ProFTPD 1.3.5: vulnerabilidad crítica CVE-2015-3306 ya explotada

ProFTPD 1.3.5: vulnerabilidad crítica CVE-2015-3306 ya explotada

Qué es y a quién afectaEl fallo identificado como CVE-2015-3306 afecta al servidor FTP ProFTPD, en concreto a su módulo mod_copy en la versión 1.3.5....

Qué es y a quién afecta

El fallo identificado como CVE-2015-3306 afecta al servidor FTP ProFTPD, en concreto a su módulo mod_copy en la versión 1.3.5. Según la descripción recogida por el NIST en su base NVD, se trata de una vulnerabilidad de control de acceso inadecuado (CWE-284) que permite a un atacante remoto leer y escribir archivos arbitrarios mediante los comandos site cpfr y site cpto. CISA la describe en los mismos términos.

Armario de servidores abierto con una rendija por la que se escapa la información, metáfora del fallo de control de acceso en ProFTPD

La gravedad asignada es CVSS 3.1 de 10 (CRITICAL), con un vector que indica que puede explotarse por red, sin autenticación previa y sin interacción del usuario. En la práctica, cualquier servidor con ProFTPD 1.3.5 expuesto a internet es un objetivo directo.

El NVD también lista distribuciones que empaquetaron esa versión: Fedora 20, 21 y 22, Debian 7.0, 8.0 y 9.0, openSUSE Tumbleweed y SUSE Linux Enterprise Server 15 SP7. Si en la empresa hay servidores propios, hosting compartido o máquinas virtuales con estas bases, conviene revisarlas aunque el FTP no sea un servicio que se use a diario.

Por qué es urgente: ya se explota en ataques reales

La vulnerabilidad se publicó en el NVD el 18 de mayo de 2015, pero su inclusión en el catálogo KEV (Known Exploited Vulnerabilities) de CISA el 8 de octubre de 2026 confirma que se está explotando activamente en ataques reales. Que un fallo de hace más de una década vuelva al punto de mira suele significar que hay sistemas sin actualizar y que los atacantes lo están aprovechando.

CISA fijó a las agencias federales de EE. UU. un plazo de corrección hasta el 11 de octubre de 2026 y exige aplicar las mitigaciones siguiendo las instrucciones del fabricante, evaluar la exposición a internet de cada activo y, si no hay mitigación disponible, dejar de usar el producto. En el material consultado no consta su uso en campañas de ransomware, pero eso no reduce el riesgo: la lectura y escritura de archivos arbitrarios abre la puerta a manipular configuraciones, robar credenciales o alterar el contenido servido.

Qué hacer hoy

  • Inventariar: comprobar si algún servidor, panel de hosting o servicio gestionado ejecuta ProFTPD y en qué versión. No basta con mirar el servidor principal: revisad también entornos de staging, backups y máquinas antiguas que siguen encendidas.
  • Actualizar: aplicar la actualización o mitigación que indique el aviso oficial del fabricante de ProFTPD o el proveedor de la distribución. Si el material no detalla la versión corregida, hay que guiarse por ese aviso y no por suposiciones.
  • Buscar indicios de intrusión: revisar logs de FTP en busca de comandos site cpfr y site cpto fuera de lo habitual, archivos modificados sin explicación y accesos desde IP desconocidas.
  • Reducir exposición: si el FTP no es imprescindible, cerrar el puerto a internet y limitarlo a redes internas o VPN. Cuando el servicio ya no se use, desinstalarlo es la opción más segura.
  • Revisar el resto del stack: un servidor comprometido puede afectar a la web alojada en él. Conviene comprobar la integridad de los archivos del sitio y las credenciales almacenadas.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona y Girona que tienen webs en WordPress, PrestaShop o Joomla y, a menudo, un equipo de IT pequeño o externalizado. Ante un fallo como este, lo primero es saber qué hay expuesto: una auditoría de seguridad y un pentesting permiten detectar servicios antiguos, configuraciones débiles y vulnerabilidades abiertas antes de que alguien las aproveche.

A partir de ahí, aplicamos hardening de servidores, cerramos puertos y servicios innecesarios, mantenemos actualizados los CMS y sus extensiones, y desplegamos monitorización y respuesta a incidentes para detectar actividad anómala a tiempo. Si la web ya ha sido manipulada, nos encargamos de la reparación de webs hackeadas, la limpieza y la revisión de accesos, cumpliendo con las exigencias del RGPD y la LOPDGDD en materia de seguridad y notificación de brechas.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.