El software de comando de la NASA no tenía candado

Qué hace realmente AIT-GUI

AIT-GUI es una variante basada en navegador del AMMOS Instrument Toolkit de la NASA, un conjunto de programas creado para ayudar a los ingenieros a probar, monitorizar y comandar naves espaciales e instrumentos científicos desde tierra. Los operadores lo usan para enviar comandos reales a hardware real, desde una pestaña del navegador, llegando hasta el instrumental de vuelo y, en algunos despliegues, a la propia nave espacial a través del enlace de la estación terrena de la misión.

Ese es el detalle que merece atención: esto no es un panel que solo muestra telemetría para que alguien la lea. Es un canal de mando, una interfaz de navegador diseñada para que una persona en una estación terrena envíe una instrucción que una nave espacial o un instrumento realmente ejecuta, y en una herramienta así la pregunta de quién más puede alcanzarla necesita una respuesta real, no una suposición.

Qué faltaba en realidad

Las versiones de AIT-GUI hasta la 2.5.1 inclusive vinculaban su listener de red a 0.0.0.0, la dirección que acepta conexiones entrantes en todas las interfaces de red de una máquina, sin importar la configuración que hubiera establecido el operador. Además de ese enlace, las versiones afectadas no llevaban autenticación ni protección CSRF en las rutas que realmente cambian el estado, es decir, las que emiten comandos en lugar de solo mostrar datos.

La consecuencia se desprende directamente de ambas carencias juntas. Una página maliciosa visitada por un operador en la misma red, o una solicitud enviada por cualquier atacante capaz de alcanzar ese puerto a través de la red, podía emitir comandos directamente al hardware de la nave espacial o del instrumento conectado, sin contraseña, token ni verificación de sesión de por medio. La vulnerabilidad se identifica como GHSA-p9r8-2q67-fp86 y tiene una puntuación CVSS de 9.4 sobre 10, que refleja precisamente esa combinación de alcance en red, ausencia de autenticación y consecuencia directa sobre el hardware.

Quién más opera software con esta forma

La configuración incorrecta concreta de AIT-GUI, un listener de red vinculado a todas las interfaces junto con la ausencia de autenticación en las rutas que cambian el estado, no es un defecto exclusivo del software espacial. El mismo patrón, un listener que ignora su propia configuración y se vincula a todo, junto con rutas que cambian el estado y que nadie se ocupó de proteger, aparece en herramientas de control industrial, software de instrumentos de laboratorio y otros sistemas de estaciones terrenas construidos para un círculo pequeño y de confianza de operadores, no para un producto expuesto a internet.

Lo que hace dramático el caso de AIT-GUI no es el mecanismo, sino el objeto que hay al otro lado. La mayoría de las herramientas construidas así, las pensadas para un solo laboratorio, una sola sala de control o una sola estación terrena, asumen que la red que las rodea ya es de confianza y se saltan el trabajo de autenticación que un producto expuesto a internet nunca dejaría de incluir. NASA y JPL construyeron AIT-GUI sobre esa misma suposición y lo publicaron como código abierto, lo que hizo que la falla fuera alcanzable y revisable por cualquiera que descargara el código, pero la pregunta de fondo, cuántas otras herramientas en redes industriales y gubernamentales se vinculan igual y no comprueban quién llama a la puerta, no la responde este único parche.

Qué cambia en la versión 2.5.2

NASA y el Jet Propulsion Laboratory publicaron AIT-GUI versión 2.5.2 el 12 de agosto de 2026, cerrando los dos defectos que hacían explotable la falla: el listener ahora respeta el enlace configurado en lugar de vincularse por defecto a todas las interfaces, y las rutas que cambian el estado ya llevan autenticación y protección CSRF. La divulgación pública de la falla llegó entre el 18 y el 20 de agosto de 2026, lo que dio a los operadores una ventana para actualizar antes de que los detalles técnicos circularan ampliamente.

Actualizar AIT-GUI cierra exactamente ese agujero, pero el trabajo más difícil para cualquier operador de herramientas de estación terrena o industriales es la revisión que el parche no hace por ellos: comprobar qué más en esa red se vincula por defecto a todas las interfaces, qué más asume una red de confianza y se salta la autenticación, y qué más podría convertir una página visitada en un comando enviado a hardware real. Esa revisión, no este único parche, es la respuesta real a lo que describe el incidente de la NASA.

Leer a continuación: Un PLC alemán ya es un objetivo cibernético activo  |  El periodo de gracia de NIS2 en Alemania ha terminado