Analistas de Mandiant han detectado la explotación activa de una vulnerabilidad crítica (CVE-2025-53690) en Sitecore. La vulnerabilidad zero-day afecta a Sitecore XM/XP, sistemas cruciales para la gestión de contenidos de grandes compañías globales.
Origen y mecanismo de la vulnerabilidad
El bug explotado se deriva de la reutilización de ASP.NET machine keys presentes en documentación oficial anterior a 2017. La raíz del zero-day se encuentra en la mala práctica de copiar claves de ejemplo para la configuración de machineKey en despliegues de Sitecore XP 9.0 y versiones de Active Directory 1.4 y previas.
Acciones de los cibercriminales
Los cibercriminales desplegaron el malware WEEPSTEEL para el reconocimiento interno, y herramientas como EARTHWORM (túnel de red), DWAGENT (RAT) y SHARPHOUND (reconocimiento AD).
Riesgos asociados
La explotación de CVE-2025-53690 expone a compromiso total de los sistemas afectando integridad, confidencialidad y disponibilidad. Permite robo de credenciales, exfiltración de archivos críticos (ej. web.config), persistencia mediante malware, creación de cuentas administrativas locales, y uso de RDP para expansión interna.
Recomendaciones de mitigación
Sitecore recomienda actualizar a las versiones más recientes, que ya generan machine keys únicas automáticamente. Cambiar inmediatamente cualquier clave estática usada por defecto. Revisar logs, buscar signos de compromiso, eliminar herramientas de persistencia y reforzar la seguridad perimetral. Limitar el acceso externo al CMS. Practicar auditorías regulares de configuración.