Entre el 13 y el 16 de octubre, CISA sumó a su catálogo de vulnerabilidades explotadas (el KEV) cuatro fallas de productos de borde que no son de Microsoft: Ivanti Connect Secure, PAN-OS de Palo Alto, Cisco Secure Email Gateway y BeyondTrust Remote Support. A las agencias federales de Estados Unidos les dio tres días para corregir cada una.
La semana también trajo dos CVSS 10.0 (SAP y Adobe Commerce), un escape de máquinas virtuales en el kernel de Linux y dos sustos de cadena de suministro, uno real y otro que no lo fue.
Explotadas en el mundo real
Ivanti Connect Secure: entrar a la VPN sin credenciales
CVE-2026-104935 (CVSS 8.6) es un bypass de autenticación que permite a un atacante remoto, sin usuario ni contraseña, ejecutar comandos en el equipo (el appliance). CISA lo sumó al KEV el mismo día del aviso, el 13 de octubre.
Volexity detectó ataques desde el 3 de octubre contra equipos al día. El actor la encadenó con una escalada de privilegios que Ivanti todavía no corrigió, sin dejar malware y manipulando los logs para esquivar la herramienta de integridad del fabricante.
Las versiones corregidas son 22.8R2.5 y 25.1.3.0 o posteriores. Las versiones 22.7R2.14 y anteriores no están afectadas.
Palo Alto PAN-OS: root en el firewall desde la interfaz de gestión
CVE-2026-0322 (CVSS 4.0 de 8.6) permite a un atacante autenticado con acceso a la interfaz de administración ejecutar código como root en firewalls PA-Series, VM-Series y Panorama.
Palo Alto reconoce una explotación «muy limitada» y no hay alternativa a actualizar. Las versiones corregidas más recientes de cada rama son:
- 12.2.4.
- 12.1.10-h2.
- 11.2.16.
- 11.1.16-h3.
- 10.2.18-h12.
El advisory lista además parches puntuales para builds anteriores.
Cisco Secure Email Gateway: un adjunto y root
CVE-2026-76519 (CVSS 9.8) está en la función Advanced Malware Protection. Un atacante sin autenticar manda un mail con un adjunto armado y logra escribir archivos y ejecutar comandos como root, siempre que el servicio de reputación de archivos esté activo y asignado a una política.
La corrección viaja en Content Scanner Tools 25.3.0.5525, que se aplica sola con las actualizaciones automáticas activas. Si las desactivaste, hay que forzarla con contentscannerupdate.
BeyondTrust Remote Support: siete semanas explotado sin parche
CVE-2026-102764 (CVSS 4.0 de 9.3) es una validación deficiente del origen de mensajes internos que permite operar sobre archivos del appliance sin autenticarse. Afecta a Remote Support 26.2.3 y anteriores, y se corrige con el parche BT26-05.
Según Mandiant, el grupo de espionaje vinculado a China ARMORY CASTLE (antes UNC5221) la explota desde fines de agosto: instaló un web shell (una puerta trasera que se maneja por HTTP), se hizo root, vació el baúl de credenciales y borró los logs.
Los clientes SaaS ya están parcheados; las instalaciones propias, no. Mandiant recomienda dar por comprometido todo appliance expuesto en ese período, reconstruirlo desde una imagen limpia y recién después rotar credenciales.
Collabora Online en Nextcloud: puertas traseras desde septiembre
CVE-2026-110447 (CVSS 4.0 de 9.2) es una inyección de comandos en proxy.php del servidor CODE integrado (la app richdocumentscode de Nextcloud). Funciona sin autenticación cuando ese servidor está detenido (tras un reinicio o una caída).
Hay web shells reportados desde el 10 de septiembre, aunque el advisory salió el 14 de octubre. La versión corregida es la 26.4.303: deshabilitar la app no alcanza, hay que actualizarla o borrarla.
Críticas, todavía sin ataques confirmados
SAP Cloud SDK for Python: las credenciales OAuth2 viajan a otro lado
CVE-2026-89111 (CVSS 10.0) es una falsificación de solicitudes del lado del servidor (SSRF): quien controla el parámetro tenant_subdomain puede desviar la solicitud de token OAuth2 hacia su propio servidor y quedarse con las credenciales del cliente. Se corrige en sap-cloud-sdk 0.45.2.
Fue lo más grave de las 20 correcciones del Patch Day de octubre de SAP.
