Si usas Tailscale para entrar a tus servidores sin exponerlos a internet, hoy te toca revisar algo. Un grupo de investigadores publicó 11 fallas en la herramienta, y la más grave permitía que un usuario con permiso limitado terminara con control total de un servidor.
Tailscale ya publicó boletines de seguridad con la corrección y una forma de protegerte mientras actualizas.
¿Qué pasó?
Tailscale es una VPN que conecta tus equipos en una red privada, y su función Tailscale SSH te deja entrar a servidores con las reglas de acceso de tu cuenta. El fin de semana del 25 de octubre de 2026, Cyberdione Labs, el grupo de la investigadora Erica Windisch, publicó un reporte llamado Tailworm con 11 hallazgos. Según BleepingComputer y SecurityWeek, las pruebas se hicieron sobre el cliente de Tailscale 1.104.2 y sobre headscale 0.29.5, una versión autoalojada del servidor de control.
El problema principal estaba en el reenvío de sockets de Unix, que son canales internos que usan los programas para hablar entre sí. Tailscale hacía ese reenvío con permisos de root, es decir, de administrador total. Así, alguien con permiso para entrar por SSH, aunque fuera a una cuenta normal, podía alcanzar sockets reservados para root, como el de Docker, y ejecutar código con control completo del equipo.
SecurityWeek explica que los detalles se publicaron antes de que existiera un parche, y que Tailscale se apresuró a preparar las correcciones. El 26 de octubre la empresa publicó cuatro boletines, del TS-2026-014 al TS-2026-017. En el más grave explica que ahora hace el reenvío a nombre del usuario que inició sesión y ya no como root.
¿Por qué te importa?
Muchos desarrolladores usan Tailscale para administrar servidores, bases de datos y entornos de prueba sin abrir puertos a internet. Esa comodidad depende de que las reglas de acceso se respeten. Con esta falla, un solo equipo comprometido dentro de tu red con permiso de SSH podía convertirse en la puerta de entrada a otros servidores.
Ni Tailscale ni el reporte mencionan ataques reales usando estas fallas. Aun así, ahora que los detalles son públicos, conviene actuar rápido. Tailscale aclaró que no recomienda apagar Tailscale SSH por completo, sino actualizar y limitar el reenvío donde no haga falta.
¿Qué puedes hacer?
- Actualiza Tailscale en tus servidores a la versión que indica el boletín oficial como corregida.
- Si todavía no puedes actualizar, Tailscale y BleepingComputer recomiendan agregar la variable
TS_SSH_DISABLE_FORWARDING=1al entorno del servicio tailscaled y reiniciarlo. Así apagas el reenvío sin quitar Tailscale SSH. - Revisa tus políticas de acceso y deja el permiso de SSH solo a las personas y equipos que de verdad lo necesitan.
- Desactiva el reenvío de puertos y sockets en las reglas donde no lo uses.
- Si usas headscale, revisa su repositorio oficial para saber cuándo llega la corrección de los hallazgos que le corresponden.
Sigue leyendo
- Railway pide rotar tus llaves tras un posible acceso indebido
- PHP2Shell ya se usa en ataques: actualiza PHP hoy mismo
Fuentes
- Tailscale: Security bulletins
- BleepingComputer: Tailscale warns of SSH flaws allowing root privilege escalation
- SecurityWeek: Tailscale Rushes Patches After Uncoordinated Disclosure of ‘Tailworm’ Flaws
Imagen de portada: foto de Brett Sayles en Pexels.