Hallazgos

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Cualquier cliente en internet puede iniciar handshake NTLM, habilitando relay attacks contra Active Directory interno y cracking offline de hashes.

Por qué importa: phpMyAdmin es la consola web de MySQL/MariaDB. Si tiene credenciales débiles o por defecto, un atacante obtiene acceso completo a la base de datos en una request. Versión específica permite match contra CVE database (CVE-2020-26935, CVE-2018-19968, etc.).

Por qué importa: Un atacante con acceso a la red podria interceptar sesiones y modificar el texto publicado de las leyes colombianas.

Por qué importa: La familia FortiGate ha tenido 5+ CVEs criticas explotadas en produccion (CVE-2022-42475, CVE-2023-27997, CVE-2024-21762, CVE-2024-23113, CVE-2024-47575). Si firmware < 7.4.5 / 7.2.10 / 7.0.16, hay riesgo activo.

Por qué importa: Codigo publico que menciona el dominio + patron tipo credencial sugiere fuga de secretos a traves de repos personales/contratistas. Validar manualmente si el secreto sigue activo o ya fue rotado.

Por qué importa: Los ambientes de pruebas suelen estar menos parchados que produccion. Publicarlos por nombre en DNS facilita ataques dirigidos.

Por qué importa: Los nombres de los sistemas internos en DNS publico permiten a un atacante con IA inventariarlos en segundos. Bruteforce trivial los descubre incluso si no estan en CT logs.

Por qué importa: Los ambientes de pruebas suelen estar menos parchados que produccion. Publicarlos por nombre en DNS facilita ataques dirigidos.

Por qué importa: Los ambientes de pruebas suelen estar menos parchados que produccion. Publicarlos por nombre en DNS facilita ataques dirigidos.

Por qué importa: Los ambientes de pruebas suelen estar menos parchados que produccion. Publicarlos por nombre en DNS facilita ataques dirigidos.

Por qué importa: Acceso al .git permite descarga del codigo fuente completo, historial de commits, credenciales eliminadas en versiones previas, archivos de configuracion. Es uno de los hallazgos mas graves: equivale a entregar el repositorio interno al publico.

Por qué importa: Acceso al .git permite descarga del codigo fuente completo, historial de commits, credenciales eliminadas en versiones previas, archivos de configuracion. Es uno de los hallazgos mas graves: equivale a entregar el repositorio interno al publico.

Por qué importa: Acceso al .git permite descarga del codigo fuente completo, historial de commits, credenciales eliminadas en versiones previas, archivos de configuracion. Es uno de los hallazgos mas graves: equivale a entregar el repositorio interno al publico.

Por qué importa: Acceso al .git permite descarga del codigo fuente completo, historial de commits, credenciales eliminadas en versiones previas, archivos de configuracion. Es uno de los hallazgos mas graves: equivale a entregar el repositorio interno al publico.

Por qué importa: Acceso al .git permite descarga del codigo fuente completo, historial de commits, credenciales eliminadas en versiones previas, archivos de configuracion. Es uno de los hallazgos mas graves: equivale a entregar el repositorio interno al publico.

Por qué importa: Un .git/config visible identifica el repositorio remoto (GitHub/GitLab privado de la entidad). Aún sin acceso al remoto, el atacante puede recuperar el TODO el árbol de archivos del .git público con git-dumper, obteniendo: código fuente completo, lógica de negocio, validaciones cliente, comentarios internos, credenciales históricas commiteadas.

Por qué importa: Un .git/config visible identifica el repositorio remoto (GitHub/GitLab privado de la entidad). Aún sin acceso al remoto, el atacante puede recuperar el TODO el árbol de archivos del .git público con git-dumper, obteniendo: código fuente completo, lógica de negocio, validaciones cliente, comentarios internos, credenciales históricas commiteadas.

Por qué importa: Entidades con tres o más vectores críticos concurrentes son el caso típico de un breach completo (no de un escalamiento parcial). Tomar acción inmediata: cerrar todos los paneles administrativos públicos, rotar credenciales detectables en bundles JS y archivos .bak, restablecer secrets de Spring Boot.

Por qué importa: Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.

Por qué importa: Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.

