Alerta crítica: CVE-2026-22679 en Weaver E-cology expone un endpoint de depuración y permite ejecución remota de comandos

Un fallo crítico en la plataforma de automatización ofimática Weaver E-cology (identificado como CVE-2026-22679) ha sido explotado de forma activa desde mediados de marzo para ejecutar comandos de descubrimiento en servidores comprometidos, según el seguimiento publicado por la firma de inteligencia Vega. La raíz del problema es un endpoint de depuración expuesto que pasa parámetros sin validar hacia la funcionalidad RPC del backend, lo que permite convertir esa interfaz en un mecanismo de ejecución remota de comandos a nivel de sistema.

El panorama que describe Vega revela varias fases de ataque: comprobaciones iniciales de ejecución remota (mediante pings hacia callbacks asociados a la herramienta Goby), intentos de descarga de payloads por PowerShell ofuscado, el despliegue fallido de un instalador MSI dirigido (fanwei0324.msi) y retornos a técnicas fileless que repetidamente traían y ejecutaban scripts remotos. Aunque en los casos documentados las defensas de endpoints intervinieron y no se llegó a una persistencia establecida, la capacidad técnica para ejecutar comandos como whoami, ipconfig o tasklist desde procesos Java sin autenticación hace evidente el riesgo operativo.

Un dato crítico de la cronología: los ataques comenzaron pocos días después de que el proveedor publicara una actualización (build 20260312) y antes de que la vulnerabilidad se hiciera pública ampliamente, lo que subraya dos lecciones: primero, que las actualizaciones publicadas quedan inútiles si no se aplican rápidamente; y segundo, que la disponibilidad de un parche no impide que actores busquen hosts sin parchear aprovechando información técnica previa o la propia superficie de exposición.

El proveedor eliminó el endpoint de depuración en la build rectificadora, y la recomendación oficial es clara: actualizar a la versión corregida lo antes posible. Puede encontrar el parche y el boletín del fabricante en la página de Weaver: Aviso de seguridad de Weaver (build 20260312). El análisis técnico y el timeline publicado por investigadores está disponible en el informe de Vega: Análisis de Vega sobre CVE-2026-22679. Para marco de priorización y prácticas de respuesta ante vulnerabilidades explotadas activamente, consulte el catálogo de vulnerabilidades explotadas de CISA: CISA KEV.

Si su organización usa Weaver E-cology 10.0 o versiones anteriores al 12 de marzo de 2026, la primera acción obligatoria es comprobar el inventario y aplicar la build corregida inmediatamente. Más allá del parche, es imprescindible validar que la actualización se aplicó correctamente y buscar indicadores de compromiso: revise logs de servidor web para solicitudes al antiguo endpoint de debugging, búsquedas de parámetros sospechosos en peticiones RPC, y eventos donde procesos java.exe actúen como padres de cmd.exe, powershell.exe u otros procesos inesperados.

Las detecciones prácticas deben incluir la búsqueda de líneas de comando PowerShell ofuscadas, intentos repetidos de llamada a dominios externos o beacons DNS/TCP y artefactos relacionados con el instalador malicioso reportado (por ejemplo, referencias a fanwei0324.msi). En entornos con EDR, cree reglas para advertir sobre procesos hijos originados en la JVM del servidor (Tomcat embebido) que ejecuten herramientas de sistema o que descarguen y ejecuten scripts desde ubicaciones remotas.

Desde un punto de vista arquitectónico, esta vulnerabilidad es una llamada de atención para implementar controles preventivos: restringir o eliminar endpoints de depuración en producción, aplicar el principio de menor privilegio a cuentas y procesos, segmentar redes para limitar la capacidad de movimiento lateral y someter a endpoints críticos a políticas de control de ejecución y filtrado de salida. Si no es posible parchear de inmediato, mitigar la exposición restringiendo el acceso al puerto o endpoint vulnerable mediante listas de control de acceso, proxies inversos o WAF, aunque la corrección definitiva debe ser la actualización oficial.

Finalmente, si detecta señales de explotación o tiene motivos para creer que un host fue alcanzado, active el plan de respuesta a incidentes: contenga el sistema afectado, preserve logs y memoria para su análisis forense, evalúe la posibilidad de remediación completa (reinstalación si existe contaminación), y comunique a las partes interesadas según las regulaciones aplicables. La ausencia de persistencia en los casos documentados no garantiza que futuros atacantes no traten de consolidar acceso; por tanto, la monitoreo continuo y la búsqueda proactiva en el parque de servidores son imprescindibles.