es

Resumen de Seguridad: Megalodon GitHub Attack, Ghost CMS Exploitation, MiniPlasma & YellowKey Windows 0-Days, DirtyDecrypt LPE — Semana del 28 de mayo de 2026

Reunión informativa semanal: Megalodon backdoors 5,500 GitHub repos, Ghost CMS SQLi secuestra 700 sitios para ClickFix, y MiniPlasma Windows 0-día.

James Luther

James Luther

— 4 min read
Resumen de Seguridad: Megalodon GitHub Attack, Ghost CMS Exploitation, MiniPlasma & YellowKey Windows 0-Days, DirtyDecrypt LPE — Semana del 28 de mayo de 2026

Una semana dominada por ataques de cadena de suministro y primitivos de escalada de privilegios locales: una campaña automatizada comprometió más de 5.500 repositorios GitHub en seis horas utilizando credenciales con recursos de infostealer; La falla de inyección SQL de Ghost CMS ahora ha sido armada contra 700+ sitios en vivo; dos nuevas máquinas de Windows de cero días dejan totalmente empaquetadas expuestas a la toma de SYSTEM y el bypass BitLocker; y una cuarta página de kernel de Linux escribe primitivo se une a la familia Copy Fail con un PoC público.

Megalodon GitHub CI/CD Supply Chain Attack — 5,561 Repos Backdoored in 6 Hours

El 18 de mayo, el automatizado Megalodon campaña empujado 5,718 commits maliciosos a 5,561 Repositorios GitHub en seis horas usando cuentas de desecho con identidades de autor de la CI falsificadas (I)build-bot, auto-ci, ci-bot, pipeline-bot). Cada compromiso inyectó una descarga bajo codificada Base64 en GitHub Actions flujos de trabajo. Si se fusiona, el flujo de trabajo ejecuta en corredores y exfiltrados de CI AWS/GCP/Azure credenciales, teclas SSH, tokens OIDC, GITHUB TOKENs, tokens Vault, credos Terraform, y más de 30 partidos de patrón secreto a un C2 en 216.126.225[.]129:8443.

Hudson Rock confirmó el 23 de mayo que el ataque fue proveniente exclusivamente de credenciales de desarrollador promisos de infostealer — más del 33% de las cuentas afectadas coinciden directamente con los registros de infostealer conocidos. npm respondió quemando todo bypass-2FA tokens plataforma en toda la plataforma e instando la adopción de Trusted Publishing.

Qué hacer: Rotate todos los secretos de GitHub PAT y CI para cualquier repos que recibió compromisos sin revisión alrededor del 18 de mayo. Auditoría .github/workflows/ para archivos inesperados. Bloquear la IP C2. Forzar la aprobación obligatoria del revisor sobre los cambios de archivo de flujo de trabajo.

→ Profundidad: Megalodon — Cadena de ataque, COI y endurecimiento CI/CD

CVE-2026-26980: Ghost CMS SQL Injection Explotado en Escala para ClickFix Attacks

CVE-2026-26980 (CVSS 9.4) es una inyección SQL no autenticada en Ghost CMS Content API, parcheada en la versión 6.19.1 en febrero de 2026. Los atacantes comenzaron a explotarlo el 7 de mayo y el 25 de mayo se había comprometido 700 sitios web - incluyendo universidades, empresas de blockchain y empresas de investigación de seguridad. El flujo de ataque: explotar la API de contenido para extraer la tecla Admin API, luego utilizar la API de Admin para inyectar a granel un cargador de JavaScript en cada artículo. El cargador da huellas dactilares visitantes y sirve objetivos reales una página CAPTCHA falsa que activa un ataque de ClickFix que conduce a la instalación de malware.

COI: clo4shara[.]xyz (cargo C2), web-telegram[.]ug (persistencia C2). La vulnerabilidad fue descubierta originalmente por el sistema Claude Mythos AI de Anthropic.

Qué hacer: Actualizar a Ghost 6.19.1 inmediatamente. Rotar todas las teclas de API. Puestos de auditoría publicados para inyectados <script> etiquetas. Notifique a los usuarios que hayan visitado su sitio durante la ventana de compromiso.

