CVE-2025-57819 Sangoma FreePBX: Bypass de Autenticación Crítico en CISA KEV

El primer monitor no parpadeó. No hubo alerta sonar, ni un grito desde el piso técnico. Solo un cursor, quieto en la esquina inferior derecha de la consola de administración de FreePBX, que dejó de parpadear. Se quedó congelado sobre un campo de texto vacío. El sistema no estaba caído; estaba vivo, respirando, y aceptando órdenes de alguien que no debía estar ahí. Era una intrusión silenciosa. El tipo de presencia que no rompe el hielo, sino que lo atraviesa por dentro. No hubo rastro de fuerza bruta. No hubo tentativas fallidas. Había limpieza. Una limpieza que solo el conocimiento profundo del esquema interno puede ofrecer.

Detección

En el centro de operaciones, el agente autónomo KEV-1 registró la anomalía antes de que ningún analista humano cruzara el umbral de sospecha. La correlación era inmediata: una sesión activa sin credenciales válidas, ejecutando consultas legítimas contra la base de datos de asterisk. No era un escaneo. Era una ocupación. La técnica T1190 (Initial Access) se había materializado no mediante una grieta física, sino a través de un fallo lógico en el diseño de la autenticación. La interfaz de administración, supuestamente protegida, estaba siendo manipulada como si la llave maestra hubiera sido duplicada con precisión quirúrgica.

«Señal incoherente en el estado de sesión. El token de sesión es válido según la librería de autenticación, pero la fuente de origen no coincide con ningún perfil de usuario registrado. Es un bypass total. La autenticación no falló; simplemente… no existió para este vector.»

Eris Sentinel llegó a la consola cinco minutos después. No corrió. Caminó con la pesada calma de quien sabe que el reloj ya está corriendo en contra. Sus ojos no buscaron la pantalla de alertas, sino los logs de acceso crudos. Allí, entre líneas de syslog estándar, encontró la firma del actor: cadenas de comandos PowerShell ejecutadas desde el contenedor del servidor VoIP. La técnica T1059.001 (Command and Scripting Interpreter) estaba en curso. No era un atacante novato. Era un operador experimentado tratando un sistema de telefonía con la misma frialdad con la que trataría a un núcleo de datos.

«Han usado la cuenta por defecto. No crearon una; simplemente la activaron. T1078.001 (Valid Accounts) combinado con cuentas predeterminadas. Es viejo, es sucio, y es devastadoramente efectivo. La centralita IP, ese ‘periférico seguro’ que creíamos marginal, es ahora nuestro punto de pivote hacia la red OT. El silencio del log no es paz. Es ejecución.»

Escalación · Análisis · Contención · Forensia

NeonMind no levantó la voz. En el comando táctico, la calma es un arma, y él la empuñaba como una espada de luz. Activó el protocolo FRP. No hubo discursos. Hubo instrucciones secas, ejecutándose en paralelo a través de los nodos de SOAR. La arquitectura de defensa NIST CSF 2.0 había colapsado simultáneamente en sus cinco funciones. GOVERN había fallado al no clasificar la telefonía IP como activo crítico. IDENTIFY no la había mapeado como vector de alto riesgo. PROTECT carecía de controles de acceso específicos. DETECT no había monitoreado esa capa. Y ahora, RESPOND parpadeaba, incierto sobre cómo actuar ante un atacante que ya tenía las llaves de la casa.

«Corten la conexión SIP. Aíslen la red de voz de la data. No pregunten si hay pacientes o operarios en la línea; asuman que están expuestos. Si la centralita cae, la coordinación operativa muere. Pero si no la aíslan, el contagio llega a los PLCs. La cadena de ataque está completa: acceso, persistencia, ejecución. T1053.005 (Scheduled Task/Job) indica que ya instalaron un gusano para mantener la puerta abierta. Estamos defendiendo un puente que el enemigo ya cruzó.»

Magna entró al cuarto sin ser invitada. Su presencia alteró la gravedad del aire. No miró las pantallas de código; miró la maqueta física del edificio. Sabía que FreePBX, desplegado en un servidor virtualizado dentro de la infraestructura híbrida, estaba conectado a las redes de mantenimiento. En entornos OT, una llamada de voz es más que audio; es un vector de control. Si el atacante domina la interfaz de administración, domina la base de datos MySQL subyacente. Eso es inyección pura. A05:2025 (Injection) de la lista OWASP, explotada sobre la columna vertebral de la comunicación. No era solo un servidor comprometido; era una llave maestra que abría las puertas del taller, del laboratorio y del reactor.

«Díganme qué deja de vivir si cortamos mal. Si aislo la VLAN de telefonía, ¿las alarmas de emergencia siguen sonando? ¿Los operadores de planta pueden comunicarse con el centro de control? Una decisión de red equivocada aquí no causa una violación de datos; causa un apagón operativo. La cadena de suministro de información es tan crítica como la cadena de suministro de materiales. El aislamiento debe ser quirúrgico. No un hacha.»

