CVE-2026-48282 Adobe ColdFusion: Path Traversal Deriva en Ejecución Remota de Código — APT41 Activo en Infraestructura Crítica

No hubo solicitud de acceso. No hubo credencial comprometida. No hubo phishing, no hubo pretexto social, no hubo cadena de errores humanos que alguien pudiera rastrear y corregir. Hubo un servidor ColdFusion con un puerto abierto y un actor que ya sabía que estaba ahí. El path traversal no anunció su llegada. Llegó como tráfico ordinario — una petición HTTP entre miles — y cuando el runtime interpretó la ruta, ya era demasiado tarde para llamarlo anomalía. La shell no existía a las 02:46. A las 02:47 ya tenía nombre de proceso, permisos de sistema y acceso a la red interna. Lo que vino después no fue un ataque. Fue una inspección.

Detección

KEV-1 registró CVE-2026-48282 en el momento en que Adobe completó la divulgación coordinada. No esperó confirmación de explotación en campo: CVSS 10.0 con vector de red, sin privilegios requeridos, sin interacción de usuario. Las tres condiciones juntas activan clasificación automática como amenaza inminente. La cadena T1190 → T1083 → T1059.001 ya estaba documentada en campañas anteriores vinculadas a actores con mandato de persistencia estratégica. KEV-1 no especuló sobre el actor. Calculó el tiempo de ventana: con AP Score 8.12 en fase comops_high, la distancia entre divulgación pública y explotación activa se mide en horas, no en días.

«CVE-2026-48282 ingresa al registro KEV. Path traversal sobre ColdFusion expuesto — ejecución remota de código sin autenticación. CVSS base: 10.0. AP Score: 8.12. Cadena T1190, T1083, T1059.001 documentada y automatizable. Ventana de parcheo crítica: activa ahora. Toda instancia ColdFusion con exposición de red debe tratarse como comprometida hasta demostrar lo contrario.»

Eris Sentinel ya tenía el expediente abierto cuando KEV-1 completó la clasificación. Lo que le interesaba no era la vulnerabilidad — era el silencio alrededor de ella. Ninguna víctima publicada en noventa días. Sin IOCs indexados en ThreatFox. Sin muestras de malware en plataformas abiertas. Para un analista menos entrenado, ese silencio habría leído como señal de calma. Para Eris, leía exactamente al revés: era el perfil operativo de un grupo que prefiere el acceso invisible al ruido de la atribución. Abrió el mapa de despliegues ColdFusion en México — gobierno digital, manufactura del Bajío, instituciones financieras medianas — y lo que vio no era una hipótesis. Era una superficie.

«El silencio no es calma. Es el intervalo entre reconocimiento y explotación. APT41 históricamente mantiene acceso durante semanas sin que aparezca una firma pública. La ausencia de víctimas reportadas no descarta actividad — descarta detección temprana. T1190 sobre ColdFusion es el punto de entrada. T1083 es el reconocimiento que viene inmediatamente después. T1059.001 consolida el foothold. La cadena es rápida, es automatizable y ya fue documentada en campañas previas de este actor. Lo que no tenemos es el momento exacto en que cruzaron. Lo que sí tenemos es la puerta que dejaron abierta.»

Escalación · Análisis · Contención · Forensia

NeonMind activó el protocolo FRP desde el comando táctico sin esperar confirmación de explotación activa. La lógica era la de siempre: cuando el vector es trivial, la postura es el problema — y la postura aquí estaba fragmentada en cuatro frentes simultáneos. NIST CSF 2.0 como mapa: PROTECT había colapsado porque ColdFusion llevaba meses expuesto sin segmentación. IDENTIFY nunca catalogó esa superficie como activo crítico. DETECT no tenía firmas específicas para path traversal en middleware legacy. RESPOND no tenía playbooks maduros para este vector. Cuatro funciones comprometidas al mismo tiempo no era una vulnerabilidad técnica — era una deuda arquitectónica que alguien había diferido hasta que dejó de ser una opción.

«FRP activo. Esto no es un parche pendiente — es una postura que falló en cuatro puntos simultáneos. Prioridad uno: inventario inmediato de instancias ColdFusion con exposición de red. Prioridad dos: segmentación de emergencia antes de que llegue el parche de Adobe. Prioridad tres: logging extendido activo en todos los servidores CF ahora mismo — necesito visibilidad antes de tener contención. Y necesito saber qué hay detrás de esos servidores. Magna, esa pregunta es para ti.»