→ Deep Dive: CVE-2026-26980 — Ghost CMS Attack Chain, IOCs, and Remediation

MiniPlasma Windows 0-Day — SYSTEM Shell on Fully-Patched Windows 11, No Patch Disponible

Researcher Chaotic Eclipse lanzó un PoC armado llamado MiniPlasma (18 de mayo) explotación de una condición racial cldflt.sys (Cloud Files Mini Filter Driver) - específicamente en el HsmOsBlockPlaceholderAccess rutina. El defecto original fue reportado a Microsoft por Google Project Zero en 2020 y supuestamente se fijó a través de CVE-2020-17103, pero el problema subyacente nunca fue remediado. La hazaña despertó fiablemente cmd.exe con Privilegios del SISTEMA en Windows 11 ejecutando la actualización del martes de May 2026 Patch. No CVE se asigna actualmente a esta variante, y no hay parche.

Qué hacer: Si los archivos Cloud / OneDrive Files On-Demand no es necesario, deshabilitar cldflt.sys: sc stop cldflt && sc config cldflt start= disabled. Monitor for SYSTEM-level process spawns from non-elevated user sessions (Event ID 4688).

→ Profundidad: MiniPlasma — cldflt.sys Condición de la raza y análisis de la escalada de SYSTEM

CVE-2026-45585 (YellowKey) — BitLocker Bypass via USB + WinRE, acceso físico

CVE-2026-45585 (CVSS 6.8), apodado YellowKey por el investigador Chaotic Eclipse, bypasses BitLocker Device Encryption utilizando sólo una unidad USB y acceso físico breve — no se requieren credenciales, instalación de software o acceso a la red. El ataque coloca archivos FsTx en una unidad USB, que autofstx.exe en los procesos de recuperación de Windows BootExecute clave del registro. Transmisión de TxF multivolumen elimina winpeshl.ini, permitiendo que el atacante desove una cáscara sin restricciones con acceso completo al volumen descifrado mediante la retención de CTRL durante la bota.

Microsoft lanzó una mitigación el 20 de mayo. Un análisis de nivel del 22 de mayo confirmó cadenas YellowKey naturalmente con MiniPlasma para una ruta completa de ataque físico-acceso a SYSTEM.

Afectado: Windows 11 (24H2, 25H2, 26H1) y Windows Server 2025. Mitigation: Retirar autofstx.exe de WinRE BootExecute; cambiar BitLocker de sólo TPM a TPM+PIN.

→ Deep Dive: CVE-2026-45585 YellowKey — BitLocker Bypass Mecánica y pasos de mitigación

DirtyDecrypt PoC (CVE-2026-31635) — Linux Kernel LPE via rxgk Missing COW Guard

CVE-2026-31635 (CVSS 7.5), denominado DirtyDecrypt, es una escalada de obstáculos locales en el núcleo de Linux. rxgk_decrypt_skb() función. Un copy-on-write guard perdido permite a un atacante escribir datos descifrados directamente a la memoria de caché de página compartida, permitiendo la modificación de archivos privilegiados (/etc/shadow, /etc/sudoers, binarios SUID) para lograr el acceso a la raíz. Un PoC público ha sido liberado por Zellic y V12 Security.

La vulnerabilidad sólo afecta a los núcleos compilados con CONFIG RXGK=y - Significado Fedora, Arch Linux y openSUSE TumbleweedLas distribuciones basadas en Ubuntu, Debian y RHEL no se ven afectadas. DirtyDecrypt es el cuarto miembro del caché de página 2026 Linux escribe familia primitiva junto a Copy Fail (CVE-2026-31431), Dirty Frag y Fragnesia.

Qué hacer: Aplicar actualizaciones del kernel. Si los parches aún no están disponibles: echo "install rxgk /bin/true" >> /etc/modprobe.d/disable-rxgk.conf && update-initramfs -u

→ Profundidad: CVE-2026-31635 Decrypt — rxgk COW Guard Bypass and Root Escalation

Inmersiones profundas

Read more