La CISA (U.S. Cybersecurity and Infrastructure Security Agency) ha actualizado su catálogo de Known Exploited Vulnerabilities (KEV) con una vulnerabilidad crítica que impacta a Ray, un framework de computación distribuida de código abierto escrito en Python. El foco del aviso está en CVE-2025-62593, una falla que, según la evidencia citada por la agencia, ya está siendo explotada en entornos reales.
De acuerdo con la información difundida, el problema puede terminar en ejecución remota de código (RCE) iniciada desde el navegador, lo que eleva el riesgo para desarrolladores que utilizan Ray en condiciones de desarrollo o prueba y que, sin saberlo, podrían visitar un sitio malicioso.
Qué es Ray y por qué esta falla importa
Ray es un proyecto de código abierto pensado para escalar cargas de trabajo de inteligencia artificial y aprendizaje automático. Su adopción en equipos de desarrollo es amplia, y por eso una vulnerabilidad que afecte los componentes web o expuestos a navegador puede tener consecuencias inmediatas.
La particularidad de CVE-2025-62593 es que la vía de ataque se apalanca en cómo Ray maneja ciertos endpoints, junto con escenarios donde el cliente (el navegador) puede manipular información como encabezados. Esto abre la puerta a ataques basados en DNS rebinding, una técnica que puede ayudar a redirigir el flujo hacia objetivos no previstos.
Cómo funciona el ataque asociado a CVE-2025-62593
La CISA vinculó CVE-2025-62593 con un escenario capaz de disparar RCE en el navegador. En términos simples: un atacante puede lograr que el navegador víctima interactúe con Ray de una manera que permita al sistema ejecutar código arbitrario.
El vector descrito incluye DNS rebinding, que explota la diferencia entre las restricciones de seguridad del navegador y la resolución DNS a lo largo del tiempo. Cuando esto se combina con un diseño de Ray que no incorpora controles de autenticación en endpoints críticos, el resultado puede ser especialmente peligroso.
Dependencia del contexto del usuario
Este problema no se limita a cualquier situación. Los mantenedores han señalado que afecta principalmente a desarrolladores que ejecutan Ray en entornos de desarrollo y/o testing. En esos casos, un usuario podría caer en un ataque de phishing o ser conducido a un sitio malicioso mediante un anuncio comprometido.
Una vez que el navegador de la víctima interactúa con la instancia vulnerable, el atacante puede intentar ejecutar código de shell en la máquina, dependiendo del flujo exacto y del nivel de acceso disponible en el contexto del proceso que ejecuta Ray.
Impacto en redes internas: del navegador al “confundido delegado”
Además del riesgo directo en la máquina del desarrollador, los responsables también indicaron que el ataque puede extenderse a instancias de Ray adyacentes a redes, por ejemplo dentro de un entorno corporativo con sistemas accesibles desde la red privada.
La idea es que el navegador del usuario puede actuar como un intermediario que “confunde” la intención del control de acceso, permitiendo dirigir el ataque hacia servicios que, en condiciones normales, podrían no estar expuestos públicamente.
En otras palabras, incluso si Ray está desplegado dentro de la red privada, la explotación puede aprovechar el flujo del navegador para llegar a la instancia objetivo.
Revisión de severidad y referencia de la vulnerabilidad
La falla identificada como CVE-2025-62593 se describe con un nivel de severidad alto, asociado a un CVSS de 9.4. El reporte señala que el impacto se materializa a través del navegador, con soporte de navegadores como Mozilla Firefox y Apple Safari en el contexto descrito por el proyecto.
En la práctica, esto significa que los equipos que utilizan Ray en estaciones de desarrollo deben tratar el problema con prioridad, ya que el usuario que ejecuta Ray puede convertirse en el punto de entrada para el atacante.
Parche disponible: actualiza a Ray 2.52.0
La corrección ya está disponible. Los mantenedores del proyecto indicaron que el problema fue solucionado en la versión 2.52.0 del paquete de Python de Ray.
Si usas Ray en modo desarrollo o pruebas, el paso recomendado es claro: actualizar cuanto antes a 2.52.0 o una versión posterior que incluya la mitigación. Retrasar la actualización aumenta la exposición, especialmente si hay usuarios que navegan por la web con sesiones activas o acceso a recursos locales del sistema.
Señales de explotación real: lo que se sabe (y lo que no)
La CISA no compartió detalles operativos específicos sobre cómo se explota la vulnerabilidad en el mundo real. Sin embargo, existen referencias de terceros que sugieren que el riesgo era conocido por actores con capacidad de preparar ataques antes de que la información se hiciera pública.
En particular, un informe de BitSight de marzo de 2026 afirmó que los actores asociados al botnet RondoDox integraron la vulnerabilidad en su arsenal dos días antes de su divulgación pública el 26 de noviembre de 2025, citando la disponibilidad de una prueba de concepto (PoC).
Además, de acuerdo con Oligo, también se observaron ataques orientados a transformar clústeres con GPUs NVIDIA en una especie de botnet de minería de criptomonedas auto-replicante, dentro de una campaña denominada ShadowRay 2.0. En ese enfoque, las instancias comprometidas sirven para ampliar el impacto.
Qué deberían hacer los equipos antes del plazo
La CISA recomendó que las agencias del Federal Civilian Executive Branch (FCEB) apliquen las correcciones y mitigaciones necesarias a más tardar el 20 de agosto de 2026. Aunque este plazo está dirigido al sector federal de EE. UU., es una señal útil para el resto: el tiempo de respuesta importa, sobre todo cuando existe evidencia de explotación activa.
Para organizaciones y equipos de desarrollo, una hoja de ruta práctica puede incluir: revisar versiones de Ray desplegadas, actualizar a 2.52.0 o superior, y evaluar si existen endpoints de Ray accesibles desde entornos donde un usuario puede interactuar mediante navegador.
Si Ray se usa solo en entornos locales, sigue siendo relevante: un ataque puede depender del navegador del desarrollador y de cómo el sistema maneja el flujo de solicitudes. Por eso, además del parche, conviene reforzar hábitos de seguridad como evitar navegar hacia enlaces no confiables o anuncios sospechosos.
Checklist rápido para reducir el riesgo de CVE-2025-62593
- Actualiza Ray a la versión 2.52.0 (o posterior) para corregir la vulnerabilidad.
- Inventaria dónde se ejecuta Ray: local, servidores de desarrollo, entornos de prueba y despliegues internos.
- Revisa exposición de endpoints asociados a la interfaz web y accesos que puedan ser alcanzados desde navegadores.
- Vigila el contexto de phishing y malvertising: usuarios que corren Ray pueden ser objetivo.
- Evalúa mitigaciones complementarias mientras se completa la actualización, especialmente en redes internas.
Conclusión
La inclusión de CVE-2025-62593 en el catálogo KEV subraya la gravedad del problema: se trata de una vulnerabilidad que puede conducir a ejecución remota de código iniciada desde el navegador, aprovechando DNS rebinding y condiciones relacionadas con los endpoints de Ray. Dado que la CISA señala explotación activa, la actualización a Ray 2.52.0 debe considerarse prioritaria.
Si trabajas con Ray en entornos de desarrollo o pruebas, actúa ahora: parchea, revisa exposiciones y reduce la probabilidad de interacción del navegador con contenido malicioso. Con eso, bajas de forma significativa el riesgo asociado a esta falla.
Fuente: https://thehackernews.com/2026/08/cisa-flags-actively-exploited-ray-flaw.html