El reloj operativo se tensionó exactamente ahí. NeonMind recibió el brief de Magna — tres páginas, sin adornos, con el peso específico de alguien que ya conoce la respuesta antes de terminar de leer la pregunta. No respondió de inmediato. Hubo un momento — dos, quizás tres segundos — en que la comandante dejó el documento abierto en pantalla y miró hacia la puerta del war room como si esperara que alguien más entrara. Nadie entró. Cuando volvió a hablar, la pregunta que hizo no respondía la pregunta de Magna. «¿Cuántos operadores de turno hay en este momento?» Era la única pregunta que importaba y ninguno de los dos la había nombrado todavía.

Magna registra la alerta a las 02:47. ColdFusion como puerta al patio industrial — lo ha visto antes, siempre en la misma secuencia: primero el middleware, después el silencio en la red OT, después el daño que nadie puede deshacer. Escribe el brief técnico sin adornos. Cuando termina, hay un segundo donde no escribe nada más — piensa en el CISO, en cómo él leería esto, en qué preguntaría primero. La pregunta que haría él es exactamente la que ella se está haciendo. Cierra el documento. Eso tendrá que ser suficiente por ahora.

La contención no fue elegante. Fue el tipo de trabajo que deja huellas: reglas de firewall escritas a mano a las tres de la madrugada, procesos detenidos antes de confirmar si eran maliciosos o solo anómalos, segmentos de red cortados mientras alguien en turno nocturno intentaba entender por qué su consola dejó de responder. El costo operativo fue real e inmediato. El costo de no haberlo hecho habría sido diferido e irreversible. NeonMind eligió el primero. Siempre elige el primero.

Stratos extendió la cobertura desde el plano cloud mientras la contención perimetral seguía activa. Lo que vio desde arriba era consistente con lo que Magna había descrito desde abajo: instancias ColdFusion desplegadas sobre EC2, máquinas virtuales en Azure IaaS y nodos en Compute Engine — ninguna con WAF adecuado, varias con puertos 8500 y 8300 accesibles directamente desde internet, roles IAM asignados con privilegios que ningún servidor de aplicaciones necesita tener. El path traversal no era solo una vulnerabilidad de runtime. Era el mapa hacia las credenciales almacenadas en Application.cfc, hacia los tokens OAuth persistidos localmente, hacia las API keys que autenticaban downstream hacia ERPs, CRMs y servicios de almacenamiento S3 y Azure Blob. Un servidor CF comprometido no era un servidor comprometido. Era una llave maestra hacia integraciones que nadie había auditado en años. Stratos no dijo nada que no estuviera ya en el brief de Eris. Pero lo dijo desde otro ángulo, y ese ángulo cambiaba la geometría del problema.

Inteligencia

Blacktrace trabajó el expediente desde el lado opuesto: no lo que podía verse, sino lo que deliberadamente no aparecía. Sin muestras indexadas en ThreatFox. Sin IOCs en plataformas abiertas. Sin víctimas publicadas en noventa días. El arsenal histórico de APT41 — MESSAGETAP, POISONPLUG, DUSTPAN — no aparece en inteligencia abierta hasta semanas después de que la campaña ya está activa. Blacktrace no interpretó esa ausencia como margen de seguridad.

La interpretó como intervalo operativo: el espacio entre el momento en que el grupo cruzó el perímetro y el momento en que alguien lo documentó. Los 1,389 nodos Tor activos eran infraestructura consistente con el perfil del actor — C2 anonimizado, exfiltración sin firma. El expediente estaba abierto. Solo faltaba la víctima que todavía no sabía que era víctima. Eris cruzó la inteligencia de Blacktrace con el mapa de superficies que había trazado en la detección inicial. El resultado no fue reconfortante: el Bajío industrial y las instituciones financieras medianas de México operaban exactamente el perfil de víctima que APT41 había comprometido sistemáticamente en economías emergentes durante 2026. Sin confirmación de brecha activa. Pero sin evidencia de que no hubiera ocurrido ya.

Conflicto

Magna entró al war room físicamente — no por video, no por canal de voz — porque la pregunta que traía no podía sostenerse en texto plano. En una planta de manufactura del Bajío, un operador de turno estaba mirando una consola HMI que no respondía con el tiempo de ciclo esperado. No había alarma. No había indicador visible de falla. Solo un proceso que corría 400 milisegundos más lento que el setpoint documentado. Para el operador, era un momento de observación.

Para Magna, era el patrón que precede al daño que nadie puede deshacer. ColdFusion en ese entorno no era un servidor web. Era el middleware que conectaba el portal de supervisión con la red OT — el mismo middleware que ahora tenía una shell remota sobre él. «Una shell sobre ese servidor», dijo Magna, sin elevar el tono, mirando el mapa de red que NeonMind tenía proyectado en la pared, «no es una shell sobre un servidor web. Es una shell sobre el patio. Sobre los actuadores. Sobre las válvulas. Díganme qué deja de vivir si cortamos mal.» Nadie respondió de inmediato. El silencio en el war room tenía el peso específico de gente competente que acaba de ver el verdadero perímetro del problema.

