Una nueva clase de debilidad en el desarrollo de software
Investigadores de ciberseguridad han identificado una nueva categoría de debilidades en los flujos de trabajo de Integración Continua y Despliegue Continuo (CI/CD), denominada Cordyceps. Este patrón de vulnerabilidad crítica permite a atacantes externos secuestrar procesos de desarrollo y comprometer la cadena de suministro de software a gran escala.
El hallazgo, realizado por la firma Novee Security, revela que más de 300 repositorios de alto impacto en GitHub son plenamente explotables. Entre las organizaciones afectadas se encuentran nombres de la talla de Microsoft, Google, Apache y Cloudflare.
¿Qué es Cordyceps y cómo funciona?
En el entorno empresarial actual, el desarrollo ágil depende de los flujos CI/CD, que automatizan la integración de código. El problema central de Cordyceps radica en configuraciones débiles que otorgan privilegios excesivos a las Pull Requests (propuestas de cambios de código) provenientes de fuentes no confiables.
Según los investigadores, cualquier usuario sin autenticación especial —solo con una cuenta gratuita de GitHub— podría aprovechar estas brechas para:
- Ejecutar código malicioso en los sistemas de la empresa.
- Robar credenciales y claves de acceso (tokens).
- Escalar privilegios para tomar el control total de los repositorios.
Técnicamente, la vulnerabilidad no reside en un fallo de software específico, sino en la composición de los flujos de trabajo. Los sistemas ejecutan exactamente lo que se les ha programado, pero fallan al no auditar los datos no confiables que cruzan la frontera de seguridad del entorno de desarrollo.
Impacto en organizaciones de primer nivel
La investigación demostró casos alarmantes de explotación exitosa:
- Microsoft: Se detectó un método para ejecutar código anónimo en Azure Sentinel y robar claves de aplicaciones de GitHub no expirables.
- Google: Un atacante podría haber obtenido autoridad completa sobre un repositorio de Google Cloud mediante una solicitud de cambio maliciosa.
- Apache y Cloudflare: Se identificaron ataques de «cero clics» capaces de exfiltrar credenciales de infraestructura crítica.
Lecciones para la seguridad empresarial
El caso Cordyceps subraya un riesgo creciente: la seguridad de la cadena de suministro. Para las empresas, esto significa que no basta con proteger sus propios servidores; es vital auditar las herramientas y procesos de automatización que utilizan sus desarrolladores.
Desde la perspectiva de la normativa y las mejores prácticas, es fundamental implementar el principio de mínimo privilegio en las configuraciones de CI/CD, asegurando que ningún código externo pueda activar flujos con permisos de escritura o acceso a secretos sin una supervisión humana rigurosa.
Tanto Microsoft como Google han confirmado el impacto y, junto con otras entidades afectadas, ya han comenzado a aplicar parches y medidas de endurecimiento en sus sistemas para mitigar este riesgo sistémico.
Fuentes
- The Hacker News — Cordyceps CI/CD Flaws Expose 300+ GitHub Repositories to Supply-Chain Attacks
https://thehackernews.com/2026/06/cordyceps-cicd-flaws-expose-300-github.html