BeyondTrust Remote Support y FortiOS: un 9,8 y un 6,5 con el mismo plazo
Dos vulnerabilidades explotadas con 3,3 puntos de diferencia y el mismo plazo al 19 de octubre. Qué versión mirar en cada una y por qué el puntaje no decide la urgencia.
Ian Poletti Lucero
Ciberseguridad, Ethical Hacking & Red Teaming
Especialista en ciberseguridad enfocado en procesos de Red Teaming y Hacking Ético. Con experiencia en el análisis de vulnerabilidades y la protección de entornos críticos, me dedico a desglosar herramientas y estrategias de seguridad para ayudar a usuarios y empresas a fortalecer su infraestructura digital. Fundador y editor en Capa Cero.
Artículos publicados (50)
Confluence, Jira y Bitbucket: CVE-2026-21589 lee archivos sin clave
CISA sumó CVE-2026-21589 como explotada: lectura de archivos sin autenticar en ocho productos de Atlassian autoalojados. Qué versión mirar, qué mitigación hay y qué no dice el avi…
Ahsay AhsayCBS: dos fallas explotadas en el servidor de backup
CISA sumó cuatro vulnerabilidades explotadas el 14 de octubre y dos están en AhsayCBS, el software con el que muchos proveedores de IT hacen los backups de sus clientes. Qué versi…
Ivanti Connect Secure y Windows Shell: dos explotadas con plazo al 16
CISA sumó dos vulnerabilidades explotadas el 13 de octubre con plazo de tres días. Qué son, qué versión mirar y por qué el número que importa no es 1413 sino 1.
Linksys E1700, Edimax BR-6208AC y Wavlink: 17 críticas sin parche
Diecisiete críticas en routers Linksys, Edimax, Wavlink, Netcore, TRENDnet y D-Link en tres días, sin una sola corrección publicada. Cómo saber si te toca y qué hacer cuando no ha…
ProFTPD, BIND y Struts: cinco fallas viejas al KEV
CISA sumó cinco vulnerabilidades explotadas el 8 de octubre y ninguna es de 2026. Qué son, por qué una falla de 2015 vuelve a importar y cómo saber si está en tu red.
Bricksforge y Super Forms: dos críticas sin autenticar
Dos plugins comerciales de WordPress con fallas críticas sin autenticar. Qué versión mirar, y por qué en un plugin de pago el aviso no llega por el panel.
IBM Langflow: 32 fallas nuevas en 9 días, y 6 ya explotadas
El constructor de flujos de IA de IBM sumó 32 CVE en nueve días. Cuántos son críticos, qué versión corrige y por qué su historial en el catálogo de explotadas importa.
Office 2021 y Windows Server 2012 vencen el 13 de octubre
El 13 de octubre vencen 33 cosas de Microsoft a la vez. Cuáles dejan de recibir parches de verdad, cuál no es urgente y cuál se arregla actualizando.
Citrix NetScaler: CVE-2026-88779 pide otra actualización
Novena falla de NetScaler en la misma serie. Solo tira el equipo abajo, pero se explota y es automatizable, y la versión que corrigió las otras ocho no alcanza.
GitLab AI Gateway: CVE-2026-90970 ejecuta comandos
Un usuario autenticado con acceso al agente de IA de GitLab podía salir de la plantilla y ejecutar comandos. GitLab.com ya está corregido; si lo autoalojás, te toca.
Zammad: dos fallas en cadena, CVE-2026-102489 y 102490
Dos fallas de la mesa de ayuda Zammad que se encadenan hasta root. Qué versión corrige la mitad que importa, y por qué el fabricante y quien reportó no coinciden.
Fortinet FortiMail: CVE-2026-104286 ya se está explotando
Fortinet confirma explotación en curso en su pasarela de correo y publica un paliativo: apagar la función IBE. Qué versiones corrigen y qué revisar si estuvo expuesta.
Cisco SD-WAN Manager: CVE-2026-76504 da admin sin contraseña
Un error al interpretar la codificación de la URL deja entrar a la API como administrador sin credenciales. Cisco dice que no hay paliativo: hay que actualizar.
Apple CVE-2026-86950: actualizá a iOS 26.7.1 y macOS 15.8.1
Apple parchó una falla ya usada contra personas puntuales. Probablemente no sea tu caso, y aun así conviene actualizar. Por qué, y qué cambió en los plazos del catálogo.