Adobe Commerce y Magento: «BlockStrap»
CVE-2026-103849 (CVSS 10.0) es una inyección en el motor de plantillas de mail que permite ejecutar código sin interacción del usuario. Sansec, que la descubrió y la bautizó, advierte que a partir del parche se puede armar un exploit (código de ataque funcional) en poco tiempo.
La corrección es el boletín APSB26-153 (releases «2026-oct» o el parche aislado). El hotfix de septiembre para «StyleSmuggler» tiene que seguir aplicado: son dos arreglos distintos.
Ghostscript: un PDF que desborda memoria
CVE-2026-39919 (CVSS 9.8) es un desborde de memoria al procesar imágenes JPEG 2000 dentro de un PDF. Expone a todo backend que convierta PDF subidos por usuarios.
Wordfence publicó esta semana dos pruebas de concepto, sin lograr ejecución de código contra los paquetes de las distribuciones. Se corrige en 10.08.0, disponible desde septiembre.
Kernel de Linux: «PwnEscape» y las VMs que leen memoria del host
CVE-2026-99999 (CVSS 9.3) no está en un hipervisor sino en la pila de red del kernel del host. Una VM manda paquetes con metadatos de checksum manipulados por virtio-net y el host filtra 32 bytes de su memoria en cada uno.
Lo encontró Paulos Yibelo en el desafío de sandboxes de Vercel, donde demostró la filtración en producción; en equipos propios con KVM y Firecracker además tiró el host y ejecutó código como root.
El arreglo entró a la rama principal del kernel el 14 de octubre (commit 6785011f8b16); falta que cada distribución lo publique en sus kernels.
Cadena de suministro
Arch Linux: falsos yay y paru en el AUR
El 13 de octubre se detectaron en el AUR (el repositorio comunitario de Arch, sin revisión previa) imitaciones de los asistentes yay y paru, como yyay. Traían el código legítimo más un script de instalación que ejecutaba código remoto como root.
Los paquetes fueron retirados y quien haya instalado alguno tiene que dar el equipo por comprometido.
Zod 4.6.6: falsa alarma en npm
Circuló que la versión 4.6.6 de la librería zod traía malware. En realidad, el 21 de septiembre alguien empujó seis commits maliciosos al repositorio con una credencial robada, y se revirtieron ese mismo día.
El paquete publicado en npm el 11 de octubre no contiene ese código, y la versión vigente ya es la 4.6.7.
En qué orden parchear
- Ivanti Connect Secure y BeyondTrust Remote Support: actualizar y buscar rastros de compromiso.
- Cisco Secure Email Gateway: confirmar la versión de Content Scanner Tools.
- Nextcloud con el servidor CODE integrado: actualizar y buscar archivos PHP extraños.
- PAN-OS: actualizar y cerrar la interfaz de gestión a internet.
- Adobe Commerce y SAP Cloud SDK for Python.
- Ghostscript, y los hosts de virtualización Linux en cuanto salga el kernel de tu distribución.
Tres días para el borde de la red
Cuatro de las cinco fallas explotadas están en appliances que miran a internet (VPN, firewall, gateway de correo, acceso remoto), y dos (Ivanti y BeyondTrust) se explotaron antes de que existiera el parche.
¿Cuánto tarda tu equipo en parchear un appliance de borde desde que sale el advisory? Te leemos en los comentarios.
Fuentes
- CISA: Known Exploited Vulnerabilities Catalog
- BleepingComputer: Ivanti warns of Connect Secure zero-day exploited in attacks
- Palo Alto Networks: CVE-2026-0322 PAN-OS: Authenticated RCE in the Management Interface
- Cisco: Secure Email Gateway Arbitrary File Write Vulnerability
- Google Threat Intelligence: ARMORY CASTLE exploits BeyondTrust
- Collabora: Unauthenticated OS command injection in the richdocumentscode proxy
- BleepingComputer: SAP warns of maximum severity OAuth2 SSRF security flaw
- Sansec: BlockStrap: Magento RCE
- BleepingComputer: Ghostscript flaw lets hackers hijack servers via PDF uploads
- pwn.ai: PwnEscape: Guest-to-Host KVM Escape
- Vercel: Findings from the $1 million Vercel Sandbox challenge
- BleepingComputer: Fake Arch Linux packages push malware with root privileges
- Zod: Release v4.6.6
