DreamHost expiró contraseñas: ojo, cambiarla no basta

DreamHost expiró, como precaución, las contraseñas de una parte de las casillas de correo y de los usuarios FTP y SFTP de sus clientes, en medio de un incidente que empezó el viernes 23 de octubre en su gestor de archivos web y que, casi cuatro días después, seguía abierto y sin causa explicada. Si tu correo o tu acceso SFTP está en DreamHost, tu contraseña puede no entrar, y solo el titular de la cuenta puede poner una nueva. Pero cambiar la contraseña no basta: la propia DreamHost pide revisar los reenvíos de cada casilla, y la pieza donde empezó todo, un gestor de archivos web llamado Monsta FTP, también puede estar instalada en tu hosting aunque no tengas nada en DreamHost. Para quien administra el correo, el hosting o los accesos SFTP de su trabajo, de clientes o de su familia, esto es lo que pasó, lo que la empresa no dice y lo que conviene revisar hoy.

Lo urgente: cómo poner una contraseña nueva en DreamHost

Lo urgente cabe en pocas líneas. Si eres el titular de la cuenta, entra tú a panel.dreamhost.com escribiendo la dirección, sin abrir enlaces de ningún correo. Ahí pones una contraseña nueva por casilla, en «Mail > Manage Email», y una por usuario, en «Websites > SFTP Users & Files». Según DreamHost, la contraseña nueva tarda hasta 15 minutos en funcionar.

Si solo usas la casilla o el acceso SFTP, no puedes hacerlo tú: los usuarios afectados no pueden entrar hasta que el titular de la cuenta les ponga una contraseña nueva y se la pase. Y si al guardarla en el correo profesional de DreamHost te apareció el error Failed to edit, la empresa dice que ya está arreglado: vuelve a intentarlo.

Qué pasó: la instrucción de DreamHost que cambió a mitad de camino

Todo empezó el viernes 23 de octubre a las 14:20, hora de California, con un aviso menor en la página de estado de DreamHost: problemas de conexión en su gestor de archivos web, files.dreamhost.com. Tres horas después, el gestor estaba fuera de línea y la empresa empezó a restablecer, como precaución, contraseñas de correo: el webmail, Outlook, Apple Mail y el teléfono dejaban de aceptar la antigua.

Esa misma noche, a las 22:13, DreamHost sumó a los usuarios de FTP y SFTP, y pidió esperar su correo antes de cambiar nada, porque los cambios hechos antes de que terminara su restablecimiento se iban a sobrescribir. El sábado 24 a las 10:37, unas doce horas después, dio por terminado el proceso y dijo lo contrario: ya no hacía falta esperar el correo. Si cambiaste tu contraseña esa noche, puede que la hayan pisado; comprueba que la que funciona sea la tuya.

El lunes 26 a las 15:35 volvió el gestor de archivos, tras un arreglo de sus ingenieros, pero a una parte de las cuentas de correo y de FTP o SFTP todavía le faltaba la contraseña nueva, y la página de estado seguía marcando una interrupción del servicio. Lo bueno, según la ayuda de DreamHost: el correo sigue llegando a las casillas afectadas y los archivos siguen en el servidor. Lo malo: nadie puede leer ese correo hasta tener la contraseña nueva.

Lo que DreamHost no dice sobre el incidente

DreamHost dice tener más de 400.000 clientes en más de 100 países y más de 1,5 millones de sitios. ¿Cuántos están afectados? Como recogió Help Net Security, la empresa no ha dicho cuántos, ni qué causó el incidente. BleepingComputer le preguntó varias veces cuántas cuentas había detrás y si se expusieron archivos o mensajes, y al publicar no tenía respuesta; SecurityWeek también le preguntó por la causa y el número de afectados.

En ese vacío, la prensa llenó huecos. BleepingComputer escribió que DreamHost bloqueó el acceso a todos los usuarios hasta que cambiaran sus contraseñas. No es así: la empresa habla de algunas cuentas, de una parte de ellas. En Hacker News, donde el aviso llegó a 165 puntos, se nota que el alcance no está claro ni para los propios clientes: un usuario cuenta que recibió el aviso de contraseñas expiradas, pero sus casillas seguían funcionando, y otro critica que no dejar claro el alcance ni los pasos a seguir es un error que duele.

La pista de los reenvíos de correo

Pero en la ayuda de DreamHost hay una pista. Junto a los pasos para poner la contraseña nueva, la empresa pide revisar los reenvíos de cada dirección y borrar los que no reconozcas o ya no uses. Un reenvío, según su propia ayuda, manda todos los mensajes que llegan a otra dirección.

Nuestra lectura: un reenvío que no pusiste copia en silencio todo lo que te llega. Que DreamHost lo pida sin decir la causa hace que valga la pena mirar cada casilla, una por una, aunque eso no prueba que alguien haya entrado. DreamHost no ha hablado de un hackeo ni de una filtración, y aquí tampoco lo damos por hecho.

Lo medimos: qué versión de Monsta FTP corría el gestor de archivos de DreamHost

¿Y el gestor de archivos, donde empezó todo? Ese lo revisamos. La página files.dreamhost.com se llama «DreamHost File Manager» y, por dentro, es Monsta FTP: un gestor de archivos web que, según Softaculous, se conecta a tu servidor para subir, bajar y editar archivos desde el navegador.

Hoy esa página corre Monsta FTP 2.14.10, la última versión. El 6 de octubre, poco más de dos semanas antes del incidente, corría la 2.11.11, publicada el 3 de noviembre de 2025: una versión de casi un año. Entre una y otra, el 10 de octubre, Monsta publicó la 2.14.9, que en sus notas llamó actualización de seguridad importante, trece días antes de que empezara el incidente. Después vino la 2.14.10, del 20 de octubre, la que muestra hoy DreamHost.

