Exploit público para AnyDesk Linux otorga acceso root sin autenticación

La corrección llegó en junio camuflada como un simple arreglo de estabilidad, sin CVE ni aviso formal. El exploit publicado el 8 de octubre revela que cualquier host Linux sin actualizar expone control root a un atacante no autenticado.

Qué pasó

Este análisis parte de una nota de investigación de Cloud Security Alliance (CSA Labs) publicada el 11 de octubre de 2026, que a su vez se apoya principalmente en un reporte de The Hacker News.

Según esa cadena de fuentes, el equipo de seguridad V12 —usando un motor de revisión de código asistido por IA— encontró un desbordamiento de heap previo a autenticación en el manejador de paquetes de modo 5 del protocolo de sesión de AnyDesk para Linux. El mecanismo descrito: el servicio toma un largo de payload entregado por el peer remoto y le suma una cabecera de 16 bytes usando aritmética de 32 bits sin verificar desbordamiento. Un atacante que declara un largo de 0xFFFFFFF0 provoca que la suma se desborde a cero: el servicio reserva un buffer minúsculo pero sigue registrando el largo original, y las escrituras posteriores corren fuera de esa reserva.

Como en Linux el servicio de AnyDesk corre como root, un atacante que logra explotar ese desbordamiento obtiene ejecución de código con privilegios completos, sin necesidad de escalamiento posterior. El vector confirmado es una conexión TCP directa al puerto 7070, sin aprobación del usuario y sin autenticación. La nota de CSA aclara que existe una ruta teórica a través de servidores relay de AnyDesk, pero que no hay una cadena de explotación completa demostrada públicamente por esa vía; lo tratamos como no resuelto.

Línea de tiempo reportada:

• 22 de junio de 2026: V12 anuncia la falla.
• 23 de junio de 2026: AnyDesk la reconoce y publica la versión 8.0.3, con un changelog que solo menciona 'corrección de un error que podía causar un cuelgue'. Sin CVE, sin aviso formal.
• Junio–octubre de 2026: sin CVE asignado.
• 8 de octubre de 2026: V12 publica un exploit funcional en GitHub.
• 9 de octubre de 2026: sigue sin CVE; AnyDesk retira la versión 8.0.2 de su página de descargas.

El exploit publicado es, según la fuente, probabilístico: depende de que el diseño de memoria del heap ubique un objeto útil junto al buffer desbordado; si el diseño es desfavorable, el servicio simplemente cae. Los offsets del código público apuntan específicamente a la build 8.0.2, por lo que su uso confiable está limitado a esa versión sin adaptación adicional —una limitación que conviene leer como fricción, no como protección real. Windows y macOS no están afectados; el problema es específico de la build Linux.

Nota de rigor sobre el respaldo de la información: la propia nota de CSA advierte que los dos artículos secundarios que cita ([2] y [3]) en gran medida repiten el reporte original de The Hacker News ([1]), que a su vez reproduce el relato del equipo V12. No se trata de tres confirmaciones independientes, sino de una fuente primaria —el hallazgo de V12— difundida por tres medios. Mantenemos esa distinción al calificar la confianza del análisis.

Por qué importa acá

AnyDesk es una herramienta de soporte remoto ampliamente usada por mesas de ayuda, proveedores de servicios gestionados (MSP) y equipos de TI en Chile y la región, muchas veces instalada por fuera del software corporativo gestionado centralmente. Eso hace que el problema estructural que describe esta nota —parches que no se anuncian como de seguridad— sea más relevante que el bug puntual.

Evaluación (confianza media): es razonable asumir que existen hosts Linux en organizaciones chilenas corriendo versiones de AnyDesk anteriores a 8.0.3, porque el changelog de junio no generó ninguna señal en los flujos típicos de gestión de vulnerabilidades basados en CVE o boletines de proveedor. La alternativa que no podemos descartar es que la base instalada de AnyDesk Linux en Chile sea pequeña frente a las versiones Windows/macOS, mucho más comunes en entornos corporativos locales —en cuyo caso la exposición real sería baja. No tenemos datos de telemetría local que permitan afirmar una cifra, así que esto queda como hipótesis razonable, no como hecho.

