El Controlador de tu Red es la Llave Maestra: CVE-2026-34910 en Ubiquiti UniFi OS Expone Todo el Segmento

El operador de la HMI notó la latencia antes de que cualquier sistema la reportara. Cuatrocientos milisegundos adicionales — constantes, no aleatorios — entre el comando que enviaba y la respuesta del PLC. No era suficiente para parar la línea. Era suficiente para que algo en él supiera que la red ya no era suya. Siguió trabajando. Los monitores mostraban verde. El switch UniFi en el gabinete metálico detrás de él no mostraba nada, porque nunca había estado configurado para mostrar nada. Nadie lo había integrado al SIEM. Nadie había pensado que fuera necesario.

Esa fue la primera señal. Ningún sistema la registró.

Detección

KEV-1 procesó la entrada a las 03:17. CVE-2026-34910 había llegado al catálogo CISA KEV la noche anterior — 23 de junio, sin fanfarria, sin comunicado de prensa. Solo una entrada nueva en la base y el timestamp que lo hacía vinculante. CVSS 10.0. Ejecución remota de código sin autenticación sobre Ubiquiti UniFi OS. Sin credenciales previas. Sin vector lateral requerido. El puerto de gestión expuesto era suficiente. KEV-1 cruzó el CVE contra el inventario de activos conocidos y detuvo el ciclo exactamente donde el modelo de correlación encontró fricción: el controlador no estaba en el mapa.

“CVE-2026-34910 — KEV activo desde 23-JUN. CVSS 10.0. Vector: red, sin autenticación. UniFi OS: explotación remota con ejecución de comandos arbitrarios. El appliance no aparece en el inventario de activos gestionados. Eso no es un gap de visibilidad — es el gap. Escalando a Eris.”

En el SOC, Eris Sentinel ya tenía la telemetría abierta en su segunda pantalla. No por el alerta de KEV-1 — sino porque la velocidad de la cadena la había incomodado veinte minutos antes. Acceso inicial documentado en los logs perimetrales. Movimiento lateral identificado cuatro minutos después. El tiempo entre T1190 y el primer pivote era anómalo — no porque fuera lento, sino porque era demasiado rápido para ser oportunista. Alguien ya conocía la topología. Alguien había mapeado esto antes de entrar.

“T1190 confirmado sobre el controller UniFi — el puerto de gestión estaba accesible desde el segmento de proveedores. Post-explotación: T1059.001, shell directo sobre el OS. Cuatro minutos después, T1083 — filesystem enumeration. Buscan configuraciones, claves API, certificados. La velocidad no es de un scanner automatizado. Hay intención. El perfil de movimiento es consistente con UNC4736 — Infrastructure Division. Tienen muestras previas de este patrón en campañas Lazarus contra infraestructura de red en sectores de manufactura y fintech.”

Escalación · Análisis · Contención · Forensia

NeonMind activó el protocolo de respuesta a incidentes a las 03:31. No porque tuviera certeza total — sino porque el costo de esperar certeza era más alto que el costo de moverse sin ella. El war room se abrió con tres nodos activos: Eris en telemetría, Magna en validación OT, Stratos en superficie cloud. Las cuatro funciones del NIST CSF 2.0 estaban degradadas simultáneamente y NeonMind sabía lo que eso significaba: no era un incidente de un vector. Era un incidente de arquitectura.

“IDENTIFY está ciego — el appliance no estaba en el inventario gestionado. PROTECT colapsó antes de que llegáramos: no hay validación de entrada en el controller. DETECT perdió visibilidad exactamente en el dispositivo que tendría que haber generado la telemetría. Y RESPOND no tiene superficie de contención clara porque nadie documentó qué depende de ese switch. Necesito el mapa de dependencias OT antes de tocar nada. Magna, tienes dos minutos.”

