{"id":69896,"date":"2026-09-26T05:15:54","date_gmt":"2026-09-26T05:15:54","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=69896"},"modified":"2026-09-26T05:15:54","modified_gmt":"2026-09-26T05:15:54","slug":"shinyhunters-clop-grav-fallo-69896","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/shinyhunters-clop-grav-fallo-69896\/","title":{"rendered":"ShinyHunters explota fallo de Grav en sitio de filtraciones de Clop"},"content":{"rendered":"

La guerra entre bandas de ransomware ha dado un vuelco inesperado: uno de los grupos m\u00e1s temidos, Clop, ha sido v\u00edctima de una intrusi\u00f3n que demuestra que ning\u00fan activo digital est\u00e1 a salvo, ni siquiera el de los criminales m\u00e1s experimentados. El grupo ShinyHunters logr\u00f3 explotar un fallo cr\u00edtico de path traversal en Grav CMS<\/a>, identificado como CVE-2026-42608<\/a>, para tomar el control del sitio de filtraciones de Clop, robar sus claves privadas y exigir un rescate a los propios extorsionadores. Este incidente no solo supone una humillaci\u00f3n operativa para Clop, sino que expone una vulnerabilidad t\u00e9cnica que afecta a miles de sitios web en todo el mundo, especialmente aquellos que ejecutan versiones antiguas de Grav.<\/p>\n

ShinyHunters asesta un golpe directo al coraz\u00f3n de la operaci\u00f3n de Clop<\/h2>\n

A principios de mes, el sitio oscuro donde Clop publica los datos robados a sus v\u00edctimas amaneci\u00f3 con un aspecto muy distinto al habitual. El logo de Umbreon, el Pok\u00e9mon emblema de ShinyHunters, ocupaba toda la pantalla. Lejos de ser un simple acto de vandalismo digital, la intrusi\u00f3n fue profunda. Seg\u00fan la informaci\u00f3n verificada de forma independiente, ShinyHunters logr\u00f3 extraer el c\u00f3digo fuente del servidor comprometido, los plugins de Grav, los registros del servidor y, lo que es m\u00e1s grave, las claves privadas del servicio onion que Clop utilizaba para alojar su sitio de filtraciones.<\/p>\n

La posesi\u00f3n de estas claves representaba una amenaza existencial para el grupo ruso, ya que permitir\u00eda a ShinyHunters suplantar su identidad en la red Tor o monitorizar el tr\u00e1fico destinado a Clop. ShinyHunters, fiel a su modus operandi, public\u00f3 una exigencia de rescate en su propio sitio de filtraciones, amenazando con hacer p\u00fablicos todos los archivos si Clop no acced\u00eda a pagar.<\/p>\n

La respuesta de Clop no se hizo esperar. La banda anunci\u00f3 una nueva direcci\u00f3n onion y confirm\u00f3 que el dominio antiguo dejar\u00eda de funcionar definitivamente. En sus declaraciones, Clop intent\u00f3 minimizar el impacto, negando cualquier negociaci\u00f3n con ShinyHunters y asegurando que el servidor atacado carec\u00eda de datos financieros o informaci\u00f3n operativa sensible. \u00abNo los conocemos, nunca hemos trabajado con ellos y actualmente no estamos en contacto\u00bb, afirm\u00f3 Clop. Sin embargo, el hecho de que ShinyHunters eliminara silenciosamente a Clop de su propio sitio de filtraciones horas despu\u00e9s sugiere que, en efecto, se produjeron negociaciones o un pago, lo que contradice abiertamente la versi\u00f3n oficial del grupo ruso.<\/p>\n

CVE-2026-42608: la vulnerabilidad de path traversal que permiti\u00f3 el ataque<\/h2>\n

El punto central de la intrusi\u00f3n no fue una compleja ingenier\u00eda social ni un ataque de d\u00eda cero, sino una vulnerabilidad de path traversal (salto de directorios) sin autenticaci\u00f3n, rastreada como CVE-2026-42608, que afecta al n\u00facleo de Grav CMS. Lo que hace especialmente relevante este caso es que tanto el equipo de Grav como los propios atacantes compartieron detalles t\u00e9cnicos, proporcionando una visi\u00f3n excepcional del modus operandi.<\/p>\n

