Campaña automatizada busca robar claves de AWS y Azure mediante servidores de desarrollo Vite expuestos

Se ha detectado una campaña de ataques masivos que busca servidores de desarrollo de la herramienta Vite publicados en internet. El objetivo es extraer archivos sensibles y obtener credenciales de servicios en la nube como AWS y Microsoft Azure. Estos ataques aprovechan el fallo CVE-2026-39364, que permite leer archivos sin necesidad de autenticación al saltarse los controles de acceso del servidor de desarrollo.

El fallo permite a los atacantes leer archivos al eludir el mecanismo de seguridad server.fs.deny. Los delincuentes utilizan combinaciones de parámetros en las peticiones para forzar al servidor a entregar el contenido de archivos protegidos. El alcance de esta vulnerabilidad incluye las versiones de Vite 7.1.0 hasta antes de la 7.3.2, y las versiones 8.x hasta antes de la 8.0.5.

Los atacantes no buscan el código de la aplicación, sino archivos de configuración como el '.env' (donde se guardan claves de acceso) o archivos de infraestructura como 'terraform.tfstate'. Estos documentos contienen secretos y configuraciones que permiten a un atacante tomar el control total del entorno en la nube.

El riesgo es alto cuando los equipos de desarrollo dejan el servidor de desarrollo accesible desde internet, ya sea por configuraciones manuales o por errores en el uso de Docker. El puerto habitual de este servicio es el 5173, el cual se convierte en una puerta de entrada si no está protegido.

Para solucionar esto, es urgente actualizar a las versiones Vite 7.3.2, 8.0.5 o superiores. También se recomienda asegurar que el servidor de desarrollo solo sea accesible localmente (localhost) y bloquear el acceso externo al puerto 5173. Si se sospecha que un servidor estuvo expuesto, se deben cambiar de inmediato todas las claves de AWS, tokens de Azure y cualquier contraseña guardada en archivos de configuración.

Qué significa para una pyme colombiana y cucuteña: Si su equipo de desarrollo utiliza la herramienta Vite y tiene servicios en la nube (como AWS o Azure), verifique hoy mismo que no tengan el puerto 5173 abierto hacia internet. Si detecta que un servidor de desarrollo estuvo expuesto, no pierda tiempo: cambie inmediatamente todas las contraseñas, claves de acceso y tokens de sus servicios en la nube, ya que los atacantes podrían tener el control total de su infraestructura.