ProFTPD CVE-2015-3306: acceso a archivos con mod_copy en KEV

El 8 de octubre de 2026 la CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) la CVE-2015-3306, una vulnerabilidad de ProFTPD, servidor FTP para sistemas Linux y Unix. El fallo está en el módulo mod_copy de ProFTPD 1.3.5 y permite a un atacante remoto leer y escribir archivos arbitrarios en el servidor mediante los comandos FTP SITE CPFR y SITE CPTO.

La vulnerabilidad no es nueva: se publicó el 18 de mayo de 2015 y ya en 2015 Debian, Fedora y openSUSE difundieron sus boletines de actualización. Sin embargo, el catálogo KEV recoge las vulnerabilidades de las que la CISA tiene pruebas de explotación activa. Su entrada en el catálogo es, por tanto, una señal que hay que tomarse en serio si todavía tienes servidores ProFTPD sin actualizar.

Qué ha pasado

La CISA incluyó la CVE-2015-3306 en el KEV con la descripción “ProFTPD Improper Access Control Vulnerability” y fijó el 11 de octubre de 2026 como plazo para las agencias federales estadounidenses: tres días, un margen muy corto. En el catálogo, su uso en campañas de ransomware figura como “desconocido”.

El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, de acuerdo con la directiva BOD 26-04 sobre la prioridad de las actualizaciones en función del riesgo y con los requisitos de triaje forense de la CISA. Si no hay mitigaciones disponibles, hay que dejar de usar el producto. El aviso también pide evaluar la exposición a Internet de cada sistema.

El catálogo no da detalles sobre los ataques observados, los autores ni las víctimas, y tampoco explica por qué la vulnerabilidad entra en el KEV solo ahora.

Detalles técnicos

• CVE: CVE-2015-3306, publicada el 18 de mayo de 2015. La ficha de la NVD se actualizó el 9 de octubre de 2026 y está de nuevo en análisis.
• Producto y versión afectada: ProFTPD 1.3.5, módulo mod_copy. Es la única versión indicada en la ficha de la NVD.
• Comandos implicados: SITE CPFR (copy from) y SITE CPTO (copy to), con los que el módulo copia archivos en el servidor.
• Efecto: lectura y escritura de archivos arbitrarios por parte de un atacante remoto.
• Gravedad: CVSS 3.1 10.0 (crítica), AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. El ataque se realiza por red, es de baja complejidad, no requiere privilegios ni interacción del usuario y afecta a la confidencialidad, la integridad y la disponibilidad, incluso más allá del componente vulnerable (scope changed). CVSS 2: 10.0.
• Debilidad: CWE-284 (control de acceso inadecuado).
• Código público: entre las referencias de la ficha de la NVD figuran dos exploits en Exploit-DB, varias páginas de Packet Storm (entre ellas “ProFTPd CPFR/CPTO Proof Of Concept” y “ProFTPd 1.3.5 Remote Command Execution”) y un módulo de Metasploit de Rapid7 llamado proftpd_modcopy_exec. Según sus títulos, el código público no se limita a copiar archivos, sino que llega a la ejecución de comandos.
• Boletines relacionados: la ficha de la NVD enumera los avisos de Debian (DSA-3263), Fedora y openSUSE, que distribuyeron paquetes corregidos.
• MITRE ATT&CK: la explotación de un servicio expuesto corresponde a T1190 (Exploit Public-Facing Application).

Impacto para las empresas europeas e italianas

Un servidor FTP sirve para intercambiar archivos: con esta vulnerabilidad un atacante puede leer archivos que no debería ver y escribir otros nuevos donde no debería. Según el vector CVSS no hacen falta credenciales: solo importa si el servicio es accesible. El impacto en confidencialidad, integridad y disponibilidad es alto.

Los sistemas con más riesgo son los que nadie actualiza desde hace años: servidores antiguos de intercambio de archivos, máquinas virtuales olvidadas, instalaciones compiladas a mano que nunca recibieron las actualizaciones de la distribución. Con exploits públicos disponibles desde hace más de diez años, una versión 1.3.5 todavía expuesta a Internet debe considerarse un riesgo concreto.

Para las entidades sujetas a la NIS2, el compromiso de un servidor expuesto es un incidente que hay que evaluar para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Lo mismo vale para el sector sanitario, donde los servidores de intercambio de archivos pueden tratar datos personales y clínicos.

Qué hacer ahora

1. Haz inventario: localiza todos los sistemas en los que se ejecuta ProFTPD, incluidos los internos, los expuestos a Internet y los equipos que lo incluyen.
2. Comprueba versión y módulos: la versión indicada como vulnerable es la 1.3.5. Comprueba también si el módulo mod_copy está cargado en la configuración. Si usas los paquetes de una distribución Linux, verifica el estado con el boletín de la distribución, no solo con el número de versión.
3. Actualiza: instala la versión corregida indicada por el fabricante o el paquete actualizado de tu distribución. Si todavía encuentras instalaciones de esa época, valora pasar a una versión con soporte.
4. Si no puedes actualizar, aplica las mitigaciones indicadas por el fabricante. Si no las hay, la CISA indica dejar de usar el producto.
5. Reduce la exposición: comprueba qué servidores FTP responden desde Internet y si es realmente necesario.
6. Detecta: busca en los registros del servidor FTP los comandos SITE CPFR y SITE CPTO, sobre todo desde direcciones desconocidas, y verifica la integridad de los archivos en las carpetas accesibles para el servicio. Si encuentras rastros, trata el servidor como comprometido y valora las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete y destaca las que ya explotan los atacantes, como las CVE del catálogo KEV: te ayuda a encontrar rápidamente los servidores con ProFTPD que hay que actualizar. ARX Expose comprueba los servicios que tu empresa expone en Internet, los productos reconocidos y sus vulnerabilidades conocidas. ARX Sentry recoge registros y eventos de los servidores Linux y controla la integridad de los archivos en las carpetas establecidas, para que una escritura inesperada no pase desapercibida.

Última actualización: 8 de octubre de 2026