Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
Las 3 vulnerabilidades de la semana pasada con las pruebas más sólidas de ataques en el mundo real, clasificadas primero por dichas pruebas y segundo por la probabilidad de explotación. 3 están confirmadas o reportadas como explotadas activamente.
-
CVE-2026-46300 Vulnerabilidad de falta de inicialización de una variable en Linux Kernel
Linux Kernel contiene una vulnerabilidad de falta de inicialización de una variable que podría permitir la modificación no intencionada de datos respaldados por la caché de páginas debido al fallo en la conservación del marcador de fragmento compartido durante la coalescencia del búfer de sockets, lo que hace que el procesamiento de entradas ESP descifre fragmentos compartidos en el lugar. Esta vulnerabilidad se puede encadenar con CVE-2026-109618 y CVE… (CISA)
- Explotada activamente: incluida en la lista por CISA el 28 de octubre; las agencias federales de EE. UU. deben solucionarla antes del 31 de octubre.
- VulnCheck KEV: reportada como explotada (incluida el 3 de agosto), 5 informes. 86 días antes que CISA. Primer informe: go.crowdstrike.com.
- Código de exploit público: 4 exploits conocidos (VulnCheck KEV).
- Probabilidad (EPSS): 10.2% de probabilidad de actividad de explotación en los próximos 30 días, superior al 96% de todas las CVE.
- Evaluación de CISA (SSVC): explotación observada; no se puede automatizar fácilmente; control total del sistema afectado.
Qué hacer (CISA): Aplique mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la guía BOD 26-04 Prioritizing Security Updates Based on Risk de CISA y los “Forensics Triage Requirements” de CISA. Siga la guía BOD 26-04 aplicable para servicios en nube o deje de usar el producto si las mitigaciones no están disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
-
CVE-2026-41709 Vulnerabilidad de registro insuficiente en Broadcom VMWare ESX
Broadcom VMWare ESX contiene una vulnerabilidad de registro insuficiente que podría permitir a un actor malicioso con acceso de administrador realizar ciertas operaciones sin que queden registradas. (CISA)
- Explotada activamente: incluida en la lista por CISA el 28 de octubre; las agencias federales de EE. UU. deben solucionarla antes del 11 de noviembre.
- VulnCheck KEV: reportada como explotada (incluida el 27 de octubre), 2 informes. 1 día antes que CISA. Primer informe: www.crowdstrike.com.
- Probabilidad (EPSS): 0.30% de probabilidad de actividad de explotación en los próximos 30 días, superior al 22% de todas las CVE.
- Evaluación de CISA (SSVC): explotación observada; no se puede automatizar fácilmente; impacto parcial.
Qué hacer (CISA): Aplique mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la guía BOD 26-04 Prioritizing Security Updates Based on Risk de CISA y los “Forensics Triage Requirements” de CISA. Siga la guía BOD 26-04 aplicable para servicios en nube o deje de usar el producto si las mitigaciones no están disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
-
CVE-2026-84999 Carga sin restricciones de archivos con tipos peligrosos
El complemento Pie Register Premium para WordPress es vulnerable a la carga sin restricciones de tipos de archivos en todas las versiones hasta la 3.8.4.0 (incluida) a través de la función piereg_file_upload. Esto se debe a que el complemento realiza la validación del tipo de archivo mediante wp_check_filetype y wp_check_filetype_and_ext, pero nunca verifica si esas llamadas de validación produjeron errores antes de… (NVD, CVSS 9.8)
- VulnCheck KEV: reportada como explotada (incluida el 27 de octubre), 1 informe. Primer informe: patchstack.com. Aún no está en el catálogo de CISA.
- Probabilidad (EPSS): 0.48% de probabilidad de actividad de explotación en los próximos 30 días, superior al 42% de todas las CVE.
- Evaluación de CISA (SSVC): no se conoce explotación; los ataques se pueden automatizar; control total del sistema afectado.
Nuestro análisis: qué es y cómo solucionarlo · Registro de NVD y enlaces del proveedor
Cómo clasificamos
Las pruebas de que los atacantes están usando una falla van primero: el catálogo de Vulnerabilidades Conocidas Explotadas de CISA, VulnCheck KEV y la propia evaluación SSVC de CISA. Luego, la probabilidad de ataque en los próximos 30 días según el Exploit Prediction Scoring System (EPSS) de FIRST, seguida de la gravedad. Una puntuación de gravedad alta por sí sola no hace que aparezca en la lista. Las fallas en los sistemas de IA y herramientas de agentes reciben mayor peso porque son un objetivo de rápido crecimiento. Todo lo que aparece aquí proviene directamente de esas fuentes; nosotros no estimamos nada.
Las puntuaciones de EPSS son de FIRST.org. Los informes de explotación marcados como VulnCheck KEV provienen del catálogo de Vulnerabilidades Conocidas Explotadas de VulnCheck (datos © VulnCheck). Confirme siempre la versión corregida en el aviso del proveedor.
