Alerta de seguridad CVE-2025-47813 en Wing FTP Server está siendo explotada en ataques reales

La Agencia de Seguridad Cibernética e Infraestructura de Estados Unidos (CISA) ha elevado la alerta sobre una vulnerabilidad en Wing FTP Server que ya está siendo aprovechada en ataques reales y que puede servir de eslabón en cadenas que desembocan en ejecución remota de código. Se trata de una falla que, aunque no permite por sí sola ejecutar código, sí facilita a un atacante con pocos privilegios obtener información sensible del servidor —como la ruta completa de instalación— lo que puede ser la llave para explotar otros fallos.

El fallo ha sido registrado como CVE-2025-47813 y, según la descripción técnica pública, la aplicación genera mensajes de error que incluyen datos sensibles cuando se usa un valor muy largo en la cookie UID. Esa filtración de información puede ayudar a los atacantes a comprender la estructura del sistema y construir exploits más potentes que encadenen otras vulnerabilidades, incluida una crítica que permite ejecución remota de código (CVE-2025-47812).

Los desarrolladores de Wing FTP Server solucionaron estas vulnerabilidades en la versión 7.4.4 publicada en mayo de 2025; el aviso de corrección incluye parches tanto para la divulgación de información como para la vulnerabilidad RCE y otra que permite robar contraseñas (CVE-2025-27889). La nota del fabricante con el historial de versiones y el parche está disponible en su web oficial: Wing FTP Server – Server History.

La situación se complicó cuando el investigador Julien Ahrens publicó código de prueba de concepto para CVE-2025-47813 en junio, lo que aumentó el riesgo al dejar en manos de cualquiera herramientas para reproducir la falla. El repositorio con la prueba de concepto puede consultarse aquí: PoC en GitHub. Además, la vulnerabilidad de RCE (CVE-2025-47812) ha sido reportada como explotada en entornos reales tan solo un día después de que se difundieran detalles técnicos, lo que demuestra la rapidez con la que los atacantes adaptan y utilizan esta información en la práctica. Las fichas técnicas en la base de datos nacional de vulnerabilidades ofrecen más contexto: CVE-2025-47813, CVE-2025-47812 y CVE-2025-27889.

El 16 de marzo de 2026 CISA agregó CVE-2025-47813 a su catálogo de vulnerabilidades explotadas activamente y ordenó a las agencias federales civiles remediar la falla en un plazo de dos semanas, tal como exige la Directiva Operativa Vinculante BOD 22-01 de noviembre de 2021. Aunque la obligación de plazo afecta únicamente a las agencias federales estadounidenses, la propia CISA instó a organizaciones del sector privado y a administradores de sistemas en general a actualizar o aplicar mitigaciones de manera inmediata. Puede consultarse el registro de la vulnerabilidad en el catálogo de CISA aquí: CVE-2025-47813 en el catálogo de CISA.

Wing FTP Server no es una solución menor: los desarrolladores indican que su software es utilizado por más de 10.000 clientes en todo el mundo, incluidos grandes actores del sector público y privado. Esa base de instalaciones convierte cualquier vulnerabilidad explotable en un objetivo atractivo para atacantes que buscan accesos a redes empresariales o gubernamentales. La información oficial del fabricante que menciona clientes y alcance del producto está disponible en su sitio: Wing FTP Server.

¿Qué significa esto para administradores y responsables de seguridad? En primer lugar, que la ventana de exposición se reduce cuando existe código demostrativo público y explotación en entornos reales; por tanto, el tiempo para reaccionar es limitado. Si su organización utiliza Wing FTP Server, lo más urgente es verificar la versión en uso y actualizar a la edición corregida (v7.4.4 o posterior). Si por alguna razón no puede aplicar el parche de inmediato, hay que valorar implementar mitigaciones recomendadas por el proveedor, endurecer el acceso al servicio (por ejemplo, restringiendo conexiones a direcciones IP de confianza y limitando cuentas con privilegios), y considerar la desconexión temporal del servicio hasta que esté seguro.

La exposición a través de errores que revelan rutas locales es menos llamativa que una RCE directa, pero no por ello menos peligrosa: conocer la estructura del sistema, rutas de instalación y archivos sensibles suele ser el primer paso para que los atacantes ensamblen exploits más complejos o roben credenciales. Por eso CISA insiste en aplicar las correcciones y, si no existen mitigaciones aplicables, plantearse suspender el uso del producto.

Además de actualizar, es recomendable revisar registros de acceso y de errores buscando patrones anómalos que coincidan con intentos de explotación, auditar cuentas y credenciales asociadas al servicio —rotando contraseñas si hay sospecha de compromiso— y segmentar la red para evitar que una posible intrusión en el servidor FTP sirva como trampolín hacia otros activos críticos.

Las vulnerabilidades en componentes de transferencia de archivos son un recordatorio de que infraestructuras aparentemente discretas pueden abrir vectores de ataque significativos. La combinación de exposición pública del exploit, la rapidez de explotación en el mundo real y una base amplia de instalaciones convierte este incidente en una prioridad de seguridad para las organizaciones que utilicen Wing FTP Server o que dependen de servicios similares.

Para ampliar información y verificar la situación técnica, consulte las fuentes oficiales: la entrada de la vulnerabilidad en NVD (CVE-2025-47813), el aviso y catálogo de CISA (CISA – catálogo de vulnerabilidades), el historial de versiones de Wing FTP Server (Wing FTP Server – Server History) y el repositorio con la prueba de concepto publicado por el investigador (PoC en GitHub).

Si necesita ayuda para evaluar su exposición o priorizar acciones de mitigación, es recomendable contactar con su equipo de seguridad o con proveedores especializados; en incidentes que impliquen explotación activa, la respuesta rápida y coordinada puede marcar la diferencia entre un intento de intrusión fallido y una brecha con consecuencias graves.