Vulnerabilidad crítica en Telnet bajo explotación
Hace unos días se descubrió una vulnerabilidad crítica en la herramienta Telnet, la cual forma parte del paquete de utilidades GNU InetUtils, usualmente preinstalado en sistemas Linux. Aunque Telnet ya es considerado un protocolo obsoleto, la realidad es que sigue siendo muy utilizado a nivel mundial. Ahora que se dio a conocer esta vulnerabilidad en conjunto con una prueba de concepto para su explotación, se abre la puerta para que se comiencen a llevar ataques masivos y, posiblemente, automatizados hacia dispositivos vulnerables.
CVE-2026-24061
Esta vulnerabilidad cuenta con una calificación CVSS3.1 de 9.8, convirtiéndola en una vulnerabilidad crítica, aún presente en muchos sistemas. La vulnerabilidad se origina en la falta de sanitización de variables de entorno de usuario (USER) recibidas por el cliente (desde el servidor). Si un actor malicioso hace pasar la cadena de texto: “-f root” como variable de entorno del usuario (USER) y el argumento “-a” o “—login”, este podrá iniciar sesión de forma automática como root, sobrepasando el proceso normal de autenticación y obteniendo acceso privilegiado al sistema vulnerable, además de facilitar un posible movimiento lateral y reconocimiento del resto de la red.
A pesar del riesgo que conlleva Telnet desde hace años, ahora mayor debido a esta vulnerabilidad, el protocolo sigue presente por el uso de equipos heredados (legacy) y de Internet de las Cosas (IoT) expuestos a internet y a la prueba de concepto que se hizo pública hace unos días. La organización ShadowServer hizo de conocimiento público que aproximadamente 800,000 direcciones IP cuentan con huellas digitales que referencian versiones vulnerables de Telnet, de las cuales aproximadamente 92,000 y 170,000 provienen de Norteamérica y Sudamérica respectivamente.
Versiones Afectadas
| Productos | Versiones afectadas | Versiones corregidas |
| GNU InetUtils | Desde la versión 1.9.3 hasta la versión 2.7 | Versiones mayores a la 2.7 |
Recomendaciones
- Actualizar urgentemente GNU InetUtils a la última versión disponible.
- Deshabilitar y desinstalar el protocolo y cliente/servidor de telnet en los dispositivos donde no sea estrictamente necesario.
- Evitar exponer públicamente el puerto de telnet.
- Monitorear y auditar inicios de sesión de root, sobre todo a través de telnet.
- Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque.
- Auditar herramientas de acceso remoto (NIST CSF, 2024).
- Revisar logs para de ejecución de software de acceso remoto (NIST CSF, 2024).
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad (NIST CSF, 2024).
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque (NIST CSF, 2024).
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multifactorial.
Referencias
- Divya. (2026, Enero 26). PoC Released for GNU InetUtils telnetd RCE as 800K+ Exposed Instances Remain Online. GBHackers. Recuperado el 30 de enero de 2026, en: https://gbhackers.com/poc-released-for-gnu-inetutils-telnetd-rce/
- Gatlan, S. (2026, Enero 26). Nearly 800,000 Telnet servers exposed to remote attacks. Recuperado el 30 de enero de 2026, en: BleepingComputer. https://www.bleepingcomputer.com/news/security/nearly-800-000-telnet-servers-exposed-to-remote-attacks/
- Wright, R. (2026, Enero 27). Critical Telnet Server Flaw Exposes Forgotten Attack Surface. Dark Reading. Recuperado el 30 de enero de 2026, en: https://www.darkreading.com/ics-ot-security/critical-telnet-server-flaw-forgotten-attack-surface
