Una interrupción sin red de seguridad correctiva
El 10 de julio de 2026, los administradores de ShareFile recibieron un mensaje inusual de Progress Software: desactiven de inmediato los servidores Windows que alojan sus Storage Zone Controllers. Sin actualización disponible, sin medida alternativa, solo una orden de desconexión inmediata ante lo que el fabricante califica de «amenaza externa creíble». La página de estado de ShareFile lo confirma: los Storage Zone Controllers han dejado de estar operativos.
La contundencia de la decisión habla por sí sola sobre la gravedad percibida de la situación. Estos componentes on-premises actúan como puente entre la plataforma cloud de ShareFile y los espacios de almacenamiento corporativo —recursos compartidos de red, blobs de Azure, buckets de S3, bibliotecas de SharePoint—. Desconectarlos implica interrumpir los flujos de archivos que equipos enteros utilizan cada día para intercambiar contratos, entregables, informes regulatorios y datos sensibles del negocio.
Una cadena de vulnerabilidades que preocupa a los expertos
El incidente se enmarca en una secuencia técnica inquietante. En marzo de 2026, Progress había publicado discretamente un parche (versión 5.12.4) para corregir dos vulnerabilidades descubiertas por el laboratorio watchTowr Labs. La primera, CVE-2026-2699 (puntuación CVSS de 9,8), es una omisión de autenticación basada en una falla conocida como «ejecución tras redirección»: el servidor emite una redirección HTTP 302, pero continúa ejecutando el código subyacente, lo que permite acceder a las páginas de administración sin ningún tipo de autenticación. Encadenada con CVE-2026-2701 (CVSS 9,1), esta vulnerabilidad permite reconfigurar el repositorio de almacenamiento, alojar una webshell ASPX y obtener ejecución remota de código completa sobre la máquina objetivo.
La publicación de los detalles técnicos a principios de abril, sumada a la existencia de miles de instancias sin actualizar y accesibles públicamente, creó las condiciones para una explotación a gran escala. La alerta de julio sugiere que esas condiciones acabaron materializándose.
Lo que los equipos de datos no han mapeado
El incidente de ShareFile plantea una pregunta que las organizaciones con arquitecturas híbridas suelen evitar: ¿quién supervisa realmente la infraestructura que hace circular los datos fuera de los almacenes y las plataformas analíticas?
Los Storage Zone Controllers no aparecen en los inventarios de activos de datos convencionales. No se integran en las herramientas de catalogación ni en los sistemas de data lineage, y habitualmente no están sujetos a las mismas revisiones de seguridad que las capas analíticas formales. Sin embargo, son precisamente ellos quienes movilizan archivos a menudo más sensibles que los almacenados en el data warehouse: modelos financieros compartidos con auditores externos, entregables analíticos enviados a clientes, informes regulatorios remitidos a organismos supervisores.
Este es exactamente el patrón que explotó en 2023 el grupo Clop a través de MOVEit Transfer: una plataforma de transferencia de archivos corporativa ampliamente desplegada cuya vulneración bastó para exfiltrar datos de cientos de organizaciones en todo el mundo, sin que los equipos de datos pudieran evaluar el alcance en tiempo real.
Integrar la transferencia de archivos en la gobernanza de datos
La respuesta operativa inmediata —desconexión de los controladores, auditoría de los registros de acceso, migración a las capacidades cloud-native de ShareFile— es necesaria, pero insuficiente.
Para los equipos de datos y los CIO, el reto de fondo es integrar estos componentes de transferencia en los procesos de gobernanza: mapeo del patrimonio informacional, ciclos de gestión de parches, registro centralizado y alertas. El dato que transita por estas zonas de almacenamiento tiene el mismo valor que el que reside en sus almacenes formales, y merece el mismo nivel de vigilancia. Las arquitecturas híbridas multiplican las superficies de intercambio; la gobernanza de datos debe cubrir cada nodo, no solo los repositorios centrales. La observación vale más allá de las grandes organizaciones: en cuanto una pyme automatiza sus flujos de documentos —facturas, contratos, adjuntos—, la trazabilidad de cada intercambio debe formar parte del pliego inicial, no de las opciones.