Top 25 de ciberamenazas según MITRE: vulnerabilidades que los hackers utilizan como armas

La empresa MITRE presentó una lista actualizada de las 25 vulnerabilidades de software más peligrosas, identificadas entre 31,770 CVE desde junio de 2023 hasta junio de 2024. Estas vulnerabilidades provocan fallos críticos, permitiendo a los atacantes tomar el control de los sistemas, robar datos y lanzar ataques de denegación de servicio.

Las principales debilidades en el software están relacionadas con errores en el código, la arquitectura y el diseño. MITRE destaca que estos problemas suelen ser fáciles de encontrar y explotar, lo que los convierte en una amenaza grave para los sistemas. Este año, el ranking se basó en el análisis de las vulnerabilidades incluidas en el catálogo de vulnerabilidades explotadas conocidas de CISA (KEV).

CISA añadió que prestar atención prioritaria a estos problemas ayuda a los desarrolladores a prevenir vulnerabilidades desde la etapa de creación del software. En la lista se destacan peligros como scripting entre sitios ( CWE-79 ), escritura fuera de los límites de memoria asignada ( CWE-787 ) e inyecciones SQL ( CWE-89 ).

También se subrayó la importancia de abordar problemas conocidos. Por ejemplo, las agencias de ciberseguridad que forman parte de la alianza Five Eyes el mes pasado publicaron un informe conjunto en el que indicaron que la mayoría de las vulnerabilidades explotadas con frecuencia en 2023 estaban relacionadas con ataques de tipo zero-day, cuando la vulnerabilidad era conocida pero no había sido corregida.

El informe destacó especialmente la necesidad de solucionar problemas relacionados con el uso de contraseñas predeterminadas, autenticación incorrecta y ejecución de comandos del sistema operativo. CISA recomienda encarecidamente implementar enfoques «Secure by Design» para eliminar estas vulnerabilidades desde la fase de diseño.

Además del ranking, MITRE señaló la necesidad de revisar las inversiones y estrategias en ciberseguridad. Esto permitirá no solo reducir los riesgos, sino también aumentar la resiliencia de los sistemas informáticos frente a amenazas cada vez más complejas.