\u00bfC\u00f3mo se explota este fallo en Grav?<\/h3>\n

ShinyHunters revel\u00f3 que el servidor de Clop ejecutaba Grav CMS 1.7.43. La vulnerabilidad resid\u00eda en el manejo del par\u00e1metro __unique_form_id__<\/code>codecode durante el proceso de subida de archivos mediante formularios. El software constru\u00eda una ruta temporal en el servidor para almacenar el archivo utilizando valores proporcionados por el usuario sin validarlos previamente como componentes seguros del sistema de archivos.<\/p>\n

La ruta temporal se generaba de la siguiente forma:<\/p>\n

tmp\/forms\/<session_id>\/<unique_id>\/<\/code><\/pre>\n
prepre<\/p>\n
Al inyectar secuencias de salto de directorio en el par\u00e1metro __unique_form_id__<\/code>codecode, como por ejemplo ..\/..\/..\/shhq<\/code>codecode, el atacante pod\u00eda forzar a Grav a crear un directorio de subida en una ubicaci\u00f3n completamente diferente. Esto permit\u00eda escribir el archivo malicioso en cualquier punto dentro de la instalaci\u00f3n de Grav, lo que abre la puerta a la ejecuci\u00f3n remota de c\u00f3digo al sobrescribir archivos del sistema o plantillas.<\/p>\n
El problema del backport en la rama 1.7<\/h3>\n
Grav confirm\u00f3 la precisi\u00f3n de los detalles proporcionados por ShinyHunters. La compa\u00f1\u00eda explic\u00f3 que la falla fue reportada de forma privada y corregida en Grav 2.0 (2.0.0-beta.2) a principios de a\u00f1o, con el aviso de seguridad publicado el 27 de abril. La correcci\u00f3n introdujo una funci\u00f3n sanitizeId()<\/code>codecode que solo acepta identificadores que coincidan con una lista de permitidos:<\/p>\n
[A-Za-z0-9,_-]{1,64}<\/code><\/pre>\n
prepre<\/p>\n
El punto cr\u00edtico que expuso a Clop, y que potencialmente afecta a miles de sitios web, es que la correcci\u00f3n no fue retroportada a la rama estable anterior, Grav 1.7. Mientras que los usuarios de Grav 2.x estaban protegidos desde hac\u00eda meses, los equipos que, como Clop, hab\u00edan optado por quedarse en la versi\u00f3n 1.7 por motivos de estabilidad, compatibilidad o simplemente por desconocimiento, permanec\u00edan completamente vulnerables.<\/p>\n
Grav reconoci\u00f3 expl\u00edcitamente este vac\u00edo de seguridad: \u00abEl problema era la l\u00ednea 1.7. Grav 2.0 es la versi\u00f3n mayor actual, pero muchos sitios a\u00fan est\u00e1n en 1.7, y esa correcci\u00f3n no se hab\u00eda retroportado\u00bb. Tras la divulgaci\u00f3n del ataque, el equipo de Grav actu\u00f3 con rapidez para liberar la versi\u00f3n 1.7.53.4, que incluye la correcci\u00f3n para la rama anterior. La compa\u00f1\u00eda fue clara al se\u00f1alar que la vulnerabilidad reside en el n\u00facleo de Grav, no en el plugin Form, por lo que la versi\u00f3n del plugin instalado es irrelevante a la hora de determinar la exposici\u00f3n del servidor.<\/p>\n
\u00bfQu\u00e9 versi\u00f3n de Grav es vulnerable a CVE-2026-42608?<\/h2>\n
Todas las versiones de Grav 1.7.x anteriores a la 1.7.53.4 son vulnerables a este ataque de path traversal. Las versiones de Grav 2.0 y superiores no est\u00e1n afectadas, ya que incluyen la funci\u00f3n de sanitizaci\u00f3n sanitizeId()<\/code>codecode que valida la entrada del par\u00e1metro __unique_form_id__<\/code>codecode. Es indiferente la versi\u00f3n del plugin Form que se tenga instalada; la vulnerabilidad reside en el n\u00facleo de Grav. Cualquier organizaci\u00f3n que ejecute Grav 1.7.x debe actualizar inmediatamente a la versi\u00f3n 1.7.53.4 o planificar una migraci\u00f3n a Grav 2.x.<\/p>\n
Implicaciones para la empresa y la cadena de suministro del c\u00f3digo abierto<\/h2>\n
El caso de Clop es una lecci\u00f3n de manual de seguridad inform\u00e1tica aplicada a la vida real. Una de las bandas de ransomware m\u00e1s temidas y t\u00e9cnicamente capaces fue v\u00edctima de su propia negligencia operativa. El servidor p\u00fablico de filtraciones, un activo cr\u00edtico para su modelo de negocio, ejecutaba un software desactualizado que no hab\u00eda recibido parches de seguridad durante meses. Para los administradores de sistemas y CISO en Espa\u00f1a y Am\u00e9rica Latina, el incidente subraya la importancia de auditar las aplicaciones CMS y monitorizar no solo las versiones principales, sino el estado de los parches de seguridad en las ramas estables que utilizan.<\/p>\n
