Metro Cali S.A. (MIO)
Rama Ejecutiva · Sector servicios · Empresa industrial y comercial del Estado
MIO Cali presenta riesgo crítico: tiene 13 hallazgos activos publicados, de los cuales 9 requieren atención prioritaria (4 críticos y 5 altos). Además, 1 hallazgo está pendiente de revisión antes de decidir si se publica o se descarta. La prioridad es parchar o aislar la tecnología vulnerable y confirmar el cierre con una verificación posterior. Los temas que más inciden son vulnerabilidades usadas en ataques reales, tecnología vulnerable o fuera de soporte y suplantación institucional.
Siguiente paso: asignar responsable, fecha de corrección y evidencia de cierre; si un riesgo no se corrige, aceptarlo formalmente con dueño y fecha de revisión.
Descripción técnica
Se registran 13 hallazgos activos publicados: 4 críticos, 5 altos y 4 medios. Hay 1 hallazgo pendiente de revisión que todavía no debe tratarse como publicado.
Señales técnicas principales: CISA KEV CVE-2019-0211: apache_http 2.2.15 en emp-mio (explotación activa documentada): La versión detectada apache_http 2.2.15 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2019-0211: Apache HTTP Server Privilege Escalation Vulnerability)... CISA KEV CVE-2021-41773: apache_http 2.2.15 en emp-mio (explotación activa documentada; en uso por ransomware activo): La versión detectada apache_http 2.2.15 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-41773: Apache HTTP Server Path Traversal Vulnerability) está... CISA KEV CVE-2021-42013: apache_http 2.2.15 en emp-mio (explotación activa documentada; en uso por ransomware activo): La versión detectada apache_http 2.2.15 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-42013: Apache HTTP Server Path Traversal Vulnerability) está...
Focos técnicos dominantes: vulnerabilidad con explotación activa, software fuera de soporte y autenticación de correo.
Hallazgos (13)
CISA KEV CVE-2024-38475: apache_http 2.2.15 en emp-mio (explotación activa documentada)
CriticaLa versión detectada apache_http 2.2.15 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2024-38475: Apache HTTP Server Improper Escaping of Output Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2025-05-01, dueDate gov US=2025-05-22).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
CISA KEV CVE-2021-42013: apache_http 2.2.15 en emp-mio (explotación activa documentada; en uso por ransomware activo)
CriticaLa versión detectada apache_http 2.2.15 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-42013: Apache HTTP Server Path Traversal Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2021-11-03, dueDate gov US=2021-11-17; en uso por ransomware activo).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
CISA KEV CVE-2021-41773: apache_http 2.2.15 en emp-mio (explotación activa documentada; en uso por ransomware activo)
CriticaLa versión detectada apache_http 2.2.15 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-41773: Apache HTTP Server Path Traversal Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2021-11-03, dueDate gov US=2021-11-17; en uso por ransomware activo).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
CISA KEV CVE-2019-0211: apache_http 2.2.15 en emp-mio (explotación activa documentada)
CriticaLa versión detectada apache_http 2.2.15 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2019-0211: Apache HTTP Server Privilege Escalation Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2021-11-03, dueDate gov US=2022-05-03).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
Sin registros CAA
Altadig CAA mio.com.co retorna vacio.
Cualquier autoridad certificadora publica puede emitir certificados a nombre del dominio sin restriccion. Combinado con monitoreo CT incompleto, certificados fraudulentos pueden pasar inadvertidos.
Apex mio.com.co retorna HTTP 403
AltaServidor: Apache/2.2.15 (Oracle). Title: Apache HTTP Server Test Page powered by Linux.
El dominio principal sin redireccion al www correcto degrada UX, SEO y abre superficie a typosquatting + dominio-en-transito.
SPF ausente en mio.com.co
AltaNo hay registro v=spf1 publicado.
Sin SPF, cualquier servidor del mundo puede enviar correo con remitente @mio.com.co. Spoofing trivial contra ciudadanos y proveedores.
Sin DMARC publicado
Alta_dmarc.mio.com.co no devuelve registro TXT.
Sin DMARC, cualquier atacante puede suplantar correos @mio.com.co sin restriccion. Spoofing trivial contra ciudadanos y proveedores.
MIO Cali: Servidor con version obsoleta expuesta
AltaEOL server banner is still visible for 2 host(s): mio.com.co, www.mio.com.co.