Stratos observaba desde la periferia. Su silueta estaba tensa, los dedos cruzados detrás de la espalda. El vector era cloud. FreePBX residía en instancias EC2 y Azure VMs, con integraciones hacia Salesforce y Microsoft Graph. La exposición a internet era total. Stratos sabía que el parche tardaría horas en desplegarse sobre todas las regiones. La ventana de explotación masiva estaba abierta. Mientras los otros debatían el corte físico, Stratos estaba ya construyendo la trampa lógica: un WAF temporal que filtraría cualquier tráfico administrativo desde direcciones no registradas, una barrera de fuego que no era física, sino algorítmica. El aire en la sala estaba denso. La tensión no estaba en las palabras, sino en la pausa que siguió al sonido de una notificación de acceso anómalo en Azure Monitor.

Inteligencia

Blacktrace trazó la línea hacia la dark web. No hubo ruidos en los foros. Ni LockBit 3.0, ni grupos afiliados, ni operadores de RaaS habían publicado nada. El silencio era el dato más ruidoso. En el ecosistema del ransomware, el silencio ante un CVE con CVSS 9.8 y AP Score 8.16 implica una de dos cosas: o el arma es demasiado nueva para que se venda en el mercado negro, o la negociación está tan avanzada que el atacante no tiene necesidad de anunciar su presencia. LockBit 3.0, activo desde 2019, opera bajo un modelo de afiliados descentralizados. No perseguías a un individuo; perseguías a una franquicia. La ausencia de IOCs en ThreatFox confirmaba la elegancia del ataque: se movían por infraestructura de anonimización Tor, dejando un rastro invisible para los sensores tradicionales.

«Ninguna víctima publicada en los últimos 90 días. Pero recordad: la publicación en el leak site ocurre semanas después del compromiso. No estamos ante inactividad. Estamos ante paciencia. LockBit no hace ruido hasta que la cifra está cerrada. El silencio es su cobertura. Debemos asumir que el daño ya se hizo y estamos viendo las primeras ramificaciones. La pregunta no es si están dentro; es cuánto tiempo llevan dentro.»

Conflicto

Magna se apoya en el borde de la mesa de control mientras Magna traduce la cadena de ataque en consecuencias físicas: la centralita es el pulmón del edificio, y un pulmón comprometido se nota en la respiración de toda la planta. No mira a la puerta del cuarto. No es necesario. La tensión ya está en el aire, cargada, esperando a que alguien diga la palabra que aún no existe.

El conflicto estalló no entre el equipo, sino entre la necesidad de contención y el costo de la vida operativa. NeonMind ordenó el corte total. Magna detuvo la ejecución. «Si corto la VLAN, paro las alarmas de incendio en el sector B», dijo Magna, su voz plana, desprovista de drama pero cargada de peso. NeonMind no cedió, pero se detuvo. Era la fricción real. El tiempo presionaba. Cada segundo de duda permitía que el atacante, que ya tenía T1078.001 y T1053.005, profundizara su huella. El CISO, una presencia liminal en el rincón, no habló. Pero su postura, rígida, era la de quien sabe que la decisión que se toma ahora no solo define la seguridad, sino la supervivencia humana del entorno. La crisis había dejado de ser digital. Era física.

Contraataque

Stratos actuó. No esperó a que Magna resuelve el dilema del corte físico. Desde el plano cloud, desplegó una segmentación agresiva. Aisló las instancias FreePBX en VPCs privadas, activó políticas de acceso basadas en identidad (SASE) y revocó las API keys de Twilio y Vonage. «La superficie es una», dictó Stratos. «No cortamos el cable; eliminamos la puerta. Si quieren hablar, tendrán que hacerlo a través de mis filtros.» La contramedida no era perfecta; implicaba degradación de servicio para usuarios legítimos. Pero cerró el vector de acceso remoto. El A01:2025 (Broken Access Control) se mitigó forzando autenticación multifactor en la interfaz de administración. La escalada hacia los servicios SaaS conectados (Salesforce, Slack) se frenó rotando los tokens OAuth.

Eris validó la contención. Veinticuatro horas pasaron. Los logs de acceso anómalo cesaron. No hubo más ejecuciones de PowerShell. No hubo más consultas a la base de datos. El atacante, atrapado en la segmentación de Stratos y sin capacidad de pivoteo hacia la red OT, se retiró. O fue neutralizado. Eris no sabía cuál de las dos cosas. Sabía solo que la fiebre había bajado. El sistema respiraba. Pero las cicatrices en los logs eran visibles. La operación había contenido la hemorragia, no sanado la herida.

Resolución

Luna Varela cerró el expediente con una nota de deuda. No hubo celebración. Hubo una lista de tareas pendientes que nadie había firmado: la revisión completa de las integraciones de terceros, la documentación de las lecciones aprendidas en el marco GRC, y la notificación legal a los afectados potenciales. La victoria era operativa; la cicatriz era institucional. LockBit 3.0 permanecía activo en el espectro. El silencio de la dark web no era paz; era acumulación de fuerzas. La centralita estaba a salvo, pero la arquitectura seguía mostrando sus costuras. La llave maestra había sido rotada, pero la cerradura seguía vieja. Y en ciberseguridad, una cerradura vieja es una invitación permanente.

— Luna Varela, Strategic Intelligence