Una campaña automatizada saquea servidores de desarrollo Vite expuestos para robar secretos de AWS y Azure

Una campaña automatizada está explotando servidores de desarrollo mal configurados para robar credenciales de servicios en la nube como AWS y Azure. El ataque se centra en Vite, una herramienta popular entre desarrolladores para construir aplicaciones web modernas, y aprovecha una vulnerabilidad conocida (CVE-2026-39364) que permite acceder a archivos sensibles sin necesidad de autenticación. Lo preocupante no es solo la escala del ataque —con miles de intentos detectados en las últimas semanas—, sino su enfoque: los ciberdelincuentes no buscan el código de la aplicación, sino ficheros como .env o terraform.tfstate, que suelen contener claves de acceso, tokens y configuraciones críticas para entornos cloud.

Cómo funciona el ataque y por qué es peligroso

El fallo reside en la forma en que Vite gestiona las peticiones al servidor de desarrollo. Normalmente, este tipo de servidores están diseñados para funcionar en entornos locales y no deberían estar expuestos a Internet. Sin embargo, algunos equipos los publican por error al configurar opciones como --host o al mapear puertos en Docker, dejando el puerto 5173 (el habitual de Vite) accesible desde fuera. Los atacantes envían peticiones manipuladas al endpoint @fs/, combinando parámetros como ?raw o ?import para saltarse los controles de seguridad y descargar archivos del sistema.

La campaña es altamente automatizada: los escáneres prueban rutas predefinidas, técnicas de path traversal e incluso doble codificación para burlar firewalls o proxies inversos. Según datos de telemetría, se han registrado más de 32.000 intentos en un mes, muchos desde direcciones IP asociadas a Google Cloud. El objetivo no es solo robar credenciales, sino obtener información que permita escalar el ataque, como endpoints internos o configuraciones de infraestructura, abriendo la puerta a un posible control total de los entornos cloud de la víctima.

Las versiones afectadas incluyen Vite 7.1.0 a 7.3.1 y Vite 8.x hasta 8.0.4. Aunque el problema ya está solucionado en las últimas actualizaciones (7.3.2 y 8.0.5), el riesgo persiste en servidores que no se han parcheado o que siguen expuestos por configuraciones inseguras. Además, incluso si se actualiza, si el servidor estuvo accesible antes, las credenciales robadas podrían seguir siendo válidas, lo que obliga a rotarlas de inmediato.

Qué significa para tu negocio

Si tu empresa trabaja con desarrollo web o infraestructura en la nube, esta noticia es un recordatorio de que la seguridad no es solo cosa de los equipos de TI. Un error de configuración en un servidor de desarrollo —algo que puede parecer inofensivo— puede convertirse en la puerta de entrada para un ataque que comprometa tus cuentas de AWS, Azure o cualquier otro servicio cloud. Para evitarlo, revisa si tienes servidores Vite expuestos a Internet (especialmente en el puerto 5173), actualiza a las versiones seguras y, sobre todo, asegúrate de que los secretos como claves API o tokens estén protegidos y rotados periódicamente. En el día a día, esto se traduce en: no dejar servidores de desarrollo accesibles desde fuera, usar herramientas como secret managers para gestionar credenciales y aplicar el principio de mínimo privilegio en tus entornos cloud. Un pequeño descuido puede salir caro, pero con medidas básicas de higiene digital, puedes reducir el riesgo de forma significativa.