Banners de software fuera de soporte indican superficie con parches pendientes o tecnologia heredada.
DKIM no detectado en mio.com.co (selectores comunes)
MediaProbados 12 selectores comunes (default, mail, google, mailgun, etc.) — ninguno responde con v=DKIM1.
Sin DKIM, los receptores no pueden verificar criptográficamente que un correo proviene del servidor autorizado. Combinado con DMARC permisivo, deja la puerta abierta a spoofing.
Sin canal estandar de divulgacion responsable
MediaNinguno de los 2 subdominios alcanzables publica /.well-known/security.txt (RFC 9116).
Un investigador que descubra una vulnerabilidad no tiene canal estandarizado para reportar antes de publicar. Crisis va a prensa antes que a la entidad.
Cookie de sesion sin Secure y SameSite en mio.com.co
MediaChequeo pasivo 2026-07-03 observo 5dacb065145435ccef0f9bbf735268c7, 67fd7583ccf7891e08116ad143fe5066, ja_purity_ii_tpl sin Secure y SameSite en mio.com.co. El hallazgo agregado original queda en revision hasta separar alcance.
Una cookie de sesion sin Secure puede viajar por HTTP si una navegacion o redireccion no fuerza HTTPS antes de enviar la cookie.
Cookie de sesion sin Secure y SameSite en www.mio.com.co
MediaChequeo pasivo 2026-07-03 observo 5dacb065145435ccef0f9bbf735268c7, 67fd7583ccf7891e08116ad143fe5066, ja_purity_ii_tpl sin Secure y SameSite en www.mio.com.co. El hallazgo agregado original queda en revision hasta separar alcance.
Una cookie de sesion sin Secure puede viajar por HTTP si una navegacion o redireccion no fuerza HTTPS antes de enviar la cookie.
Soluciones recomendadas
Qué necesita MIO Cali
Acciones derivadas directamente de los hallazgos observados en esta entidad.
Inmediatas
Cifrado obligatorio en todos los portales
- Activar HTTPS correctamente en todos los portales y subdominios.
- Corregir certificados vencidos o mal configurados.
- Habilitar HSTS para obligar conexiones seguras.
- Revisar que no haya contenido mixto cargando por HTTP.
Firewall y protección perimetral
- Implementar o fortalecer un WAF (firewall de aplicaciones web).
- Bloquear tráfico sospechoso.
- Limitar acceso a rutas sensibles como /admin, /administrator, /api, /dev, /intranet.
- Aplicar reglas contra inyección, scraping agresivo, fuerza bruta y escaneo automatizado.
Protección contra suplantación de correo
- Configurar SPF, DKIM y DMARC.
- Llevar DMARC progresivamente a política estricta: reject.
- Monitorear reportes de suplantación.
- Bloquear dominios similares usados para phishing.
Mantenimiento técnico
Actualizar software obsoleto
- Migrar PHP 5 y PHP 7.4 a versiones soportadas.
- Actualizar Joomla, plugins, plantillas y extensiones.
- Retirar librerías JavaScript vulnerables.
- Establecer ventanas mensuales de parcheo.
Gestión de vulnerabilidades
- Escanear periódicamente dominios y subdominios.
- Clasificar hallazgos por severidad.
- Asignar responsables y fechas de cierre.
- Verificar que cada corrección haya sido aplicada.
Inventario de activos digitales
- Mantener un mapa actualizado de dominios, subdominios, servidores, APIs y proveedores.
- Identificar qué es público, interno, tercerizado o abandonado.
- Dar de baja activos huérfanos o sin dueño claro.
Control de certificados
- Publicar registros CAA para definir qué autoridades pueden emitir certificados del dominio.
- Monitorear Certificate Transparency.
- Renovar certificados automáticamente.
- Detectar certificados sospechosos o no autorizados.
Canal de divulgación responsable
- Publicar security.txt (RFC 9116).
- Definir un correo oficial para reportes de seguridad.
- Crear un procedimiento interno para recibir, validar y corregir vulnerabilidades.
Gestión de datos personales
- Revisar formularios, PQRS, trámites y APIs que procesan datos ciudadanos.
- Minimizar los datos expuestos.
- Cifrar datos sensibles en tránsito y en reposo.
- Aplicar controles de acceso y trazabilidad.
