⚠️ CISA y NSA lanzan alerta crítica para administradores de Exchange
🧨 El problema: una falla que da acceso como SYSTEM
Traducido a la práctica: puede ejecutar código como si fuera el propio servidor, abriendo la puerta al robo de datos, manipulación de configuraciones y acceso completo a la red.
Los investigadores detectaron que los atacantes abusan de procesos como:
-
wsusservice.exe(el servicio principal de WSUS) -
w3wp.exe(el proceso de IIS) -
y cadenas de procesos de PowerShell anidados
Incluso se identificó un vector alternativo de ataque usando la consola Microsoft Management Console (mmc.exe), que puede detonar la ejecución de cmd.exe, causando inestabilidad y compromisos adicionales en el sistema.
🛠️ Qué recomienda CISA (y cómo aplicarlo en tu día a día)
La guía oficial no se anda con rodeos. Estas son las medidas más urgentes que deberías implementar si administras servidores Exchange o WSUS:
-
Restringe el acceso administrativo al Exchange Admin Center y al PowerShell remoto.
-
Habilita MFA (autenticación multifactor) para todas las cuentas administrativas.
-
Activa protocolos seguros: TLS, HSTS y Extended Protection.
-
Deshabilita protocolos viejos como NTLM y prioriza Kerberos y SMB.
-
Mantén un ciclo de parchado constante (y verifica que WSUS realmente esté distribuyendo los parches).
-
Usa las “Exchange Emergency Mitigation Services” para aplicar defensas automáticas.
-
Aplica las baselines de seguridad recomendadas para Exchange, Windows Server y clientes de correo.
-
Migra a Microsoft 365 si tu servidor Exchange ya llegó al fin de vida: mantenerlo en producción hoy es un riesgo serio.
🔎 Sectores más expuestos
La alerta apunta a sectores como educación, salud, manufactura y tecnología, donde el uso de Exchange on-premise sigue siendo común.
El riesgo no es solo una infección puntual: un compromiso en WSUS o Exchange puede dar acceso al dominio completo, permitiendo la instalación de malware, robo de credenciales o espionaje industrial.
🧩 En resumen
Esta guía no es una recomendación más:
Es una advertencia directa para quienes aún confían en servidores Exchange locales y entornos WSUS sin endurecimiento de seguridad.
CISA y la NSA están viendo actividad real, no teórica.
Si trabajas en soporte, administración o desarrollo sobre entornos Windows, este es el momento de revisar tus políticas, tus puertos abiertos y tus logs.
Un solo comando PowerShell podría ser el inicio de una brecha que comprometa todo tu dominio.