El catálogo de vulnerabilidades explotadas de CISA pasó a la versión 2026.10.08 con 1739 entradas, y las cinco que entraron ese día tienen algo en común que no se ve seguido: ninguna es de 2026. Dos son de 2015, una de 2016, una de 2021 y una de 2023.
El plazo que fijó el catálogo para las cinco fue el 11 de octubre —tres días después del alta—, así que ya venció. Si el inventario no se revisó, el primer paso de hoy no es parchear: es averiguar si alguno de estos componentes está corriendo en algún lado.
Qué entró al catálogo de CISA el 8 de octubre
Dos precisiones sobre esa tabla, porque los puntajes no salen todos del mismo lado.
En las dos fallas de 2015, el puntaje moderno lo puso CISA, no el fabricante ni NVD. Lo verifiqué contra la API del programa CVE de MITRE: la fuente 134c704f-9b21-4f2e-91b3-4a467353bcc0 que aparece en las fichas de NVD es CISA-ADP. NVD, por su lado, tiene en esas dos entradas su puntaje propio en la escala vieja (CVSS 2): 10,0 para ProFTPD y 7,8 para BIND. Son métricas distintas, no una corrección de la otra.
Y en Strapi los puntajes no coinciden: NVD le da 4,9 (medio) y CISA-ADP 7,2 (alto). La diferencia tiene sentido cuando se lee la descripción: la falla requiere que el atacante ya tenga acceso al panel de administración. Con ese acceso puede filtrar, según la ficha de NVD, hashes de contraseñas y tokens de recuperación de todos los usuarios. Es grave como segundo paso, no como puerta de entrada.
Hay además una contradicción dentro de la propia ficha de Strapi que conviene conocer antes de salir a actualizar: el texto dice que afecta "hasta la 4.5.5", mientras que el análisis de versiones de la misma ficha marca el rango desde la 3.2.1 hasta antes de la 4.8.0. No puedo resolver cuál manda. Lo prudente es tomar el rango más amplio y apuntar a 4.8.0 o posterior.
Por qué una falla de 2015 vuelve al catálogo en 2026
Acá está lo que explica la tanda, y no es que alguien haya descubierto algo nuevo en ProFTPD.
Ese es el mecanismo, y el catálogo lo dice con todas las letras. Las cinco entradas llevan la misma nota: la falla "puede afectar a un componente de código abierto, una biblioteca de terceros, un protocolo o una implementación propietaria que podría ser usada por distintos productos".
No es una nota de rutina. La conté en el catálogo entero.
Esa etiqueta aparece en 20 de 1739 entradas
La mediana de edad de una entrada al ingresar al catálogo, en los últimos 12 meses, es cero años: lo normal es que se sume una falla del año en curso. Que entren tres de diez años o más en la misma tanda pasó 3 veces en 145 días con altas.
Dicho de otro modo: esto no es el catálogo haciendo limpieza de archivo. Es una tanda deliberada sobre componentes viejos que siguen corriendo adentro de equipos y aplicaciones que nadie clasifica como "ProFTPD" ni como "Struts". Es el mismo problema que cuando el catálogo sumó una falla de ownCloud de 2023 con tres días de plazo: la fecha del CVE no dice nada sobre si te toca hoy.
¿A quién afectan las cinco fallas del 8 de octubre?
Por orden de probabilidad real en una PyME, no por puntaje:
ONLYOFFICE Document Server anterior a 5.6.3 es la más probable de las cinco. Es la suite de oficina autoalojada que mucha gente instaló al lado de un Nextcloud para editar documentos en el navegador, y queda corriendo en un servidor propio que se actualiza cuando alguien se acuerda. La falla es un recorrido de rutas en la subida de imágenes que termina en ejecución de código. Es el caso de software autoalojado donde el parche depende de vos, sin panel que avise.
ProFTPD 1.3.5 aparece en servidores Linux viejos que quedaron sirviendo archivos por FTP. La ficha de NVD lo marca además en Debian 7, 8 y 9, Fedora 20 a 22 y SUSE Linux Enterprise Server 15. Si hay un servidor de archivos al que nadie entra desde hace años, ahí hay que mirar.
ISC BIND y Apache Struts rara vez están instalados a mano en una PyME, pero sí pueden estar adentro de un equipo: un router Juniper, un almacenamiento NetApp o Huawei, un Solaris o HP-UX heredado. Eso no se busca en la lista de programas; se busca en el modelo y la versión de firmware del equipo, igual que en las fallas de firmware de MikroTik RouterOS.
