--- id: CP-181 slug: autopsia-equifax-struts lang: es title: Autopsia de Equifax 2017 description: "El fallo de Apache Struts de marzo de 2017 (CVE-2017-5638): cómo se puede tomar un servidor expuesto con un componente obsoleto y qué hace un empleado." canonical_url: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ markdown_url: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Autopsia de Equifax 2017», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-031 schema: G4 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ en: https://startbrain.io/cyberpedia/en/articles/equifax-breach-struts-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/equifax-struts-analyse/ it: https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/ sources: - "n": 1 title: Vulnérabilité dans Apache Struts publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ published: "2017-03-10" accessed: "2026-11-03" - "n": 2 title: Exploit Public-Facing Application publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1190/ accessed: "2026-11-03" - "n": 3 title: "Server Software Component: Web Shell" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1505/003/ accessed: "2026-11-03" - "n": 4 title: Exfiltration Over C2 Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1041/ accessed: "2026-11-03" - "n": 5 title: "[MaJ] Vulnérabilité dans Apache Log4j" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ published: "2021-12-10" accessed: "2026-11-03" - "n": 6 title: Mitigating Log4Shell and Other Log4j-Related Vulnerabilities publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a accessed: "2026-11-03" - "n": 7 title: Vulnerability management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management published: "2024-02-12" accessed: "2026-11-03" --- # Autopsia de Equifax 2017 Un servidor web abierto a Internet y un programa que no ha recibido su actualización: esta situación expone una red a una intrusión. Esta ficha sigue el fallo de Apache Struts CVE-2017-5638, hecho público en marzo de 2017 [1], y lo compara con un caso más reciente, Log4Shell. Una nota sobre las fuentes: la documentación de referencia de esta ficha describe el fallo, su explotación y las buenas prácticas, pero no documenta el detalle de la intrusión en Equifax (duración, volumen de datos, supervisión). Por eso esos elementos no se incluyen aquí. ## En 30 segundos - Dónde ocurre: en un servidor o una aplicación accesible desde Internet, por ejemplo un sitio web, con un componente que no está actualizado. - Qué quiere el atacante: ejecutar comandos a distancia, mantener después un acceso y sacar datos. - El reflejo: avisar sin demora al departamento de informática de cualquier comportamiento anormal de un sitio o de una herramienta de la empresa, sin intentar diagnosticarlo usted mismo. - Si ya ha ocurrido: avisar al equipo de seguridad, que decidirá si hay que aislar la aplicación afectada. ## Preguntas directas ### ¿Cuál fue el fallo de marzo de 2017? Una vulnerabilidad de Apache Struts permitía a un atacante provocar la ejecución remota de código arbitrario [1]. Estaban afectadas las versiones 2.3.x anteriores a la 2.3.32 y 2.5.x anteriores a la 2.5.10.1 [1]. Apache publicó el boletín S2-045 el 6 de marzo de 2017 para ofrecer una corrección [1]. ### ¿Hacía falta ser un experto para explotarlo? No. El CERT-FR señalaba «le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité» y recomendaba desplegar la corrección lo antes posible [1]. El fallo se explotaba activamente desde la publicación del boletín [1]. ### ¿Puede un empleado hacer algo? No instala las correcciones, pero a veces ve la primera señal: una página que responde mal, una herramienta que se comporta de otra manera. El NCSC británico parte del principio de que las actualizaciones son un control «business as usual» [7]. ### ¿Qué hacer con una aplicación vulnerable que contiene datos sensibles? El CERT-FR consideraba que había que desactivarla mientras no se aplicara la actualización: escribía que era «fortement conseillé» [1]. ## En la piel del atacante El atacante busca una puerta de entrada que ya está abierta. MITRE describe esta técnica: aprovechar una debilidad de un sistema expuesto a Internet para acceder por primera vez a una red. La debilidad puede ser un defecto de software, una anomalía pasajera o un error de configuración [2]. Las aplicaciones explotadas suelen ser sitios y servidores web [2]. En el caso del fallo de Struts, el CERT-FR habla de un «faible niveau de