Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración editorial de bloques de almacenamiento reutilizados entre contenedores.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según The Hacker News, Cloudflare y los investigadores informaron de que un cliente de pago podía leer datos residuales de contenedores de otros clientes alojados antes en el mismo servidor.

El problema afectaba a Cloudflare Containers y también a Cloudflare Sandboxes, que se ejecuta sobre ese servicio.

La configuración del almacenamiento compartido devolvía bloques de 64 KB al conjunto común al borrar un contenedor, pero omitía limpiarlos antes de reasignarlos a otro cliente.

En las pruebas descritas, los investigadores escribieron 4 KB y leyeron el bloque completo a bajo nivel para recuperar hasta 60 KB de datos anteriores; comunicaron restos en 18 de 24 intentos de producción.

Cloudflare restableció el borrado de bloques y después retiró discos activos y limpió cachés de imágenes, porque la primera medida no eliminaba todos los bloques ya asignados.

Cloudflare afirma que en los registros de actividad conservados solo detectó pruebas autorizadas de los investigadores y de sus ingenieros, sin indicios de uso de ese método por terceros.

Análisis de Defensops

El límite afectado era la separación de datos entre clientes que compartían infraestructura, no la posibilidad de modificar cargas en ejecución. El atacante no podía elegir de qué cliente procedía el bloque, pero esa falta de control no eliminaba el riesgo de exposición de archivos o secretos residuales. El caso ilustra por qué el ciclo de vida del almacenamiento importa tanto como el aislamiento de procesos cuando se ofrecen entornos efímeros a distintos usuarios.

La reparación tuvo dos fases por una razón operativa: dejar de reasignar bloques sin limpiar impedía nuevas exposiciones mediante el método comunicado, pero los discos y las capas ya preparadas podían conservar datos anteriores. Retirar esos recursos cerró ese remanente. La distinción es relevante al evaluar incidentes similares, porque una modificación de configuración puede detener la causa sin borrar material que ya quedó accesible.

La afirmación de ausencia de explotación adicional corresponde a la revisión de los registros que Cloudflare conservaba. La cobertura no indica cuánto tiempo existió la configuración insegura ni el periodo de retención de esos registros, de modo que no permite demostrar ausencia absoluta de acceso previo. La información tampoco atribuye a los investigadores divulgación de contenidos de terceros: describieron recuentos y comprobaciones de formato.

Prioridades de revisión

Identificar las cargas que usaron Cloudflare Containers o Sandboxes durante el periodo potencial de exposición y registrar qué tipos de datos sensibles pudieron quedar en sus discos temporales; la fuente no establece una fecha inicial del fallo.

Confirmar que los secretos de aplicaciones se entregan con el menor alcance y duración posibles; revisar los que hayan residido en discos de esos entornos y decidir su rotación según sensibilidad y exposición real.

Conservar registros propios de despliegue, uso y retirada de contenedores para poder acotar los datos tratados y la ventana de riesgo si Cloudflare publica más detalles.

Seguir el comunicado técnico de Cloudflare y documentar la remediación del proveedor; Cloudflare indicó que el fallo está corregido en el servicio y que los clientes no necesitan aplicar un parche.

Qué no se ha confirmado

No se conoce desde cuándo estuvo activa la configuración que omitía el borrado ni el alcance temporal de los registros revisados por Cloudflare.

La fuente no identifica qué clientes, fuera de las pruebas autorizadas, pudieron recibir bloques con datos residuales.

The Hacker News recoge que los investigadores mencionan Browser Run, mientras Cloudflare cita Containers y Sandboxes; la discrepancia de alcance no queda resuelta.

Fuente

The Hacker News. Fecha indicada: 2026-09-25.