Entra Connect Sync deja de sincronizar el 30 de septiembre
Microsoft corta la sincronización de las versiones viejas de Entra Connect el 30 de septiembre. Qué deja de propagarse a la nube y cómo saber en qué versión estás.
Citrix NetScaler: CVE-2026-88771 y 88772 ya explotadas
Ejecución de comandos sin autenticarse en NetScaler ADC y Gateway. Si hay indicadores de compromiso, Citrix no dice parchear: dice reconstruir el equipo.
WordPress CVE-2026-87902: ya la explotan, actualizá a 7.1.2
Inclusión remota de archivos en el núcleo de WordPress, sin autenticarse. Necesita tres condiciones, y una de las tres depende de tu hosting, no de vos.
EvilTokens: el phishing a Microsoft 365 que nunca te pide la contraseña
Un phishing que no roba contraseñas, no usa páginas falsas y no lo frena el MFA. Qué es el flujo de código de dispositivo y cómo se bloquea.
Check Point Spark, F5 y Arista: cuatro fallas críticas en un solo día
Cuatro productos que existen para proteger la red entraron al catálogo de explotación activa el mismo día. Cuál te toca, qué versión corrige y qué buscar en los certificados VPN.
Zyxel GS1900: CVE-2026-7273 y 996 switches tomados desde la LAN
Una falla en el switch administrable más común de las oficinas chicas permite ejecutar comandos sin autenticarse desde la red interna. Qué firmware corrige y qué buscar.
JFrog Artifactory: CVE-2026-42018 y CVE-2026-42016 dan admin en minutos
Dos fallas encadenadas en Artifactory autoalojado entregan una cuenta de administrador en menos de cinco minutos. Qué versión corrige y qué buscar en los registros.
Cisco ISE: seis CVE que no son seis fallas, y una ya explotada
Cisco publicó seis CVE que representan clases enteras de vulnerabilidades, más una séptima explotada en ataques reales. Qué cambia para quien lee informes de vulnerabilidades.
Kernel de Linux: tres fallas explotadas y tres puntajes que no coinciden
Tres fallas del kernel de Linux entraron al catálogo de CISA el mismo día. Cuál te toca depende de si usás kTLS o reglas de ebtables, y de si reiniciaste.
GitLab CVE-2026-85706: 10.0 sin autenticar, y parchear no alcanza
Una falla de 10.0 permite leer cualquier archivo del servidor de GitLab sin autenticarse. Qué versión corrige, por qué actualizar es la mitad del trabajo y qué rotar.
Acronis Backup para cPanel y Plesk: CVE-2026-87886 ya se explota
Una escalada de privilegios en el plugin de Acronis para cPanel y Plesk permite pasar de cuenta de cliente a root. Qué versión corrige y qué preguntarle a tu proveedor.
ConnectWise ScreenConnect: CVE-2026-84869 infecta la máquina del técnico
Una falla en el cliente de ScreenConnect permite transferir y ejecutar archivos hacia la máquina del técnico sin confirmación. Qué versión corrige y qué revisar en el registro de…
Cisco Secure Email Gateway: CVE-2026-76461 da root con un correo
Una inyección SQL en el análisis de correo del gateway de Cisco termina en ejecución de comandos como root. No hay mitigación: solo actualizar. Qué buscar en mail_logs.
MikroTik RouterOS explotado: MikroTrick y el usuario ops
Seis fallas en RouterOS, dos ya explotadas. Qué versión corrige, cómo saber si tu router fue tomado y por qué la falla que abre la puerta no está en el catálogo de CISA.