Strapi afecta a quien tenga ese gestor de contenidos headless, y solo escala si el atacante ya entró al panel de administración.
¿Quién puede ignorar el aviso de ProFTPD y BIND?
Quien no tenga ninguno de los cinco componentes, que es la mayoría de las PyMEs: ni servidor FTP propio, ni DNS propio, ni aplicaciones Java viejas, ni ONLYOFFICE autoalojado, ni Strapi.
Quien tenga ONLYOFFICE Document Server en 5.6.3 o posterior, que es casi cualquier instalación hecha en los últimos años: la versión con el arreglo salió hace tiempo.
Quien tenga Apache Struts con la invocación dinámica de métodos desactivada. La condición está en el aviso del propio Apache: la falla aplica "cuando Dynamic Method Invocation está activada", y el fabricante recomienda desactivarla como alternativa a actualizar.
Quien tenga Strapi 4.8.0 o posterior, tomando el rango más amplio de los dos que da la ficha.
Lo que no alcanza: que el equipo "no esté expuesto a internet" en el caso de BIND. Un DNS interno que se puede tirar abajo desde la red local deja sin resolución a toda la oficina, y es el tipo de corte que paraliza sin que haya robo de nada.
¿Cómo sé si tengo ProFTPD, BIND o Struts en mi red?
El problema de esta tanda es justamente que no se resuelve mirando la lista de programas instalados. Tres caminos, del más rápido al más incómodo:
- Para ONLYOFFICE y Strapi, que son aplicaciones que alguien instaló a propósito: entrá a la interfaz y mirá la versión. Compará con 5.6.3 y con 4.8.0. Es una pantalla y cierra el tema.
- Para ProFTPD: preguntá si queda algún servidor sirviendo archivos por FTP. En un Linux,
proftpd -vresponde la versión. Si nadie sabe contestar si hay un FTP, la respuesta más probable es que sí lo hay y que no lo mira nadie. - Para BIND y Struts, que vienen adentro de otra cosa: armá la lista de equipos de red y almacenamiento con marca, modelo y versión de firmware, y consultá los avisos de cada fabricante por su cuenta. Es la parte tediosa, y es la única que sirve: el dato que necesitás no está en el equipo, está en el aviso del fabricante que lo armó.
Para saber si ya lo usaron contra tu sitio, lo que se busca es distinto en cada caso:
- En ProFTPD, archivos nuevos o modificados con fecha reciente en los directorios que sirve el FTP, sobre todo archivos ejecutables donde solo debería haber documentos. La falla permite escribir, y escribir es lo que deja rastro.
- En ONLYOFFICE, archivos inesperados en los directorios de subida del servidor de documentos.
- En BIND, caídas o reinicios del servicio sin causa clara en los registros: el síntoma de esa falla es que el proceso se muere.
- En Strapi, accesos al panel de administración que no reconozcas, porque la falla empieza después de ese acceso.
Ninguna de las cinco figura en el catálogo con uso conocido en campañas de ransomware, así que no hay indicadores publicados que buscar: esto es revisión general. Y si aparece un archivo que nadie puso, el problema deja de ser actualizar y pasa a ser restaurar desde una copia con historia.
¿Qué hago si encuentro ProFTPD 1.3.5 o ONLYOFFICE viejo?
En este orden, teniendo en cuenta que el plazo ya venció:
- Resolvé primero ONLYOFFICE, si lo tenés: pasá a 5.6.3 o posterior. Es la más probable de las cinco y termina en ejecución de código.
- Decidí qué hacer con el FTP. Si ese servidor todavía hace falta, actualizá ProFTPD más allá de la 1.3.5 con el repositorio de tu distribución. Si no hace falta —y muchas veces no hace falta—, apagarlo es mejor que actualizarlo. Un servicio que no existe no se explota.
- Para Struts, desactivá la invocación dinámica de métodos si no la usás, que es lo que recomienda el propio aviso de Apache, o pasá a 2.3.20.3, 2.3.24.3 o 2.3.28.1 según la rama. Si Struts vino adentro de una aplicación comprada, esto lo tiene que hacer el fabricante: lo tuyo es abrir el ticket y pedir la versión del componente por escrito.