Por qué importa: Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.

Por qué importa: Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.

Por qué importa: Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.

Por qué importa: Idem CVE-2019-11043. PHP 7.0-7.3 vulnerable sin parche.

Por qué importa: La cuenta de administrador de base de datos expuesta facilita ataques dirigidos a la plataforma de contratacion publica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Por qué importa: Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.

Por qué importa: Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.

Por qué importa: Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.

Por qué importa: Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.

Por qué importa: Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.

Por qué importa: Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.

Por qué importa: Un investigador que descubra una vulnerabilidad no tiene canal estandarizado. La crisis va a prensa antes que a la Alcaldia.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin público + credenciales débiles/default = compromiso total de DB. Recomendación: nunca exponer phpMyAdmin a internet.

Por qué importa: phpMyAdmin es la consola web de MySQL/MariaDB. Si tiene credenciales débiles o por defecto, un atacante obtiene acceso completo a la base de datos en una request. Versión específica permite match contra CVE database (CVE-2020-26935, CVE-2018-19968, etc.).

Por qué importa: phpMyAdmin es la consola web de MySQL/MariaDB. Si tiene credenciales débiles o por defecto, un atacante obtiene acceso completo a la base de datos en una request. Versión específica permite match contra CVE database (CVE-2020-26935, CVE-2018-19968, etc.).

Por qué importa: phpMyAdmin es la consola web de MySQL/MariaDB. Si tiene credenciales débiles o por defecto, un atacante obtiene acceso completo a la base de datos en una request. Versión específica permite match contra CVE database (CVE-2020-26935, CVE-2018-19968, etc.).

Por qué importa: phpMyAdmin es la consola web de MySQL/MariaDB. Si tiene credenciales débiles o por defecto, un atacante obtiene acceso completo a la base de datos en una request. Versión específica permite match contra CVE database (CVE-2020-26935, CVE-2018-19968, etc.).

Por qué importa: Los archivos .env contienen credenciales de base de datos, API keys, tokens de servicios externos, secretos de firma. Su exposicion publica permite acceso directo a sistemas backend e impersonacion frente a APIs externas.

Por qué importa: Los archivos .env contienen credenciales de base de datos, API keys, tokens de servicios externos, secretos de firma. Su exposicion publica permite acceso directo a sistemas backend e impersonacion frente a APIs externas.

Por qué importa: Los archivos .env contienen credenciales de base de datos, API keys, tokens de servicios externos, secretos de firma. Su exposicion publica permite acceso directo a sistemas backend e impersonacion frente a APIs externas.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: El registro de novedades de vigilancia de IPS/EPS lleva al menos 18 meses sin parches oficiales del sistema operativo. Cualquier CVE de Windows post-EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Drupal en rama EOL acumula CVE criticas. CVE-2018-7600 (Drupalgeddon2), CVE-2019-6340 y otras facilitan RCE en versiones antiguas.

Por qué importa: WordPress fuera de rama 6.x acumula CVE sin parche. Plugins y temas reciben actualizaciones que no pueden aplicarse a versiones tan antiguas. Vulnerabilidad RCE acumulada.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Los ambientes de pruebas suelen estar menos parchados que produccion. Publicarlos por nombre en DNS facilita ataques dirigidos.

Por qué importa: Los ambientes de pruebas suelen estar menos parchados que produccion. Publicarlos por nombre en DNS facilita ataques dirigidos.

Por qué importa: Software fuera de soporte no recibe parches de seguridad. Cualquier vulnerabilidad descubierta despues del EOL queda sin remediar.

Por qué importa: Ministerios con SSL roto generan advertencias de seguridad en navegadores, erosionando la confianza institucional.

Por qué importa: Portales del Estado con SSL roto generan advertencias de seguridad en navegadores, erosionando la confianza institucional.

Por qué importa: Un dominio raiz de un regulador financiero que falla TLS degrada confianza, rompe clientes estrictos y puede normalizar que usuarios ignoren advertencias de seguridad.

Por qué importa: Un atacante puede enviar correos suplantando @supersalud.gov.co a IPS/EPS vigiladas, vector ya explotado en sector salud LATAM 2024-2025. Sin rua/ruf, ceguera total ante intentos de spoofing.