technicité» necesario para explotarlo [1]. Las fuentes no describen el formato exacto del ataque y esta ficha no lo inventa. A continuación, se instala. MITRE describe el web shell: un script colocado en un servidor web accesible, que sirve de pasarela hacia la red y puede ofrecer funciones de ejecución o una línea de comandos en la máquina que aloja el servidor [3]. El objetivo es un acceso duradero (táctica «Persistence» en MITRE) [3]. Por último, saca los datos. MITRE describe una exfiltración por el canal de mando y control ya establecido: los datos robados se codifican en el flujo normal de comunicación, con el mismo protocolo [4]. ## Lo que ve en la pantalla Puede que la pantalla no muestre nada anormal. Entonces conviene avisar de los pequeños detalles: lentitud inusual, página modificada, servicio que se reinicia sin motivo, alerta de una herramienta de seguridad. Estas señales no prueban nada por sí solas. El empleado no tiene que decidir: describe lo que ha visto (hora, aplicación, comportamiento) y deja que el equipo de seguridad concluya. ## Bajo el capó El mecanismo se resume en cuatro etapas, cada una respaldada por las fuentes. - El fallo: un defecto en un componente (aquí Struts) que la corrección de Apache soluciona [1]. - La entrada: la explotación de una aplicación expuesta a Internet, que permite la ejecución de código a distancia [1][2]. - La instalación: un web shell u otro acceso duradero [3]. - La salida: los datos abandonan la red por el canal de mando y control [4]. En el plano defensivo, MITRE enumera medidas contra la explotación de una aplicación expuesta. Actualizar con regularidad el software expuesto. Analizar con regularidad los sistemas expuestos y prever procedimientos de corrección rápida cuando se descubre un fallo crítico. Segmentar los servidores expuestos del resto de la red. Restringir el tráfico saliente de los servidores públicos: no impide la explotación inicial, pero al atacante le cuesta más controlar después el servidor comprometido [2]. El NCSC recuerda un punto de fondo: todos los sistemas contienen vulnerabilidades, y una gestión eficaz permite saber cuáles están presentes y dónde fallan las actualizaciones [7]. ## Autopsias ### Apache Struts, marzo de 2017 El 6 de marzo de 2017, Apache publica el boletín S2-045 [1]. El 10 de marzo de 2017, el CERT-FR difunde su alerta, que indica que el fallo se explota activamente desde la publicación [1]. La alerta se cierra el 10 de mayo de 2017 [1]. En la fecha de su alerta, cuatro días después del boletín, el CERT-FR constata por tanto la explotación activa del fallo [1]. ### Log4Shell, diciembre de 2021 El CERT-FR publica su primera alerta sobre Log4j el 10 de diciembre de 2021 [5]. La biblioteca se utiliza con mucha frecuencia en proyectos Java y por los editores de software de catálogo, el que se vende listo para usar [5]. Un atacante puede provocar la ejecución remota de código sin estar autenticado, por ejemplo mediante una página de autenticación que registra los errores [5]. Según información pública recogida en el aviso conjunto de la CISA y sus socios, la explotación de Log4Shell comenzó el 1 de diciembre de 2021 o alrededor de esa fecha, y existe código de explotación público [6]. El FBI observó intentos de explotación y análisis masivos destinados a instalar software de minería de criptomonedas y de botnets [6]. El aviso pide ante todo identificar los recursos afectados: inventariar todos los activos que utilizan la biblioteca Log4j, incluida la nube [6]. ## Fuentes 1. CERT-FR (ANSSI), «Vulnérabilité dans Apache Struts», 10 de marzo de 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Exploit Public-Facing Application». https://attack.mitre.org/techniques/T1190/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Server Software Component: Web Shell». https://attack.mitre.org/techniques/T1505/003/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Exfiltration Over C2 Channel». https://attack.mitre.org/techniques/T1041/ (consultado el 3 de noviembre de 2026) 5. CERT-FR (ANSSI), «[MaJ] Vulnérabilité dans Apache Log4j», 10 de diciembre de 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consultado el 3 de noviembre de 2026) 6. CISA, «Mitigating Log4Shell and Other Log4j-Related Vulnerabilities». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consultado el 3 de noviembre de 2026) 7. NCSC (Royaume-Uni), «Vulnerability management», 12 de febrero de 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.