- Para BIND, actualizá a 9.9.7-P2 o 9.10.2-P3 o posteriores según la rama. Si el DNS vive adentro de un router o un almacenamiento, de nuevo: ticket al fabricante.
- Anotá el resultado del inventario, aunque sea en una planilla. El trabajo caro de esta tanda no es parchear: es averiguar qué tenés. Esa lista te sirve la próxima vez, y la próxima vez va a llegar con tres días de plazo otra vez, como ya pasó con las altas de septiembre.
Y conviene hacer el inventario esta semana por un motivo de calendario: mañana, 13 de octubre, vencen el soporte de Office 2021 y de Windows Server 2012, que es la otra fecha que deja software viejo sin parches. Las dos cosas se responden con la misma lista.
Los términos que aparecen acá están explicados en el glosario, y el encuadre de qué dejar expuesto y qué no, en la guía de acceso remoto.
Una aclaración sobre lo que no pude confirmar. El sitio de ProFTPD devolvió error 503 desde este entorno, así que no pude leer sus notas de versión; los rangos de ProFTPD salen de la ficha de NVD. Tampoco pude leer el registro de cambios de ONLYOFFICE: la versión 5.6.3 sale del análisis de versiones de NVD y de la referencia que la propia ficha enlaza. El aviso de Apache sobre Struts sí lo leí, y confirma las tres versiones corregidas y la condición de la invocación dinámica.
Preguntas frecuentes sobre las cinco fallas del 8 de octubre
¿Por qué CISA agrega una falla de 2015 en 2026?
Porque el catálogo no ordena por fecha del CVE sino por explotación observada. Las cinco entradas de esta tanda llevan además una nota del propio catálogo que avisa que la falla puede estar en un componente de código abierto o una biblioteca de terceros usada por distintos productos. Eso es lo que mantiene viva una falla de 2015: el componente sigue corriendo adentro de equipos y aplicaciones que se siguen usando. Esa nota aparece en 20 de las 1739 entradas del catálogo, y 5 de esas 20 entraron el 8 de octubre.
¿El plazo del 11 de octubre me obliga a algo?
A una PyME de la región, no: el plazo del catálogo obliga formalmente a organismos federales de Estados Unidos. Lo que sirve es tomarlo como medida de urgencia, y tres días es el plazo más corto que usa el catálogo. Que ya haya vencido no cambia la acción, solo saca la excusa de esperar: el plazo se pasó el 11 de octubre, hace un día, y las entradas llevan cuatro días en el catálogo.
¿Cuál de las cinco debería mirar primero una PyME?
ONLYOFFICE Document Server, por probabilidad y no por puntaje. Es la única de las cinco que una PyME instala a propósito y deja corriendo en un servidor propio, y la falla termina en ejecución de código a través de la subida de una imagen. ProFTPD va segundo, porque suele estar en un servidor viejo que nadie mira. BIND y Struts importan si vienen adentro de un equipo de red o de una aplicación comprada.
¿Por qué Strapi tiene dos puntajes distintos?
Porque los asignaron dos organizaciones diferentes y pesaron distinto la condición previa. NVD le pone 4,9 (medio) y CISA-ADP 7,2 (alto), sobre la misma falla, que requiere que el atacante ya tenga acceso al panel de administración. Con ese acceso puede filtrar hashes de contraseñas y tokens de recuperación. La ficha además se contradice sobre las versiones afectadas: el texto dice hasta la 4.5.5 y el análisis de versiones marca hasta antes de la 4.8.0. No pude resolver cuál manda, así que lo prudente es apuntar a 4.8.0 o posterior.
Tengo un router o un almacenamiento viejo. ¿Cómo sé si trae BIND o Struts adentro?
No lo vas a ver desde el equipo, y ese es el punto de esta tanda. Lo que sirve es anotar marca, modelo y versión de firmware, y buscar los avisos de seguridad de ese fabricante para esos CVE, o abrir un ticket preguntando explícitamente si el producto incluye el componente y en qué versión. La ficha de NVD de la falla de BIND lista entre los afectados a Juniper Junos, Oracle Solaris, HP-UX, NetApp Data ONTAP y Apple OS X Server, y la de Struts a los almacenamientos Huawei OceanStor y a varias aplicaciones de Oracle. Si tenés alguno de esos, la pregunta al fabricante es concreta.