La última actualización de Metasploit, lanzada el 27 de febrero de 2026, aporta un poder significativo a los profesionales de la seguridad y a los probadores de penetración. La versión introduce siete nuevos módulos, nueve mejoras de funcionalidades y correcciones críticas de errores. Entre las incorporaciones más destacadas se encuentran exploits de ejecución remota de código (RCE) no autenticados para Ollama, BeyondTrust y dispositivos VoIP de Grandstream, junto con técnicas avanzadas de evasión para entornos Linux.

La última actualización de Metasploit, lanzada el 27 de febrero de 2026, aporta un poder significativo a profesionales de la seguridad y testers de penetración.

La versión introduce siete nuevos módulos, nueve mejoras de funcionalidades y correcciones críticas de errores.

Entre las adiciones más destacadas se incluyen exploits de ejecución remota de código (RCE) sin autenticación para Ollama, BeyondTrust y dispositivos VoIP de Grandstream, junto con técnicas avanzadas de evasión para entornos Linux.

Exploits Críticos de Ejecución Remota de Código

Esta actualización ofrece cadenas de exploits potentes que atacan vulnerabilidades de alta gravedad en infraestructuras empresariales y de inteligencia artificial.

Ollama Model Registry Path Traversal (CVE-2024-37032): Con una puntuación CVSS de 8.8, esta vulnerabilidad permite a un atacante explotar el mecanismo de descarga de Ollama mediante secuencias de traversal de rutas.

El módulo carga un registro OCI malicioso para escribir archivos de objetos compartidos en el objetivo. Al forzar a Ollama a generar un nuevo proceso, se carga la biblioteca maliciosa, lo que resulta en una RCE sin autenticación con privilegios de root.

BeyondTrust PRA y RS Command Injection (CVE-2026-1731): Esta vulnerabilidad crítica tiene una puntuación CVSS de 9.9 y permite la inyección de comandos sin autenticación en BeyondTrust Privileged Remote Access y dispositivos de soporte remoto.

La actualización también introduce una nueva biblioteca auxiliar de BeyondTrust para agilizar el desarrollo de módulos futuros.

Grandstream GXP1600 Stack Overflow (CVE-2026-2329): Dirigido a dispositivos VoIP, este fallo crítico tiene una puntuación CVSS de 9.3 y otorga a los atacantes una sesión de root.

La versión de Rapid7 incluye un módulo de exploit y dos módulos de post-explotación que aprovechan este acceso para robar credenciales y actuar como proxy del tráfico SIP para capturar paquetes.

Nombre del Módulo	CVE	Objetivo	Tipo de Módulo
Ollama Path Traversal RCE	CVE-2024-37032	Linux / IA	Exploit
BeyondTrust PRA/RS RCE	CVE-2026-1731	Dispositivos	Exploit
Grandstream GXP1600 RCE	CVE-2026-2329	Dispositivos VoIP	Exploit y Post
Linux RC4 Packer	N/A	Linux ARM64	Evasión
WSL Startup Persistence	N/A	Windows / WSL	Exploit
Windows Active Setup	N/A	Windows	Exploit

Un punto destacado es la introducción del primer módulo de evasión para Linux en arquitecturas ARM64.

El Linux RC4 Packer utiliza cifrado RC4, ejecuta binarios ELF directamente en memoria y emplea técnicas de evasión de sueño para eludir mecanismos de detección.

Además, se añadieron nuevos módulos de persistencia para Windows y el Subsistema de Windows para Linux (WSL). El módulo de WSL escribe cargas útiles en la carpeta de inicio del usuario.

Mientras tanto, el módulo de Active Setup del Registro de Windows lanza cargas útiles utilizando características nativas del sistema operativo. Sin embargo, reduce los permisos a nivel de usuario y solo se ejecuta una vez por perfil de usuario.

Mejoras Clave y Correcciones

Los módulos clásicos de vulnerabilidades recibieron mejoras significativas en su usabilidad. Los módulos de puertas traseras de Unreal IRCd y vsftpd obtuvieron métodos de verificación mejorados, cargas útiles nativas de Meterpreter y salida de diagnóstico más detallada.

El exploit de SolarWinds se optimizó para seleccionar automáticamente el valor correcto de SRVHOST, y se añadió un método de verificación al escáner MS17-010 para mejorar los metadatos de automatización.

Además, el archivo de ejecución se dividió para ofrecer un enfoque más granular en el manejo de diferentes plataformas y arquitecturas. Por último, se aplicaron correcciones de errores a los escáneres LDAP ESC y GraphQL Introspection, eliminando fallos y falsos positivos.

Fuentes:
https://cybersecuritynews.com/metasploit-adds-new-modules-targeting-linux-rc4/