Esas notas de versión hay que leerlas con cuidado. Según VulnCheck, una falla publicada en julio, la CVE-2026-60105, se corrigió en silencio en la 2.14.5, anotada solo como errores menores. Es una SSRF que, según su registro, permite sin iniciar sesión que el servidor pida direcciones internas y mande la respuesta a un destino controlado por el atacante, y afecta a toda versión anterior a la 2.14.5: la 2.11.11 cae en el rango. Pero DreamHost ocultaba en su pantalla la función que usa esa falla, y no sabemos si estaba desactivada por dentro. Tampoco sabemos si la actualización llegó antes del incidente o con el arreglo del lunes, ni qué corrige la 2.14.9, porque no está publicado. Es una coincidencia que se puede mostrar, no la causa: DreamHost no la ha dicho.

¿Fue la vulnerabilidad de PHP?

Hay otra sospecha dando vueltas. El 21 de octubre, PHP corrigió dos fallas críticas que permiten ejecutar código a distancia sin iniciar sesión, con las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35; lo contamos en «Vulnerabilidad PHP: actualiza hoy, WordPress no basta». Ese día, DreamHost dijo que no había visto tráfico de ataque, y el viernes 23 a las 11:26, hora de California, dio por instalado el parche en todos sus servidores. Dos horas y 54 minutos después empezó el incidente del gestor de archivos.

En Hacker News, un usuario sospecha que el gestor cayó por una de esas fallas de PHP. Es eso, una sospecha: DreamHost no relaciona los dos incidentes y no hay un dato que lo pruebe.

Monsta FTP en tu hosting: Softaculous ofrece una versión de 2022

Esa pieza, el gestor de archivos web, también puede estar en tu hosting aunque no tengas nada en DreamHost. Softaculous, un instalador de aplicaciones de un clic, ofrece hoy Monsta FTP 2.10.4, publicada el 25 de septiembre de 2022: tiene más de cuatro años. Y según watchTowr Labs, la 2.10.4 tiene las mismas fallas de SSRF y de RCE, sin corregir. RCE es la ejecución remota de código: según el registro de la falla CVE-2025-34299, con una gravedad de 9,3, las versiones 2.11 y anteriores permiten subir archivos sin iniciar sesión y, con eso, ejecutar el código que el atacante quiera.

Así queda la escalera de versiones de Monsta FTP: abajo, la 2.10.4 de 2022 que ofrece Softaculous; luego, la 2.11.11 que corría DreamHost a comienzos de octubre; más arriba, la 2.14.5, que corrige la SSRF, y la 2.14.9 de seguridad del 10 de octubre; y en lo más alto, la 2.14.10 de hoy. Según watchTowr, hay al menos 5.000 instalaciones de Monsta FTP en internet.

DreamHost en 2012 y en 2026: la causa, al día siguiente o sin explicar

No es la primera vez. En enero de 2012, según Computerworld, DreamHost restableció las contraseñas de FTP y de shell de todos sus clientes tras detectar actividad no autorizada en una de sus bases de datos, y su director ejecutivo, Simon Anderson, lo explicó al día siguiente en el blog de la empresa: uno de sus servidores de bases de datos había sido accedido ilegalmente. Entonces, cambiar las contraseñas de correo solo se recomendó, sin obligar a nadie.

Esta vez, las de correo expiraron, y casi cuatro días después de que empezara el incidente, la causa seguía sin explicar.

Qué haces tú: cambiar la contraseña de DreamHost no basta

Entonces, ¿basta con cambiar la contraseña? No. Además de la nueva, revisa tres cosas. La primera, los reenvíos de cada casilla: borra los que no reconozcas. La segunda, si esa contraseña la usabas en otro lado: DreamHost les pidió a los titulares cambiarla también ahí y, desde ahora, usar una fuerte y distinta para cada cuenta. La tercera, cada aplicación que la guarda, como Outlook, el teléfono o tu programa de FTP, porque hay que actualizarlas todas.

Avisa además a cada persona que usa una casilla o un acceso de tu cuenta, sean empleados, clientes o familia, por teléfono o por un mensaje privado, no por esa casilla, que todavía no puede leer. Y ojo con un riesgo que llega justo ahora, con tanto aviso de contraseñas dando vueltas: los correos falsos de restablecimiento. DreamHost dice que nunca te pedirá la contraseña por correo ni te hará entrar desde un enlace; si te llega uno que no pediste, ignóralo y entra tú directo al panel.

Donde se pueda, activa la verificación en dos pasos. Lo recomienda el propio canal de YouTube de DreamHost: aunque te roben la contraseña, sin ese segundo paso no pueden entrar. Y si en tu propio hosting instalaste un gestor de archivos web como este, revisa qué versión tiene; si no lo usas, desinstálalo. Con DreamHost, sigue de cerca su página de estado: el incidente seguía abierto y la causa, sin explicar.

Nuestra lectura: qué significa para ti

Un gestor de archivos web recibe en tu servidor la contraseña que escribes en el navegador. Es cómodo, pero es una pieza más que alguien tiene que mantener al día. En DreamHost fue justo el gestor de archivos lo primero que falló, aunque la empresa no ha dicho por qué. Para el trabajo diario, un programa de SFTP en tu equipo no depende de esa pieza, y si el gestor se cae, tú sigues trabajando.

Nuestro veredicto: cambiar la contraseña es el primer paso, no el último. Lo que de verdad protege tu correo y tu hosting es revisar los reenvíos, no repetir contraseñas, avisar por otro canal y preguntarte si necesitas un gestor de archivos web abierto en internet. ¿Y tú? ¿Dejarías el gestor de archivos web de tu hosting, o entras solo por SFTP?