Por qué importa: Combinado con monitoreo CT incompleto, un atacante puede generar certificados validos para spoofing sin que la Alcaldia lo detecte automaticamente.

Por qué importa: Un atacante puede suplantar @cartagena.gov.co contra ciudadanos, proveedores y entes territoriales. Los correos van a spam pero no son rechazados.

Por qué importa: Una cadena TLS incompleta rompe clientes estrictos, degrada confianza en el portal y puede normalizar que usuarios ignoren advertencias de seguridad. El wildcard observado no es el problema por sí solo; la corrección requerida es entregar la cadena/intermedios adecuados.

Por qué importa: Cert expirado en producción indica falla de monitoreo de renovación. Usuarios reciben advertencia y abandonan; OAuth/SSO falla; integraciones automáticas se rompen.

Por qué importa: Sin SPF, cualquier servidor del mundo puede enviar correo con remitente @secretariasenado.gov.co. Spoofing trivial contra ciudadanos y proveedores.

Por qué importa: Sin SPF, cualquier servidor del mundo puede enviar correo con remitente @gov.co. Spoofing trivial contra ciudadanos y proveedores.

Por qué importa: Sin SPF, el dominio no declara que servidores estan autorizados para enviar correo en su nombre; debe alinearse con DMARC o documentarse que el dominio no envia correo.

Por qué importa: Politica none no rechaza correos no autenticados. Atacante puede suplantar @bolivar.gov.co contra ciudadanos del territorio.

Por qué importa: Una cadena TLS incompleta genera errores de confianza en clientes estrictos, rompe integraciones y puede normalizar excepciones de certificado en usuarios o sistemas automatizados.

Por qué importa: Afecta PHP 7.4.x. Explotable si el portal usa funciones Postgres con input controlado.

Por qué importa: Bibliotecas JavaScript vulnerables pueden ser explotadas para ataques XSS y robo de sesiones. Registros de propiedad inmobiliaria de todos los colombianos. Datos con implicaciones patrimoniales directas. Poblacion afectada: todos los propietarios de inmuebles.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: OS sin parche desde oct-2023 acumula CVE de kernel y servicios. Cada CVE post-EOL se vuelve permanente.

Por qué importa: Reflejar el Origin sin validar permite que cualquier sitio haga requests CORS. Sin Allow-Credentials el impacto es menor pero sigue siendo configuración débil.

Por qué importa: Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Datos de estrategia juridica del Estado en litigios con valor de billones de pesos. Poblacion afectada: Estado colombiano en litigios.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Combinar '*' con Allow-Credentials: true es técnicamente inválido por especificación pero muchos browsers/configs lo aceptan. Vector de leak de datos autenticados.

Por qué importa: Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Datos de bienes incautados al narcotrafico y crimen organizado. Informacion sensible de seguridad. Poblacion afectada: Estado y personas con bienes incautados.

Por qué importa: Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Datos financieros de millones de ahorradores colombianos incluyendo cesantias y creditos de vivienda. Poblacion afectada: ~3 millones de afiliados.

Por qué importa: Cualquier autoridad certificadora publica puede emitir certificados a nombre del dominio sin restriccion. Combinado con monitoreo CT incompleto, certificados fraudulentos pueden pasar inadvertidos.

Por qué importa: Los ambientes de pruebas suelen estar menos parchados que produccion. Publicarlos por nombre en DNS facilita ataques dirigidos.

Por qué importa: Nombrar y publicar activos de desarrollo reduce el esfuerzo de reconocimiento externo y puede revelar infraestructura que deberia estar inventariada, protegida o retirada si ya no se usa.

Por qué importa: jQuery 1.11.0 esta fuera de soporte y acumula vulnerabilidades XSS conocidas. En un portal de alertas climaticas, una dependencia vulnerable aumenta riesgo de manipulacion de contenido, robo de sesion o inyeccion de codigo a ciudadanos.

Por qué importa: Dependencias JavaScript vulnerables amplían la superficie de XSS o manipulación de DOM cuando se combinan con contenido no confiable, integraciones de terceros o plantillas heredadas.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.

Por qué importa: Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.