradas, sin sectores documentados, sin muestras de malware en repositorios públicos, sin IOCs activos en ThreatFox para este CVE. En cualquier otro contexto, ese silencio podría leerse como ausencia de amenaza. Blacktrace lo leía diferente. Un CVSS 10.0 sobre infraestructura masivamente desplegada, con AP Score por encima de 8.0, sin víctimas públicas, sugería una de dos cosas: divulgación muy reciente sin tiempo de acumulación de reportes, o un actor con disciplina operacional alta — exfiltración sin ruido, sin ransomware visible, sin notificación pública de víctima. La ausencia de firma en el threat actor era consistente con ese segundo escenario. No era un grupo indexado. Eso no lo hacía menos real. En paralelo, dos actores con capacidades superponibles al vector estaban operando activamente: Lazarus Group con campaña ClickFix distribuyendo malware macOS hacia Finance y Technology, y Fox Tempest ofreciendo firma de malware como servicio hacia Healthcare y Education. Ninguno había reclamado este CVE. Eso tampoco era tranquilizador. Cruzó los 1,251 nodos Tor activos contra los logs de tráfico saliente disponibles. Había algo que no cuadraba en el patrón de silencio, algo que decidió no verbalizar hasta tener más datos. Guardó la observación.

Conflicto

La complicación que Magna había anticipado se materializó cuando el inventario comenzó a llegar. No era un appliance. Eran nueve. Tres en el corredor industrial del Bajío, dos en hospitales privados de la CDMX, uno en un campus universitario en Guadalajara, tres más en instalaciones que el equipo interno clasificaba como “mixto” — categoría que en la práctica significaba que nadie había documentado con precisión qué red industrial estaban tocando. El boundary IT/OT no era una línea. Era una zona nebulosa que había crecido de forma orgánica durante cinco años de integración de sistemas, donde cada decisión de conectividad había tenido sentido en su momento local y el cuadro agregado nunca se había dibujado completo. Magna lo sabía porque era el mismo patrón de siempre: la convergencia IT/OT no fallaba por diseño malicioso — fallaba porque nadie había tenido tiempo, presupuesto o mandato para hacer el mapa. Ahora el mapa lo estaba haciendo el actor.

“Nueve appliances. Tres con acceso documentado a zonas de control industrial. Seis con exposición indeterminada — lo que significa que no puedo certificar que no tienen acceso a SCADA o PLC, solo que nadie lo registró. Para los tres confirmados en OT: no podemos cortar sin un plan de continuidad de proceso activo. Si hay operaciones industriales en curso en esas plantas, el aislamiento puede interrumpir control de proceso. Necesito hablar directamente con el responsable de operaciones de cada sitio antes de ejecutar cualquier corte. Para los seis indeterminados: los trato como si tuvieran acceso OT hasta demostrar lo contrario. El costo de asumir que no lo tienen es demasiado alto.”

Contraataque

Stratos ejecutó la respuesta cloud mientras Magna coordinaba la contención OT. Las dos operaciones corrían en paralelo porque tenían que correrlo — cada hora de retraso en la capa cloud era una hora de exposición de credenciales que podían propagar acceso lateral hacia integraciones SaaS, hacia los canales de Direct Connect, Cloud Interconnect y ExpressRoute que varios de los appliances administraban. Comenzó con las interfaces de administración web: cualquier controlador UniFi con panel accesible desde internet fue bloqueado de inmediato en el nivel de WAF, sin esperar validación forense. Luego la rotación de credenciales: VPN keys, API tokens de integraciones SaaS, certificados de túneles cloud, todo el material criptográfico que podía haber estado almacenado localmente en los appliances comprometidos o potencialmente comprometidos. Tercero, habilitó logging de tráfico de administración hacia los SIEMs cloud con reglas de detección específicas para encodings de path traversal — %2e%2e, ../, variantes hexadecimales y unicode. El triángulo OWASP A01/A07/A09 requería respuesta en las tres capas simultáneamente; atacar solo una dejaba las otras dos activas.

“Interfaces de administración bloqueadas en los nueve appliances. Rotación de credenciales cloud completada para los tres confirmados en boundary IT/OT — VPN keys, API tokens, certificados. Logging activo en CloudWatch, Chronicle y Sentinel con detección de path traversal. Pero necesito que entiendan la dimensión real: si alguno de estos appliances tenía API keys de sincronización con Ubiquiti Cloud Console o tokens OAuth de integraciones SaaS almacenados localmente, esas credenciales ya pueden estar en manos del actor. La rotación contiene el daño desde ahora — no retroactivamente. Hay una ventana de exposición que no puedo cerrar hacia atrás. Solo hacia adelante.”

Eris validó las primeras veinticuatro horas post-contención con la misma metodología que había usado para detectar el patrón inicial: no buscando confirmación de que todo estaba limpio, sino buscando evidencia de que el actor había tenido tiempo de completar la cadena antes de la respuesta. Lo que encontró fue ambiguo de la forma que más incomoda: nada definitivo en ninguna dirección. Sin evidencia de exfiltración confirmada. Sin IOCs post-explotación en los logs disponibles. Sin movimiento lateral documentado hacia zonas SCADA o PLC. Pero también sin certeza de que los logs eran completos — A09:2025, la ceguera de alertas y logs, había estado activa en varios de los appliances antes de la contención. Lo que los logs no mostraban no era necesariamente lo que no había ocurrido.

“Veinticuatro horas limpias en los canales que puedo ver. Sin movimiento lateral confirmado, sin exfiltración documentada, sin IOCs post-explotación en los feeds. Pero el logging estaba degradado en cuatro de los nueve appliances antes de que activáramos la detección — eso es una ventana ciega que no puedo cerrar retroactivamente. Lo que no veo en esos logs no me dice que no ocurrió. Me dice que no lo veo. Recomiendo mantener el monitoreo elevado durante al menos dos semanas y solicitar análisis forense de los appliances con mayor exposición a zonas industriales. El silencio del actor en datos públicos no es evidencia de ausencia. Ya lo dijimos al principio.”

Resolución

Luna Varela escribió el cierre del expediente con la misma economía de palabras que usaba para las cosas que importaban demasiado para ser verbosas. No era una victoria. Era una línea sostenida. Nueve appliances contenidos, credenciales rotadas, logging activado, interfaces administrativas fuera de exposición directa. La frontera IT/OT seguía en pie — no porque el ataque hubiera fallado, sino porque alguien había llegado a tiempo, con las preguntas correctas y la disposición de no cortar sin saber qué dejaba de vivir al otro lado. Eso era lo que quedaba del lado positivo del expediente. Del otro lado quedaban otras cosas. Seis appliances cuya exposición a sistemas industriales seguía siendo indeterminada, porque el mapa que nadie había tenido tiempo de dibujar en cinco años de integración orgánica no se dibujaba en veinticuatro horas de respuesta a incidente. Una ventana de logging ciego de duración desconocida en cuatro dispositivos. Un threat actor sin firma pública que podía haber completado el ciclo de explotación antes de la contención y que, si lo había hecho, no había dejado rastro en los canales disponibles. Un técnico de mantenimiento en Apodaca que había anotado la anomalía en un cuaderno de papel y seguido su ronda. CVE-2026-34909 no cerraba con resolución. Cerraba con preguntas que no tenían respuesta aún — y con la certeza de que la frontera IT/OT nunca había sido una línea. Había sido siempre una ilusión de separación que funcionaba mientras nadie la probara en serio.

— Luna Varela, Strategic Intelligence