Una enorme superficie de ataque involucra servidores obsoletos de Microsoft Internet Information Services (IIS). Durante los escaneos diarios de red de Shadowserver el 23 de marzo de 2026, los investigadores identificaron más de 511,000 instancias de IIS al final de su vida útil (EOL) conectadas activamente a internet. Esta exposición generalizada representa un grave riesgo de seguridad para organizaciones en todo el mundo, ya que estos servidores obsoletos ya no reciben parches de seguridad estándar.

Una superficie de ataque masiva involucra servidores obsoletos de Microsoft Internet Information Services (IIS). Durante los escaneos diarios de red de Shadowserver el 23 de marzo de 2026, los investigadores identificaron más de 511,000 instancias de IIS al final de su vida útil (EOL) conectadas activamente a internet.

Esta exposición generalizada representa un grave riesgo de seguridad para organizaciones en todo el mundo, ya que estos servidores obsoletos ya no reciben parches de seguridad estándar.

Los atacantes escanean frecuentemente internet en busca de infraestructura sin parches para explotar vulnerabilidades conocidas, desplegar malware o establecer acceso inicial a redes corporativas.

Más de 511,000 instancias de IIS al final de su vida útil

Los datos sin procesar compartidos por Shadowserver pintan un panorama preocupante sobre la higiene de la infraestructura global de internet. De las 511,000 instancias EOL expuestas, más de 227,000 han completado por completo el período de Actualizaciones de Seguridad Extendidas (ESU) de Microsoft.

Esto significa que casi la mitad de estos servidores son Fin de Soporte (EOS) y nunca recibirán correcciones de seguridad críticas, incluso si las organizaciones pagan por cobertura extendida.

Geográficamente, la exposición está fuertemente concentrada en dos regiones globales principales. China y Estados Unidos albergan actualmente el mayor número de estas instancias obsoletas de IIS.

Para ayudar a los equipos de seguridad a rastrear estas exposiciones, Shadowserver ahora etiqueta oficialmente los servidores vulnerables como 'eol-iis' y 'eos-iis' en sus informes diarios de HTTP Vulnerable.

Los administradores de red pueden acceder a estos datos de IP sin procesar, filtrados por su circunscripción de red específica, para identificar activos expuestos dentro de sus entornos.

Operar servidores web EOL y EOS aumenta significativamente la susceptibilidad de una organización a los ciberataques. Cuando el software llega al final de su ciclo de vida, el proveedor deja de monitorearlo oficialmente en busca de fallos de seguridad.

Si se descubre una nueva vulnerabilidad de día cero en una versión obsoleta de IIS, Microsoft no lanzará un parche público para solucionarla. Los actores de amenazas entienden esta dinámica y construyen activamente herramientas automatizadas para detectar y explotar estos sistemas heredados específicos.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) advierte constantemente sobre los graves riesgos asociados con dispositivos perimetrales al final de su soporte.

Los servidores web expuestos suelen servir como el punto de apoyo perfecto para operadores de ransomware y grupos de Amenazas Persistentes Avanzadas (APT).

Una vez que un atacante compromete un servidor IIS expuesto, puede moverse lateralmente dentro de la red interna, robar datos sensibles o desplegar cargas maliciosas en toda la infraestructura.

Mitigaciones

Las organizaciones deben priorizar la identificación y protección de su infraestructura expuesta a internet para prevenir la explotación inmediata.

Los equipos de seguridad deben seguir estos pasos cruciales para reducir efectivamente su superficie de ataque:

• Audita los activos de red externos para localizar cualquier servidor que ejecute versiones heredadas de Microsoft IIS.
• Revisa los informes de HTTP Vulnerable de Shadowserver para identificar IPs expuestas asociadas con tu organización.
• Actualiza los servidores EOL a versiones modernas y soportadas de Windows Server e IIS.
• Inscribe los sistemas en el programa de Actualizaciones de Seguridad Extendidas de Microsoft si una migración inmediata es técnicamente imposible.
• Aísla los sistemas heredados detrás de firewalls robustos de aplicaciones web y restringe el acceso solo a direcciones IP esenciales.