Fugas de BMC de hace décadas y un RCE en TeamCity (CVE-9.8): ¿la próxima ola de intrusiones ya está aquí?

Más de 24.000 servidores expuestos a internet estarían filtrando hashes de contraseñas de autenticación mediante una vulnerabilidad de hace décadas en la interfaz de su Baseboard Management Controller (BMC). El problema, descrito como un fallo de aproximadamente 20 años, afecta a sistemas que exponen los servicios del BMC a internet público, convirtiendo puntos finales habituales de gestión remota en objetivos para la recolección de credenciales. Por separado, JetBrains está instando a los clientes de TeamCity on-premise a actualizar tras el hallazgo de una falla crítica de ejecución remota de código, CVE-2026-63077, con una calificación de 9.8 en la escala CVSS. La vulnerabilidad de TeamCity podría permitir que atacantes ejecuten comandos del sistema operativo sin iniciar sesión, y afecta a todas las versiones de TeamCity On-Premises. Estos incidentes importan a nivel geopolítico porque concentran el riesgo en la capa de infraestructura que sostiene servicios gubernamentales, contratistas de defensa y operaciones industriales críticas. La exposición del BMC es una vía clásica hacia el acceso persistente, ya que los BMC están muy cerca del control del hardware y pueden eludir muchas suposiciones de seguridad de niveles superiores. Mientras tanto, TeamCity se usa ampliamente para canalizaciones de construcción y despliegue de software, de modo que un RCE que evita la autenticación puede traducirse con rapidez en una intrusión de cadena de suministro, artefactos maliciosos y brechas posteriores en distintas organizaciones. El exploit del kernel de Linux descrito por STAR Labs añade otra dimensión: la escalada de privilegios desde un usuario local hasta root mediante una condición de carrera use-after-free en el subsistema de traffic-control sobre una compilación específica de CentOS Stream 9. En conjunto, el clúster señala un entorno de amenaza en el que los atacantes pueden encadenar acceso inicial, captura de credenciales y escalada de privilegios con mínima fricción. Las implicaciones de mercado y económicas se reflejan sobre todo en el gasto en ciberseguridad de TI empresarial, la demanda de respuesta a incidentes y la prima de riesgo aplicada a organizaciones que operan CI/CD on-premise y interfaces de gestión expuestas. Aunque no se trata de shocks de commodities, sí pueden mover el sentimiento bursátil en el margen para proveedores vinculados a la fiabilidad del software empresarial y para aseguradoras de ciberseguridad que enfrentan mayor frecuencia de reclamaciones. La CVE de TeamCity con 9.8 probablemente dispare ciclos de parcheo rápidos, interrupciones temporales en las canalizaciones de build y un mayor escrutinio por parte de equipos de cumplimiento, lo que puede afectar la productividad de corto plazo y los presupuestos de TI. Para los mercados, los “símbolos” más inmediatos no son tickers directos de los artículos, sino el riesgo operativo para pilas empresariales cercanas a la nube y on-premise, incluidas plataformas de CI/CD y flotas de servidores basadas en Linux. Si la explotación se generaliza, el impacto financiero cercano suele aparecer como mayores costos de remediación, tiempos de inactividad forzados y exposición legal y regulatoria potencial, más que como movimientos macroeconómicos inmediatos. Lo siguiente a vigilar es si los actores de amenazas empiezan a escanear masivamente endpoints de BMC expuestos y si aparecen intentos de explotación de TeamCity en la naturaleza antes de que se adopten los parches. Indicadores clave incluyen picos en el descubrimiento de servicios BMC a escala de internet, aumento de actividad de recolección de hashes de credenciales y la publicación de código de exploit o pruebas de concepto “armadas” para la CVE-2026-63077. En Linux, la monitorización debe centrarse en entornos de CentOS Stream 9 que coincidan con la compilación objetivo y en señales de intentos de escalada local a root contra el subsistema de traffic-control. Los puntos de activación prácticos son la disponibilidad de parches y la velocidad de despliegue: las versiones actualizadas de TeamCity de JetBrains y las mitigaciones para la exposición del BMC, junto con actualizaciones del kernel o cambios de configuración para el escenario de CVE-2026-53264. La escalada se vería como evidencia de explotación automatizada a gran escala o de manipulación confirmada de cadena de suministro vía canalizaciones CI/CD, mientras que la desescalada se indicaría por una adopción rápida de parches y la ausencia de reportes de compromisos posteriores.

Implicaciones Geopolíticas

• 01

  Compromise pathways that target CI/CD pipelines and hardware-adjacent management interfaces can accelerate supply-chain attacks against defense-adjacent contractors and critical services.

• 02

  Credential-harvesting from BMC leaks can enable long-dwell intrusions that later support espionage or disruption operations, raising strategic uncertainty.

• 03

  The cluster illustrates how vulnerabilities with long lifetimes can be weaponized quickly once scanning and exploit tooling mature.

Señales Clave

• —Increase in internet-wide discovery of BMC services and repeated authentication-hash harvesting patterns.
• —Public exploit code, automated scanners, or observed attempts against TeamCity endpoints tied to CVE-2026-63077.
• —Reports of CI/CD pipeline tampering or malicious build artifacts originating from compromised TeamCity instances.
• —Evidence of local-to-root attempts on CentOS Stream 9 traffic-control paths consistent with CVE-2026-53264.