2026-10-13
Entre septiembre y octubre de 2026 se han reportado varios incidentes de acceso no autorizado en organizaciones japonesas, con filtración de información personal y otros datos. Los atacantes no se limitan a una sola vulnerabilidad, sino que escanean diversos productos en busca de fallos conocidos o explotan configuraciones defectuosas.
Se han identificado cuatro patrones de ataque: (A) escaneo de múltiples vulnerabilidades conocidas, con IPs sospechosas como 20.210.128[.]125; (B) uso indebido de APIs, con IPs como 3.112.252[.]14, 54.95.112[.]6, 69.10.51[.]162, 172.86.91[.]7, 210.149.87[.]120 y otras añadidas el 9 de octubre; (C) explotación de la vulnerabilidad de SQL‑inyección en Metabase (CVE‑2026-72898), con IPs como 213.163.202[.]171, 221.216.140[.]49 y 221.216.140[.]129; (D) instalación de webshells mediante archivos .war en servidores de aplicación accesibles desde la web, con IP 124.133.237[.]18.
JPCERT/CC recomienda: aplicar parches a productos vulnerables (incluido Metabase CVE‑2026-72898), limitar la tasa de peticiones en APIs, aplicar control de acceso en cada endpoint, revisar y eliminar servicios innecesarios expuestos a Internet, monitorear logs para las IPs listadas, aplicar autenticación multifactor y asegurarse de que no queden datos fuera de su período de retención legal.
Qué significa para una pyme colombiana y cucuteña: Si su empresa usa Metabase, verifique que esté parchada contra CVE‑2026-72898; revise que ninguna aplicación tenga archivos .war accesibles desde la web; configure un límite de peticiones en sus APIs y bloquee o monitoree las direcciones IP sospechosas publicadas en la alerta (por ejemplo, 20.210.128[.]125 y 3.112.252[.]14).