Para organizaciones chilenas, el ángulo práctico tiene tres capas:

1. Gestión de parches por CVE no es suficiente. Si tu proceso de priorización depende de boletines de seguridad o puntajes CVSS, este caso habría pasado directamente bajo el radar durante más de tres meses, incluso con el fix ya disponible.
2. Deber de reporte bajo Ley 21.663. La vulnerabilidad en sí no genera una obligación de reporte. Si una entidad calificada como OIV sufre un incidente confirmado que explote esta falla, ahí sí aplicaría el deber de reportar a CSIRT Nacional/ANCI según el procedimiento vigente de la organización; no corresponde anticipar plazos específicos que esta fuente no entrega.
3. Criterios de proveedores. El caso es un argumento concreto para exigir, en la gestión de proveedores críticos, que las correcciones de seguridad en memoria vengan con CVE y aviso formal — algo relevante también bajo el enfoque de gestión de riesgos de terceros que impulsan tanto la Ley 21.663 como estándares como ISO 27001.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El servicio de AnyDesk en Linux escucha en TCP/7070 sin autenticación; el desbordamiento de heap permite ejecución de código antes de cualquier proceso de login, calzando directamente con esta técnica.
• T1210 — En redes internas planas, un atacante que ya comprometió un segmento puede usar la misma falla contra otros hosts Linux con AnyDesk expuesto, sin necesitar credenciales válidas.
• D3-ITF — Bloquear el tráfico entrante no confiable hacia TCP/7070 es la mitigación de red más directa mientras se completa el parchado en todos los hosts.

7070/tcp
AnyDesk Linux 8.0.2 y versiones anteriores

title: Posible explotacion AnyPwn - proceso hijo inesperado desde AnyDesk como root
id: a47e1c3b-6f2d-4e81-9c3a-7b5d2f814e6a
status: experimental
description: Detecta procesos hijos no habituales generados por el servicio AnyDesk corriendo como root en Linux, consistente con explotacion exitosa de AnyPwn (desbordamiento de heap en el handler de paquetes mode-5).
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-anydesk-anypwn-silent-patch-exploit-202610/
author: Vantis
date: 2026-10-11
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    ParentCommandLine|contains: 'anydesk'
  selection_root:
    User: 'root'
  filter_known:
    CommandLine|contains:
      - '/usr/bin/anydesk'
      - '--service'
  condition: selection_parent and selection_root and not filter_known
falsepositives:
  - Actualizaciones legitimas del servicio AnyDesk
  - Scripts de administracion/MSP que invocan utilidades auxiliares con privilegios
level: high
tags:
  - attack.initial_access
  - attack.t1190

<rule id="100210" level="12">
  <if_group>audit_command</if_group>
  <field name="audit.exe" negate="yes">/usr/bin/anydesk</field>
  <field name="audit.ppid.comm">anydesk</field>
  <field name="audit.uid">0</field>
  <description>Posible explotacion AnyPwn: proceso hijo inesperado desde AnyDesk ejecutando como root</description>
  <group>anydesk,anypwn,t1190,initial_access</group>
</rule>

index=linux_auditd OR index=edr_linux sourcetype="linux:audit"
| search ParentProcessName="*anydesk*" User="root"
| regex CommandLine!="(?i)(/usr/bin/anydesk|anydesk --service)"
| table _time host ParentProcessName ProcessName CommandLine User
| sort - _time

DeviceProcessEvents
| where InitiatingProcessFileName has "anydesk"
| where AccountName == "root"
| where not(ProcessCommandLine has_any ("--service", "/usr/bin/anydesk"))
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, AccountName

Fuentes

• Cloud Security Alliance (CSA Labs)AnyPwn: AnyDesk Linux Fix Described as a Crash Gains Public Exploit · 2026-10-11
• The Hacker NewsResearchers Publish Working Exploit for Pre-Auth AnyDesk Linux Flaw That Gives Root Access · 2026-10-08
• Aviatrix Threat Research CenterAnyDesk Linux Pre-Auth RCE Exploit (AnyPwn) - Critical Vulnerability Analysis · 2026-10-09
• Cyber Security NewsAnyDesk Linux Flaw Lets Remote Attackers Execute Code as Root Without Authentication · 2026-10-09

Relacionado