Coolify expone 11 vulnerabilidades críticas que permiten control total en entornos self-hosted

Coolify reveló 11 vulnerabilidades críticas en sus instalaciones self-hosted que, al encadenarse, permiten a atacantes remotos no autenticados tomar control total del servidor. El impacto afecta directamente a organizaciones que utilizan Coolify para orquestar y desplegar aplicaciones en infraestructura propia.

Estas fallas convierten al panel de gestión en un punto de compromiso de alto valor dentro de pipelines modernos de despliegue.

Riesgos de las 11 fallas críticas

Las vulnerabilidades abarcan:

• Autenticación insuficiente

• Escalamiento de privilegios

• Ejecución remota de código (RCE)

Combinadas, facilitan el acceso administrador al panel de Coolify. Desde allí, un atacante puede:

• Desplegar contenedores maliciosos

• Exfiltrar secretos y variables de entorno

• Modificar configuraciones de despliegue

• Pivotar hacia otros activos internos

En producción, el compromiso del orquestador implica riesgos directos sobre pipelines CI/CD, incluyendo puertas traseras en aplicaciones y robo de credenciales de servicios externos (bases de datos, colas de mensajes y APIs de terceros).

Impacto en entornos self-hosted

El impacto es especialmente severo en instancias expuestas a internet sin capas adicionales como WAF, VPN o SSO corporativo. En infraestructuras multi-tenant, un único punto de compromiso puede derivar en acceso transversal a proyectos de múltiples equipos o clientes.

Además, estas fallas pueden actuar como vector inicial para ransomware y campañas de criptominería, aprovechando la capacidad del orquestador para desplegar contenedores a gran escala.

Medidas urgentes de mitigación

Se recomienda actuar de inmediato:

• Actualizar a la última versión corregida de Coolify en todas las instancias self-hosted.

• Revisar notas de versión y avisos de seguridad para confirmar qué CVE fueron mitigadas.

• Rotar credenciales y tokens almacenados en la plataforma.

• Auditar logs de acceso y despliegues recientes en busca de actividad sospechosa.

• Restringir la exposición del panel (VPN, zero trust).

• Habilitar MFA y endurecer configuraciones de red y contenedores para limitar el movimiento lateral.

Recomendaciones para equipos de seguridad

• Incorporar reglas específicas en SIEM y EDR para detectar despliegues no autorizados desde Coolify.

• Ejecutar pruebas de penetración o revisiones post-parcheo para validar que no existan rutas residuales.

• Evaluar políticas formales de gestión de riesgo en software open source, incluyendo:

  • Inventario de orquestadores

  • Procesos estrictos de parchado

  • Revisión periódica de dependencias críticas