La segunda semana de octubre dejó cinco productos con explotación confirmada fuera del ecosistema Microsoft: Atlassian Data Center, SonicWall SMA1000, AhsayCBS, dos plugins de WordPress y los FortiGate con credenciales robadas. En el caso de Atlassian, los primeros intentos llegaron dos horas después de que se publicara la prueba de concepto.
A eso se suman críticos todavía sin ataques conocidos en GitLab, Citrix y Cisco, más una campaña que apunta a servidores de IA mal expuestos.
Explotados durante la semana
Atlassian: CISA confirma la explotación
CVE-2026-21589 (CVSS 9.3), el acceso a archivos sin autenticación en ocho productos Data Center que contamos en los parcheos de la semana pasada y que Previdian vio atacada en sus honeypots (servidores señuelo) a las dos horas de publicarse la prueba de concepto de watchTowr, ahora tiene confirmación oficial.
CISA la sumó a su catálogo de vulnerabilidades explotadas (KEV) el 15 de octubre. Si todavía no actualizaste Jira, Confluence o Bitbucket Data Center, es lo primero de la lista.
SonicWall SMA1000: SSRF con CVSS 10.0
CVE-2026-102255 es una falsificación de solicitudes del lado del servidor (SSRF: el atacante hace que el equipo emita pedidos en su nombre, incluso hacia la red interna) en el portal WorkPlace, sin autenticación previa. SonicWall la publicó el 7 de octubre con puntaje 10.0 y sin evidencia de explotación.
Al día siguiente, Defused y Previdian ya registraban intentos de explotación. Afecta a los modelos 6210, 7210 y 8200v; las versiones corregidas son 12.4.3-03670 y 12.5.0-03082. Al 16 de octubre no figuraba en el KEV.
AhsayCBS: la versión «corregida» también es vulnerable
Huntress detectó el 7 de octubre ataques contra al menos cinco organizaciones que usan AhsayCBS, una plataforma de backup muy usada por proveedores de servicios gestionados. Los atacantes encadenan CVE-2026-105133 (bypass de autenticación) con CVE-2026-105134 (inyección de comandos) para instalar webshells JSP y un minero XMRig disfrazado de Microsoft Edge.
Ambas figuraban como corregidas en la 10.3.2, pero Huntress comprobó que la 10.3.4, la última disponible, sigue siendo vulnerable. CISA las agregó al KEV el 14 de octubre.
WordPress: Ninja Forms y WPC Product Bundles
Patchstack reportó una campaña que aprovecha dos XSS almacenados (código JavaScript que queda guardado y se ejecuta cuando alguien abre esa página): CVE-2026-94504 en Ninja Forms y CVE-2026-93836 en WPC Product Bundles for WooCommerce.
El script se dispara cuando un administrador revisa el envío o el pedido, y con esa sesión instala un plugin falso y crea un administrador oculto.
Las versiones corregidas son Ninja Forms 3.15.4 y WPC Product Bundles 8.6.7. Actualizar no alcanza si el sitio ya fue tocado: hay que revisar administradores que no aparecen en la pantalla de usuarios y la carpeta mu-plugins, y rotar las salts.
Fortinet: FortiBleed sigue activo
El FBI y el Servicio Secreto de EE.UU. advirtieron el 6 de octubre que la campaña FortiBleed sigue en curso contra FortiGate y gateways SSL VPN expuestos. No hay CVE detrás: los atacantes entran con credenciales filtradas o adivinadas y después crackean offline los hashes que extraen de los equipos.
En algunos incidentes crearon administradores propios y borraron o cambiaron la contraseña de los legítimos, dejando a la víctima afuera de su firewall. El FBI lo vincula con accesos iniciales para afiliados de ransomware. Sus recomendaciones:
- Sacar la interfaz de gestión de internet.
- Cerrar todas las sesiones VPN activas y exigir MFA.
- Guardar las contraseñas de administrador con PBKDF2 en lugar de SHA-256.
- Revisar logs en busca de cambios no autorizados, porque parchear y resetear contraseñas puede no alcanzar.
Críticos sin explotación conocida (por ahora)
GitLab: CVSS 10.0 en el compilador de regex del CI/CD
El 12 de octubre GitLab corrigió CVE-2026-97229, un desbordamiento de enteros en el motor que compila las expresiones regulares de los archivos de pipeline. Una regex armada a medida permite que, bajo ciertas condiciones, un usuario sin autenticar ejecute código en el servidor.