«El operador de turno no sabe que hay un proceso corriendo 400 milisegundos fuera de setpoint. Yo sí. Si el servidor CF está comprometido y tiene acceso a la red OT, el reconocimiento ya ocurrió. T1083 sobre ese middleware no mapeó directorios — mapeó procesos industriales. La contención tiene que ser quirúrgica o el remedio genera el daño que estamos evitando. Necesito aislamiento de red OT antes de que toquemos el servidor. En ese orden. No al revés.»

Contraataque

Stratos coordinó la respuesta cloud en paralelo con el aislamiento OT que Magna estaba ejecutando en tierra. La secuencia fue la que dictaba el threat model: primero, inventario de instancias ColdFusion en los tres CSPs — Security Hub en AWS, Defender for Cloud en Azure, Security Command Center en GCP — con filtro sobre puertos 80, 443, 8500 y 8300 con exposición directa a internet. Segundo, reglas WAF de emergencia bloqueando patrones de path traversal — secuencias ../, ..\ y variantes encoded — sobre todos los endpoints CF antes de que Adobe publicara el parche oficial. Tercero, rotación de todas las credenciales almacenadas en archivos de configuración CF y migración de secrets hacia AWS Secrets Manager, Azure Key Vault y GCP Secret Manager. Cuarto, revisión y reducción de privilegios IAM en roles asignados a las instancias CF: si el servidor no necesitaba acceso a S3 o a APIs internas, ese acceso se revocó sin negociación. El movimiento de un servidor CF comprometido hacia integraciones SaaS downstream ocurre en minutos — reducir esa superficie era la única forma de acotar el radio de daño desde el momento cero.

«Tres CSPs, una vulnerabilidad, un vector de harvest que converge en el mismo punto: las credenciales IAM del rol asignado a la instancia. Si APT41 llegó al servidor, tiene acceso al metadata service. IMDS en AWS, equivalente en GCP y Azure — credenciales temporales del rol, en texto claro, accesibles desde el contexto del proceso comprometido. Eso no es escalación lateral. Eso es control sobre el tenant. WAF activo, secrets rotados, privilegios reducidos. El perímetro cloud ya está más estrecho. El perímetro OT es problema de Magna.»

Eris validó las primeras veinticuatro horas con logging extendido activo en todos los servidores ColdFusion identificados. Cero ejecuciones anómalas de procesos secundarios. Cero patrones de traversal exitoso en los logs de peticiones HTTP después de la implementación de las reglas WAF. El actor — si había cruzado — no había dejado firma en las instancias monitoreadas. Eso no era confirmación de que no hubiera habido acceso previo. Era confirmación de que la ventana activa estaba cerrada, al menos en los activos bajo visibilidad. Lo que estaba fuera de visibilidad seguía siendo la pregunta que nadie podía responder todavía.

Resolución

Luna Varela escribió el cierre del expediente a las 11:40 de la mañana siguiente, con el café frío en el escritorio y el borrador del brief legal de Veritas abierto en otra ventana — un documento que alguien había escrito con una precisión que iba más allá del marco regulatorio. Había algo en la forma en que estaba redactado que solo tenía sentido si quien lo escribió conocía muy bien cuánto cuesta cada palabra pública cuando la organización que notifica no eligió ser víctima. Luna no lo nombró. Cerró esa ventana y volvió al expediente.

Lo que había pasado en las últimas nueve horas no era una victoria. Era una línea sostenida — la diferencia entre un incidente contenido y un daño que habría tomado semanas en cuantificar. ColdFusion seguía en producción en entornos que nunca debieron haberlo expuesto a internet. El parche de Adobe no había llegado todavía. Los operadores de turno en la planta del Bajío habían retomado sus consolas sin saber que durante noventa minutos habían trabajado con un proceso OT bajo observación de un actor que podría haber elegido interferir y no lo hizo — porque no era el momento, o porque la contención llegó antes, o porque simplemente estaban mirando todavía. Esa distinción importaba, y era imposible de resolver con los datos disponibles.

APT41 opera con paciencia. La ausencia de movimiento visible en las primeras veinticuatro horas no era el final del expediente. Era el intervalo entre lo que el grupo hizo y lo que alguien eventualmente documentaría. Luna lo escribió exactamente así, sin suavizarlo: «La superficie que generó este riesgo no desaparece con el parche. Desaparece cuando el inventario es completo, cuando la segmentación es real y cuando los activos legacy dejan de tratarse como deuda técnica diferible. Lo que se contuvo hoy es una instancia de un problema estructural que sigue activo en organizaciones que operan el mismo stack, en el mismo sector, con el mismo ciclo de patching. El expediente de CVE-2026-48282 está abierto. La campaña de APT41 también.»

— Luna Varela, Strategic Intelligence