Grav, aunque menos popular que WordPress, tiene una base de usuarios significativa en el mundo hispanohablante por su velocidad y su enfoque en archivos planos. Muchas organizaciones lo utilizan para sitios corporativos, documentaci\u00f3n y portales internos. Si su organizaci\u00f3n utiliza Grav, este incidente debe ser una llamada de atenci\u00f3n para verificar la versi\u00f3n instalada y aplicar el parche correspondiente. La ventana de vulnerabilidad entre la correcci\u00f3n en la rama principal y el backport a la rama estable cre\u00f3 un riesgo evitable que finalmente fue explotado.<\/p>\n
El precedente estrat\u00e9gico: la extorsi\u00f3n entre bandas remodela el riesgo<\/h2>\n
M\u00e1s all\u00e1 de la vulnerabilidad t\u00e9cnica, el incidente reconfigura el tablero de la ciberdelincuencia. La intrusi\u00f3n de ShinyHunters en la infraestructura de Clop demuestra que el mundo del ransomware no es un club cerrado. Las bandas se atacan entre s\u00ed, ya sea por motivos de reputaci\u00f3n, para robar datos de v\u00edctimas o simplemente por la propia din\u00e1mica del crimen organizado. Para las empresas v\u00edctimas de Clop, este incidente introduce una nueva variable de riesgo: sus datos, ya comprometidos, han cambiado de manos potencialmente, pasando del control de Clop al de ShinyHunters, lo que podr\u00eda acelerar su filtraci\u00f3n o venta al mejor postor.<\/p>\n
El hecho de que ShinyHunters eliminara a Clop de su propio sitio de filtraciones sugiere que, tras bambalinas, la extorsi\u00f3n funcion\u00f3. Si Clop pag\u00f3, habr\u00e1 sentado un precedente peligroso para su propia credibilidad dentro del hampa digital. La confianza de los afiliados \u2014los socios que utilizan su infraestructura para lanzar ataques\u2014 es un activo intangible pero vital para cualquier operaci\u00f3n de ransomware. Un grupo que no puede proteger su propio servidor de filtraciones dif\u00edcilmente inspirar\u00e1 la confianza necesaria para manejar datos robados de alto valor.<\/p>\n
En un ecosistema donde la seguridad se mide por el eslab\u00f3n m\u00e1s d\u00e9bil, Clop ha descubierto que su propio eslab\u00f3n era una instalaci\u00f3n de Grav sin parchear. La lecci\u00f3n es universal: la higiene digital b\u00e1sica, como la actualizaci\u00f3n puntual de un CMS y la aplicaci\u00f3n de backports de seguridad, puede ser la diferencia entre mantener el control de tu infraestructura o convertirte en la pr\u00f3xima v\u00edctima expuesta en un sitio de filtraciones. Para los defensores, la pregunta que queda sobre la mesa es si su organizaci\u00f3n est\u00e1 repitiendo el mismo error que llev\u00f3 a una de las bandas de ransomware m\u00e1s activas del planeta a perder su guarida digital.<\/p>\n","protected":false},"excerpt":{"rendered":"
La guerra entre bandas de ransomware ha dado un vuelco inesperado: uno de los grupos m\u00e1s temidos, Clop, ha sido v\u00edctima de una intrusi\u00f3n que demuestra que ning\u00fan activo digital est\u00e1 a salvo, ni siquiera el de los criminales m\u00e1s experimentados. El grupo ShinyHunters logr\u00f3 explotar un fallo cr\u00edtico de path traversal en Grav CMS, […]<\/p>\n","protected":false},"author":2,"featured_media":69898,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69896.png","fifu_image_alt":"ShinyHunters explota fallo de Grav en sitio de filtraciones de Clop","footnotes":""},"categories":[5],"tags":[],"class_list":["post-69896","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69896.png","fifu_image_alt":"ShinyHunters explota fallo de Grav en sitio de filtraciones de Clop","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69896","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=69896"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69896\/revisions"}],"predecessor-version":[{"id":69897,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69896\/revisions\/69897"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/69898"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=69896"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=69896"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=69896"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}