Entre el 30 de septiembre y el 6 de octubre, cuatro productos de borde (Citrix NetScaler, Cisco Catalyst SD-WAN Manager, Fortinet FortiMail y Atlassian Data Center) recibieron parches por fallas que terminaron explotadas, todas con lugar en el catálogo KEV de CISA (la lista de vulnerabilidades con explotación confirmada).
Se suman una investigación nueva sobre los ataques a Zimbra y correcciones críticas en GitLab, MikroTik, Dell y Rejetto HFS. Lo de Microsoft va en un post aparte.
Explotadas: parchear antes que nada
Citrix NetScaler: dos boletines en una semana
El 27 de septiembre Citrix publicó el boletín CTX697096 con CVE-2026-88771 (ejecución de comandos sin autenticar, en cualquier configuración) y CVE-2026-88772 (desbordamiento de memoria con DTLS habilitado), ambas con CVSS 9.5 y explotadas. Las builds corregidas son la 14.1-73.37 y la 13.1-64.23.
Según Mandiant, los ataques empezaron a principios de septiembre: los intrusos obtuvieron root, escondieron web shells PHP (páginas que dan control remoto del servidor) y abrieron túneles hacia la red interna para robar credenciales.
El fin de semana del 3 y 4 de octubre llegó otro zero-day: CVE-2026-88779 (CVSS 8.7, boletín CTX697174), un error de memoria en equipos que usan autenticación SAML. Citrix lo describe como denegación de servicio; los investigadores todavía analizan si permite ejecutar código.
El detalle que importa: las builds del primer boletín siguen siendo vulnerables. Hay que subir a 14.1-73.41 o 13.1-64.28. CISA la sumó al KEV el 4 de octubre.
Cisco Catalyst SD-WAN Manager: admin sin credenciales
CVE-2026-76504 (CVSS 9.8), publicada el 30 de septiembre, permite a un atacante remoto sin autenticar entrar con privilegios de administrador. El origen es un manejo incorrecto de caracteres codificados en la URL de la API.
Cisco confirmó explotación en septiembre y no hay workaround. Las versiones corregidas son:
- 20.9.10.1, 20.12.8.2, 20.15.6.1 y 20.18.4.1.
- 26.1.2.1 y 26.2.1.
- Anteriores a 20.9: migrar a una rama soportada.
Fortinet FortiMail: escritura de archivos vía IBE
CVE-2026-104286 (CVSS 9.8, aviso FG-IR-26-175 del 1 de octubre) es un path traversal (salir del directorio permitido con secuencias ../) en el servicio de cifrado IBE que deja escribir archivos arbitrarios sin autenticación y termina en ejecución de comandos.
Salió sin parche para todas las ramas; desde el 5 de octubre hay 7.4.9, 7.6.7 y 8.0.2, y la 7.2 tiene que migrar a 7.4 o superior.
Si no se puede actualizar ya, la mitigación es apagar IBE o bloquear el acceso a la interfaz de webmail desde internet.
Atlassian Data Center: PoC y explotación en dos horas
El 5 de octubre Atlassian publicó CVE-2026-21589 (CVSS 9.3), que permite a un atacante sin autenticar leer archivos del directorio raíz de la aplicación, siempre que conozca el nombre y la ruta exacta. Afecta a ocho productos Data Center:
- Jira Software y Jira Service Management.
- Confluence y Bitbucket.
- Bamboo y Crowd.
- Crucible y Fisheye.
watchTowr publicó una prueba de concepto que escala a administrador de Jira en instalaciones integradas con Crowd,, y en dos horas los honeypots de Previdian ya veían intentos de explotación. CISA la agregó al KEV el 15 de octubre.
Zimbra: qué hicieron los atacantes adentro
CVE-2026-73570 se corrigió en Zimbra 10.1.20 el 20 de julio y está en el KEV desde agosto. Solo aplica con el paquete opcional zimbra-snmp y notificaciones SNMP activas.
Lo nuevo es la investigación de Microsoft Threat Intelligence del 30 de septiembre sobre servidores comprometidos:
- Web shells JSP y escalada a root.
- Robo de secretos como
zimbraPreAuthKeyyzimbraAuthTokenKey, que dan acceso aunque se cierre la puerta original. - Backups de buzones empaquetados y un intento de subirlos a Azure Blob con AzCopy.
Microsoft aclara que la evidencia no confirma que esa transferencia se haya completado. Además del parche, recomienda rotar los secretos de autenticación de Zimbra.
