Vulnerabilidad crítica en Weaver E-cology permite ejecución remota de código sin autenticación y ya está en explotación

Una vulnerabilidad crítica en Weaver (también conocida como Fanwei) E-cology, una plataforma de automatización de oficinas y colaboración empresarial, está siendo explotada activamente en entornos reales. El fallo, registrado como CVE-2026-22679 y valorado con una puntuación CVSS de 9.8, permite ejecución remota de código sin autenticación en versiones 10.0 anteriores a la actualización publicada el 12 de marzo de 2026, aprovechando una funcionalidad de depuración expuesta en el endpoint "/papi/esearch/data/devops/dubboApi/debug/method". Para la descripción técnica oficial puede consultarse la ficha del NVD y el registro del CVE en MITRE: NVD CVE-2026-22679 y MITRE CVE-2026-22679.

El vector de explotación identificado permite a un atacante enviar solicitudes POST manipuladas con parámetros como interfaceName y methodName para invocar helpers de ejecución de comandos integrados en la API de depuración. Al ser una falla sin requisito de autenticación, los actores maliciosos pueden comprometer servidores expuestos directamente desde Internet, lo que eleva el riesgo para organizaciones que tengan instancias de Weaver accesibles públicamente o mal segmentadas.

Los investigadores de seguridad y organizaciones que monitorizan amenazas detectaron actividad de explotación desde fechas próximas a la corrección: algunos reportes sitúan los primeros signos el 17 de marzo de 2026, mientras que observaciones adicionales aparecen a partir del 31 de marzo. Los patrones de abuso descritos incluyen verificación de ejecución remota, intentos fallidos de desplegar cargas útiles, un intento de instalación mediante un MSI nombrado para aparentar ser legítimo ("fanwei0324.msi") y una breve campaña para recuperar payloads mediante PowerShell desde infraestructura controlada por los atacantes. A lo largo de las intrusiones también se registraron comandos de reconocimiento básicos como whoami, ipconfig y tasklist.

Desde el punto de vista operativo, este incidente ilustra dos riesgos recurrentes: primero, que las herramientas y endpoints de depuración dejados activos en software de producción se convierten en puertas traseras si no están protegidos; segundo, que las correcciones publicadas no eliminan automáticamente la ventana de exposición porque muchos entornos corporativos tardan en aplicar parches o no cuentan con controles perimetrales que bloqueen accesos no deseados.

Si su organización utiliza Weaver E-cology, la acción inmediata obligatoria es aplicar la actualización oficial publicada el 12 de marzo de 2026 o cualquier parche posterior que corrija CVE-2026-22679. Además del parche, conviene aplicar mitigaciones compensatorias hasta que toda la flota esté actualizada: restringir el acceso al endpoint vulnerable mediante reglas de firewall o WAF, bloquear solicitudes POST hacia rutas sospechosas, y limitar el acceso remoto a la aplicación solamente a redes internas o a direcciones IP autorizadas.

En paralelo a la remediación, se recomienda ejecutar actividades de detección e investigación. Esto incluye revisar logs web y de proxy en busca de solicitudes POST dirigidas a "/papi/esearch/data/devops/dubboApi/debug/method" y parámetros inusuales en interfaceName/methodName, buscar trazas del instalador "fanwei0324.msi" u otros archivos MSI no autorizados, inspeccionar procesos y conexiones salientes anómalas, y comprobar la presencia de webshells o puertas traseras. A falta de herramientas específicas, un escaneo de accesibilidad del endpoint desde fuera de su perímetro permite identificar instancias expuestas que requieren atención inmediata.

Si detecta indicios de compromiso, aísle la máquina afectada, preserve registros y volúmenes para un análisis forense, y considere restablecer credenciales y revisar cuentas con privilegios. La intervención coordinada entre equipos de redes, seguridad y operaciones es clave para contener el impacto y evitar pivotes internos. También es aconsejable informar al proveedor y, si procede, a las autoridades o equipos de respuesta ante incidentes para compartir indicadores y colaborar en la contención.

Para reducir la probabilidad de surgir vulnerabilidades de este tipo en el futuro, adopte medidas estructurales: deshabilitar funciones de depuración en entornos de producción, aplicar segmentación de red estricta para aplicaciones administrativas, desplegar y mantener reglas de WAF que bloqueen rutas de administración expuestas y establecer procedimientos de parcheo rápido para software crítico. La visibilidad continua mediante monitorización de integridad, EDR y análisis de tráfico web ayuda a detectar actividad sospechosa en fases tempranas.

El caso de Weaver E-cology es un recordatorio de que las plataformas de colaboración empresariales, por su naturaleza crítica y por el acceso que suelen tener a datos corporativos, son objetivos atractivos para atacantes. La combinación de una vulnerabilidad con explotación activa exige priorizar la corrección y la caza de indicadores en los entornos propios para minimizar riesgo de intrusión y exfiltración.