Citrix NetScaler y Cisco FMC: la misma falla de autenticación, el mismo día
CISA sumó cuatro fallas el 9 de septiembre. Dos de ellas —Citrix NetScaler y Cisco Secure Firewall Management Center— comparten la misma clase: un camino alternativo que no pasa p…
N-able N-central, CVE-2026-86218: la falla crítica está en el software de tu proveedor de IT
CISA sumó cuatro fallas al catálogo el 8 de septiembre. Una es de N-central, la herramienta con la que tu proveedor administra tus máquinas, y dos son de Windows que Microsoft ya…
Magento y Adobe Commerce, CVE-2026-75650: parchear la tienda no alcanza
Un fallo de puntaje 10 en Magento y Adobe Commerce se está explotando desde el 4 de septiembre para dejar backdoors en tiendas online. Qué versión corrige, cómo comprobar si tu ti…
FalconFlank: publican un exploit contra la limpieza de macros de CrowdStrike Falcon
Un investigador publicó código de prueba que abusa de la función de Falcon que elimina macros maliciosas de Office. Qué está confirmado, qué no, cuál es la mitigación del fabrican…
Sangoma Switchvox, CVE-2026-9586: explotación confirmada con shells inversos
Horizon3 observó explotación real contra centrales Switchvox expuestas a internet y publicó los indicadores. Cómo comprobar en el registro si ya te pasó, y por qué una inyección S…
Google Chrome, CVE-2026-85046: hay exploit en circulación y el parche no se aplica hasta que reinicies
Google publicó 12 correcciones de seguridad y una de ellas ya se está explotando. Qué alcanza realmente la falla, por qué CISA le da 14 días y no tres, y por qué descargar el parc…
CVE-2026-55040 en SharePoint: CISA la da por explotada y Microsoft sigue diciendo que no
CVE-2026-55040 está en el catálogo de explotación activa desde el 18 de agosto. El aviso de Microsoft dice "Exploited: No" y no se revisó desde julio. Qué hacer y por qué conviene…
SonicWall SMA1000 y Sangoma Switchvox: siete fallas al KEV, cinco con plazo de tres días
El 2 de septiembre entraron siete vulnerabilidades al catálogo de explotación activa de CISA. Qué producto toca cada una, por qué el plazo no sigue al puntaje y qué tienen en comú…
WatchGuard Firebox: diez fallas en el mismo proceso VPN, tres críticas
WatchGuard publicó 28 avisos el 27 de agosto y diez son del proceso iked, el que atiende la VPN. Tres son críticas con 9,3 en CVSS 4.0. Qué versión te salva y por qué el anteceden…
Ransomware Aurora: usó el asistente de IA Cursor para planear 20 intrusiones
CloudSEK y Gambit Security encontraron el servidor de un afiliado de Aurora con las sesiones de Cursor a la vista. Planificó ataques contra más de 20 empresas en nueve países. Qué…
Kernel de Linux, CVE-2026-53362: la falla que usaron los agentes de OpenAI
Los agentes de OpenAI escalaron a root con un exploit público del kernel de Linux y escaparon de su contenedor. El CVE ya está en KEV. Qué versiones afecta, cómo comprobar la tuya…
Microsoft Entra ID retira el MFA por SMS
Microsoft retira el segundo factor por SMS y llamada de Entra ID. Desde el 1 de septiembre empuja a registrar llaves de acceso; en febrero bloquea.
PaperCut NG/MF explotado: ya hay versión oficial
Dos fallas encadenadas en PaperCut NG y MF se están explotando. Ya hay versiones con QA completo que reemplazan a los tres parches de emergencia de agosto.
ownCloud CVE-2023-49105 y el plazo de 3 días
Una falla de 2023 en ownCloud permite leer, cambiar o borrar cualquier archivo sin autenticarse. Entró al catálogo de CISA con tres días de plazo.
Citrix NetScaler y SQL Server, ya explotados
Seis fallas entraron al catálogo de explotación activa de CISA. Solo una es de este año: las otras cinco llevan entre 4 y 11 años publicadas.
miniOrange SAML SSO: acceso de administrador
Dos fallas en miniOrange SAML SSO dejan entrar como administrador de WordPress sin credenciales. El panel puede decir que estás al día y no estarlo.
CVE-2026-69414: Microsoft Defender sin parche
Una falla de elevación de privilegios en el motor de Microsoft Defender, con prueba de concepto pública y sin actualización disponible.
Microsoft Defender falló los escaneos sin avisar
Los escaneos de Defender abortaban por una actualización de firmas. Ya está corregido, pero comprobarlo sigue dependiendo de mirar cada equipo.
Elementor Pro: el formulario que sube un PHP
Un visitante sin cuenta puede subir un archivo PHP por un formulario de contacto y ejecutarlo. Afecta a Elementor Pro 4.2.1 y anteriores.
CVE-2026-69836: el 10.0 de Entra ID no fue explotado
Un CVSS 10.0 en el sistema de identidad de Microsoft 365, sin nada que parchear y sin explotación confirmada. Cómo verificarlo vos mismo.
Zimbra, TrueConf y MLflow: cuatro fallas ya explotadas
Zimbra, TrueConf y MLflow entraron al catálogo de explotación activa. Las cuatro fallas están en servidores propios, y dos vencen en tres días.