Las versiones corregidas de CE y EE son 19.2.8, 19.3.4 y 19.4.2, aunque en la rama 19.3 conviene ir directo a la 19.3.5, que arregla un error introducido por la 19.3.4. GitLab.com y Dedicated ya están parcheados.
Citrix NetScaler: otra crítica en SAML
CVE-2026-107406 (CVSS 4.0 de 9.5), publicada el 8 de octubre, es un desbordamiento de memoria que puede terminar en ejecución remota de código. Solo afecta a los NetScaler ADC y Gateway configurados como proveedor de identidad o de servicio SAML.
Las versiones corregidas son 14.1-73.46 y 13.1-64.29 (y sus equivalentes FIPS). Llega días después de CVE-2026-88779, otro NetScaler explotado como zero-day (en el KEV desde el 4 de octubre).
Cisco Nexus: ejecución como root en NX-OS
El 7 de octubre Cisco publicó cinco fallas críticas para los Nexus 3000 y 9000 en modo NX-OS standalone. Las tres de la función NGOAM (CVE-2026-76485, CVE-2026-76486 y CVE-2026-76501, CVSS 9.8) permiten a un atacante remoto sin autenticar ejecutar código como root.
Las otras dos están en NX-API y MPLS OAM, que vienen deshabilitadas por defecto. Si no las usás, apagar esas funciones (por ejemplo, no feature ngoam) elimina el vector mientras se planifica la actualización.
Telegram Desktop: robo de archivos con un clic
El 7 de octubre se asignó CVE-2026-107181 (CVSS 8.1) a Telegram Desktop hasta la 7.2.8: un enlace tg:// manipulado permitía robar archivos locales, incluidos los de sesión, y tomar la cuenta. Está corregida desde la 7.2.9.
Campañas e investigación
PoeLLM: servidores de IA expuestos convertidos en mineros
Black Lotus Labs (Lumen) documentó la botnet PoeLLM, con más de 3.400 servidores comprometidos que corren LiteLLM, Ollama, Gotenberg o Gitea expuestos a internet. Una vez adentro, intenta explotar CVE-2026-42271 de LiteLLM, instala mineros y usa cada víctima como trampolín para la siguiente.
Pwn2Own Ireland: 98 zero-days en cuatro días
El concurso, del 6 al 9 de octubre en Cork, cerró con 98 zero-days y USD 1.262.000 en premios (32 de esas fallas cayeron el primer día).
En qué orden parchear
- Atlassian Data Center y AhsayCBS: explotados y en el KEV (en Ahsay, restringir acceso hasta que haya parche).
- SonicWall SMA1000: CVSS 10.0 con intentos de explotación desde el 8 de octubre.
- FortiGate: revisar administradores y sesiones VPN aunque el equipo esté al día.
- Ninja Forms y WPC Product Bundles, con auditoría de cuentas.
- GitLab self-managed y NetScaler con SAML.
- Cisco Nexus con NGOAM habilitado y Telegram Desktop en los equipos de usuarios.
¿Cuántos de estos productos tienen la consola de administración expuesta a internet en tu organización? Te leemos en los comentarios.
Fuentes
- BleepingComputer: Atlassian warns of critical file access flaw in Jira, Confluence
- BleepingComputer: Hackers exploit critical Atlassian flaw after public PoC release
- CISA: Known Exploited Vulnerabilities Catalog
- Help Net Security: SonicWall fixes pre-auth SSRF flaw in SMA 1000 appliances
- BleepingComputer: Max severity SonicWall SMA1000 flaw now exploited in attacks
- BleepingComputer: Unpatched AhsayCBS flaws exploited to deploy webshells, mine crypto
- BleepingComputer: Ninja Forms plugin flaw exploited to hack WordPress sites
- FBI / IC3: Advisory sobre la campaña FortiBleed
- BleepingComputer: FBI: Ongoing FortiBleed attacks lock out FortiGate VPN admins
- GitLab: Critical Patch Release: 19.4.2, 19.3.4, 19.2.8
- BleepingComputer: Citrix warns admins to patch new NetScaler RCE flaw immediately
- Cisco: Security Advisory cisco-sa-ngoam-rce-LWKQ4BU
- BleepingComputer: Cisco warns of critical flaws allowing Nexus switch takeover
- beaksec: Telegram Desktop one-click account takeover
- BleepingComputer: PoeLLM malware infects exposed AI servers in cryptomining attacks
- BleepingComputer: Hackers get $1,262,000 for 98 zero-days at Pwn2Own Ireland