Críticas sin explotación confirmada
GitLab: escape del sandbox en AI Gateway
CVE-2026-90970 (CVSS 9.9) permite que un usuario autenticado con acceso a Duo Agent Platform escape del sandbox de plantillas de prompts con una configuración de flujo armada y ejecute comandos en el AI Gateway.
Solo afecta a quienes corren un AI Gateway propio (Duo Self-Hosted), que debe pasar a 19.2.4, 19.3.2 o 19.4.1.
La otra que circuló esos días, CVE-2026-85706 (CVSS 10.0, lectura de archivos sin autenticar), está explotada pero su parche y su entrada al KEV son del 11 de septiembre: GitLab CE/EE debería estar en 19.1.8, 19.2.6 o 19.3.2.
MikroTik RouterOS: un solo request y root
CISA publicó el 29 de septiembre el aviso ICSA-26-272-06 por CVE-2026-84411 (CVSS 9.8), un subdesbordamiento de enteros en el servicio web de administración que se alcanza antes de autenticar. Un request armado alcanza para ejecutar código como root o tirar el equipo.
Afecta a RouterOS anterior a 7.24 y no hay explotación reportada, aunque otra falla de RouterOS (CVE-2026-67279) está en el KEV desde el 25 de septiembre.
Dell Container Storage Modules: dos CVSS 10.0
CSM conecta los arrays de almacenamiento de Dell con Kubernetes. El aviso DSA-2026-448 del 1 de octubre corrige trece fallas propias; las más graves:
CVE-2026-63688(CVSS 10.0): un servidor gRPC sin autenticación expone las credenciales de administrador de todos los arrays registrados.CVE-2026-63692(CVSS 10.0): elevación de privilegios sin autenticación.CVE-2026-67269(CVSS 9.9): root en los nodos del clúster desde una cuenta con pocos privilegios.
La corrección es CSM 1.18.0. Dell no reporta explotación.
Rejetto HFS: la clave salía de Math.random()
HFS 3.0.0 a 3.2.0 generaba la clave que firma las cookies de sesión con Math.random(), un generador que no es criptográfico, y además filtraba sus salidas en el login. Con eso se reconstruye la clave y se falsifica una sesión de administrador y se llega a ejecutar código (CVE-2026-61500, CVSS 9.3).
La encontró Horizon3.ai con un modelo de IA de Anthropic y publicó la prueba de concepto el 30 de septiembre. Desde el 5 de octubre VulnCheck ve escaneos de reconocimiento. Corrige 3.2.1; la estable actual es 3.3.4.
En qué orden parchear
- Citrix NetScaler a 14.1-73.41 o 13.1-64.28, aunque ya se haya actualizado en septiembre, y buscar web shells.
- Cisco Catalyst SD-WAN Manager y FortiMail, revisando los indicadores de compromiso.
- Atlassian Data Center, sacándolo de internet si el parche demora.
- Zimbra 10.1.20 y GitLab CE/EE (por
CVE-2026-85706) si todavía están atrasados, rotando secretos. - MikroTik RouterOS 7.24 y Rejetto HFS 3.2.1 o superior en todo lo expuesto.
- GitLab AI Gateway propio y Dell CSM 1.18.0.
El borde sigue siendo la puerta
Casi todo lo de esta semana vive expuesto a internet por diseño, y en Citrix, Cisco y FortiMail los ataques empezaron antes de que existiera el parche.
¿Cuántos de estos equipos tienen hoy su interfaz de administración alcanzable desde afuera? Te leemos en los comentarios.
Fuentes
- BleepingComputer: Hackers exploit Citrix NetScaler zero-day to deploy web shells
- BleepingComputer: Citrix patches NetScaler SAML zero-day exploited in attacks
- Cisco: Catalyst SD-WAN Manager API Authentication Bypass
- Fortinet PSIRT: FG-IR-26-175 FortiMail path traversal
- Atlassian: CVE-2026-21589 Arbitrary File Access
- BleepingComputer: Hackers exploit critical Atlassian flaw after public PoC release
- Microsoft Security Blog: Tracking CVE-2026-73570
- GitLab: AI Gateway 19.4.1 patch release
- CISA: ICSA-26-272-06 MikroTik RouterOS
- Dell: DSA-2026-448 Container Storage Modules
- BleepingComputer: Rejetto HFS servers now actively scanned for critical RCE flaw
- CISA: Known Exploited Vulnerabilities Catalog