Eris dejó de escribir exactamente un segundo cuando el CISO entró al canal de comandos. No fue un gesto visible para nadie en la sala. Fue la pausa de alguien que recalibra el peso de lo que está a punto de decir. Luego continuó: la telemetría de movimiento lateral iba al canal sin comentario adjunto. La velocidad de la escalada — acceso inicial a pivote en minutos — hablaba sola. Hubo una pausa antes de que el CISO respondiera. Eris la contó.

Magna abrió el diagrama de red en su pantalla secundaria. Había algo que no cuadraba en la topología: UniFi estaba exactamente donde nadie debería haberlo puesto. Entre el segmento de producción y la VLAN de IT corporativa. Sin zona DMZ intermedia. Sin firewall dedicado en el boundary. Cerró el diagrama antes de que alguien preguntara.

“El boundary OT-IT no está donde debería estar. El controller UniFi está segmentando el tráfico entre PLCs y el sistema SCADA en Zona 2. Si el adversario ya tiene shell en el OS, tiene acceso directo al tráfico de control de proceso. OWASP OT A05 — falla de segmentación de red. A02 — configuración insegura. A06 — componente de acceso sin hardening. No podemos cortar ese switch sin evaluar primero qué procesos dependen de esa conectividad en tiempo real. Necesito el diagrama de proceso de la planta antes de recomendar aislamiento.”

Stratos sostuvo el perímetro cloud mientras Magna reconstruía el mapa. En AWS, el UniFi Network Application corriendo sobre EC2 tenía los puertos 8080 y 8443 expuestos hacia la VPC privada — y desde ahí hacia el segmento de gestión de la planta. En Azure, el deployment de manufactura 4.0 usaba el controller como nodo frontera entre la red OT física y el segmento cloud del cliente global. Las API keys del controlador —almacenadas en texto claro en el filesystem— eran el puente hacia la consola de gestión cloud de Ubiquiti. Si el adversario las había extraído durante la fase T1083, tenía acceso a todas las ubicaciones físicas gestionadas desde esa misma cuenta.

“La superficie no es el cloud. Es el dispositivo que entrega las llaves del segmento donde vive el cloud. Si extrajeron las API keys durante el filesystem enumeration, el radio de daño excede este site. Estoy auditando el portal de gestión cloud de Ubiquiti. Todos los tokens OAuth asociados a este controller se rotan ahora. No después de que llegue el parche. Ahora.”

Inteligencia

Blacktrace rastreó el silencio con la misma precisión con que rastreaba el ruido. Cero registros públicos de víctimas en los últimos noventa días asociados a este CVE. Sin IOCs indexados en ThreatFox. Sin muestras de malware documentadas. Ese vacío no era ausencia de actividad — era la firma de un actor que no había quemado su tooling todavía. En el ecosistema adversario activo, Lazarus Group había activado una campaña ClickFix contra sectores fintech y tecnología con malware macOS nuevo — técnicas de evasión de privilegios y exfiltración encubierta que compartían el mismo perfil de fase temprana: acceso inicial silencioso, reconocimiento antes de la acción visible, infraestructura de red como punto de entrada y no como objetivo final.

“Sin IOCs públicos no significa sin actividad. Significa que el actor no ha quemado muestras. Eso es una ventana — no una garantía. El perfil de UNC4736 / Infrastructure Division es consistente con explotación de infraestructura de red como vector de acceso inicial para campañas de más largo alcance. El CVE es el primer paso, no el objetivo.”

Conflicto

El diagrama de proceso llegó a las 04:03. Magna lo leyó en silencio durante cuarenta segundos — tiempo suficiente para que NeonMind notara que no estaba tomando notas. Luego lo cerró.

Más tarde, cuando el CISO revisó la arquitectura comprometida en silencio — el diagrama abierto en su pantalla, la topología con el UniFi exactamente donde no debería haber estado — Magna no dijo que ella lo había visto primero. Habría sido innecesario. Lo que le importaba era que él entendiera lo que significaba: no un fallo técnico, sino una decisión de alguien que confió en lo que no debía. El CISO asintió sin voltear. Magna registró ese gesto con más precisión de la que quisiera admitirse.