Hardening institucional
- Configuraciones seguras por defecto y plantillas web endurecidas.
- Revisión de seguridad antes de publicar nuevos portales.
- Separación clara entre producción, pruebas, desarrollo e intranet.
Cómo sostenerlo
- Política de mínimos de seguridad web. Estándar obligatorio para todos los portales (HTTPS, HSTS, DMARC, headers, backups, logs, actualizaciones, monitoreo), exigible a proveedores.
- Cláusulas de ciberseguridad en contratos. Obligar mínimos técnicos, SLA de corrección por severidad, evidencias de parcheo y derecho de auditoría.
- Monitoreo continuo. No una revisión anual: alertar ante cada nuevo subdominio, certificado, API o tecnología vulnerable, y medir la postura por entidad y proveedor.
- Modelo de remediación coordinada. Cuando un hallazgo se repite en muchas entidades, corregir la causa raíz (proveedor, plantilla o configuración común) para cerrar el riesgo en bloque.
- Indicadores para la alta dirección. Tiempo promedio de corrección, hallazgos críticos abiertos, % de entidades con DMARC y HSTS, activos expuestos sin responsable, riesgo por proveedor.
- EstadoSeguro no solo detecta vulnerabilidades; permite priorizar soluciones.
- No reemplaza a su equipo de TI: le da visibilidad, evidencia y orden.
- No es una auditoría anual: es monitoreo continuo de la superficie pública.
- No busca señalar culpables: busca cerrar brechas antes de que se conviertan en incidentes.
- Convierte el riesgo técnico en decisiones ejecutivas: qué corregir, quién responde y qué hacer primero.
Cronología de hallazgos
2026-04-30 → 2026-07-03Nuevos
14
Activos
13
Pendientes
1
Solucionados
0
Cookie de sesion sin Secure y SameSite en mio.com.co
Apareció: 2026-07-03 · Revisado: 2026-07-03
Cookie de sesion sin Secure y SameSite en www.mio.com.co
Apareció: 2026-07-03 · Revisado: 2026-07-03
MIO Cali: Servidor con version obsoleta expuesta
Apareció: 2026-06-26 · Revisado: 2026-06-26
CISA KEV CVE-2019-0211: apache_http 2.2.15 en emp-mio (explotación activa documentada)
Apareció: 2026-05-03 · Revisado: 2026-05-17
CISA KEV CVE-2021-41773: apache_http 2.2.15 en emp-mio (explotación activa documentada; en uso por ransomware activo)
Apareció: 2026-05-03 · Revisado: 2026-05-17
CISA KEV CVE-2021-42013: apache_http 2.2.15 en emp-mio (explotación activa documentada; en uso por ransomware activo)
Apareció: 2026-05-03 · Revisado: 2026-05-17
CISA KEV CVE-2024-38475: apache_http 2.2.15 en emp-mio (explotación activa documentada)
Apareció: 2026-05-03 · Revisado: 2026-05-17
Sin canal estandar de divulgacion responsable
Apareció: 2026-05-02 · Revisado: 2026-05-17
Sin registros CAA
Apareció: 2026-05-02 · Revisado: 2026-05-17
Sin DMARC publicado
Apareció: 2026-05-02 · Revisado: 2026-05-17
Apex mio.com.co retorna HTTP 403
Apareció: 2026-05-02 · Revisado: 2026-05-17
SPF ausente en mio.com.co
Apareció: 2026-04-30 · Revisado: 2026-05-17
+ 2 eventos adicionales en el API de cronología.
Revisión de hallazgos pendientes
Revisado: 2026-07-05Conservado en revisión
Hay 1 hallazgo pendiente con revisión conservadora: se mantiene fuera de publicación hasta cerrar evidencia suficiente. Esta decisión no los marca como solucionados ni como falsos positivos.
f-emp-mio-05
requiere nuevo chequeo pasivo · Headers de seguridad
Activos públicos (2)
www.mio.com.co
portal principal
Server: Apache/2.2.15 (Oracle)
Tech: Apache. Title: Apache HTTP Server Test Page powered by Linux
Observado: 2026-05-02
mio.com.co
portal principal
Server: Apache/2.2.15 (Oracle)
Tech: Apache. Title: Apache HTTP Server Test Page powered by Linux
Observado: 2026-05-02