“Díganme qué deja de vivir si cortamos mal. Tengo cuatro procesos de control de temperatura en Zona 2 que dependen de esa conectividad. Si aislamos el switch sin redirigir el tráfico de supervisión, el sistema de alarma de la planta queda ciego. No es un riesgo de datos. Es un riesgo de proceso. Necesito una ventana de mantenimiento coordinada con el equipo de planta antes de ejecutar el aislamiento.”

La ventana se negoció en diecisiete minutos. No fue limpia. El turno de noche en planta tuvo que intervenir manualmente en dos procesos mientras se redirigía el tráfico de supervisión a un switch de respaldo no comprometido. El operador de la HMI — el mismo que había notado la latencia cuatro horas antes — recibió la instrucción de cambio de procedimiento por radio. Siguió el protocolo sin preguntar por qué. Eso fue lo más cercano a un acierto que tuvo esa noche.

Contraataque

Stratos ejecutó la rotación de credenciales cloud a las 04:31. Todas las API keys y tokens OAuth asociados al controller comprometido fueron invalidados desde el portal de gestión de Ubiquiti antes de que el aislamiento de red se completara en planta. La secuencia importaba: primero cortar el acceso cloud, después cortar la conectividad física, después aplicar el parche. Si el adversario había extraído las credenciales durante la fase T1083, la ventana de uso de esas credenciales se cerró en ese orden. No había garantía de que no las hubiera ya utilizado. Había certeza de que no podría usarlas de nuevo.

Los logs del controller — aquellos que existían — se extrajeron hacia el SIEM antes del aislamiento. Era tarde para establecer una línea base de comportamiento limpio. Era el momento preciso para establecer una línea base de comportamiento comprometido. Stratos sabía la diferencia. La integración que ningún equipo había hecho antes del incidente se hizo en cuarenta minutos de crisis.

“Controller aislado. API keys rotadas. Portal cloud auditado — sin actividad anómala en las últimas seis horas desde las credenciales de este appliance. Eso puede significar que no las usaron, o que las usaron antes de nuestra ventana de log. No tenemos visibilidad previa. El parche se aplica en la siguiente ventana de mantenimiento coordinada con OT. Mientras tanto, ACL de red en todos los puertos de gestión UniFi del inventario — acceso solo desde el segmento de administración, sin excepciones.”

Veinticuatro horas después, Eris validó la ausencia de actividad de movimiento lateral en todos los segmentos afectados. Cero señales de T1021 en los logs reconstruidos. Cero intentos de reconocimiento adicional sobre el filesystem. El adversario había detenido la operación — o había completado lo que venía a buscar. Eris no pudo determinar cuál de los dos. Ese espacio entre las dos hipótesis era donde vivía el verdadero riesgo, y ambas sabían que ese espacio iba a permanecer abierto.

Resolución

Luna escribió el cierre del expediente desde la misma sala donde había empezado. El switch de respaldo funcionaba. Los procesos de Zona 2 habían recuperado supervisión normal. El parche de Ubiquiti estaba en cola de mantenimiento programado para el fin de semana. Cuatro funciones NIST CSF habían colapsado simultáneamente y se habían contenido — no restaurado — en menos de seis horas. En cualquier métrica operativa, eso contaba como control del daño.

Pero el operador de la HMI había notado la latencia antes que los sistemas. Y eso significaba que el adversario había estado en la red antes de que nadie lo supiera buscar. Cuánto antes — esa era la pregunta que el log no podía responder porque el controller nunca había estado integrado al SIEM. La línea de tiempo tenía un agujero. El agujero tenía el tamaño exacto de lo que nadie había pensado que era necesario monitorear.

No era una victoria. Era una línea sostenida sobre un mapa incompleto.

— Luna Varela, Strategic Intelligence