Boletín diario · 14 de julio de 2026
Día crítico: 4 CVEs en explotación activa afectan SMA1000, Windows, SharePoint y suman vulnerabilidades CVSS 10.0 en infraestructura industrial
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — crítico
El 14 de julio de 2026 cierra como un día de alerta máxima: cuatro vulnerabilidades confirmadas en explotación activa por el CISA KEV —y simultáneamente observadas por VulnCheck— golpean appliances SMA1000 de SonicWall, Active Directory Federation Services, Windows VMSwitch y Microsoft SharePoint. El panorama se agrava con tres fallos adicionales de CVSS 10.0 sin parche conocido que afectan Opcenter X, módulos EtherNet/IP de Rockwell y YouTrack de JetBrains, todos publicados en la misma jornada. Los equipos defensivos deben asumir que la ventana entre divulgación y explotación ya se cerró.
Resumen del día
- 4 CVEs en explotación activa (KEV CISA + VulnCheck): SMA1000 SSRF crítica, inyección de código SMA1000, elevación de privilegios en AD FS y acceso anónimo a SharePoint.
- Tres vulnerabilidades CVSS 10.0 adicionales publicadas hoy: JWT bypass en Opcenter X, puerto de debug expuesto en módulo EtherNet/IP industrial y bypass de autenticación en YouTrack.
- ColdFusion 2023 y Windows VMSwitch suman path traversal (CVSS 9.9) y use-after-free (CVSS 9.9) respectivamente, ampliando la superficie crítica del día.
- Brasil bajo presión de ransomware: lockbit5 golpea servicios públicos de salud (Mato Grosso) y empresas privadas; Deadlock y otros grupos activos en manufactura y servicios.
Destacados críticos
1
SSRF crítica (CVSS 10.0) en la interfaz Work Place del appliance SMA1000, explotable sin autenticación de forma remota. Con explotación activa confirmada tanto por CISA como por VulnCheck, cualquier appliance expuesto a internet debe considerarse comprometido hasta que se aplique el parche.
2
Elevación de privilegios local en Active Directory Federation Services (AD FS) sobre Windows 10 1607, con explotación activa confirmada. Un atacante autorizado puede escalar privilegios dentro del entorno de identidad federada, poniendo en riesgo la cadena completa de autenticación corporativa.
3
Inyección de código post-autenticación en la consola AMC del SMA1000 permite a un administrador remoto ejecutar comandos arbitrarios del sistema operativo. Aunque requiere credenciales de administrador, en entornos con cuentas comprometidas o configuraciones débiles esto se convierte en un vector de persistencia y movimiento lateral inmediato.
4
CVE-2026-56164KEVMEDIUM 5.3afecta Microsoft SharePoint Enterprise Server 2016 Fallo de autenticación faltante en Microsoft SharePoint Enterprise Server 2016 permite a un atacante no autenticado elevar privilegios a través de la red. La combinación de explotación activa confirmada y el impacto sobre plataformas colaborativas ampliamente usadas la convierte en prioridad de parcheo inmediata.
5
Validación incorrecta del algoritmo JWT en Opcenter X (todas las versiones anteriores a V2604) permite a un atacante remoto no autenticado forjar tokens arbitrarios, eludir la autenticación y suplantar cualquier usuario, incluidas cuentas administrativas. El CVSS 10.0 refleja el control total que otorga una explotación exitosa.
6
El módulo EtherNet/IP 1715-AENTR de Rockwell expone un puerto de depuración accesible en red sin controles de privilegios, permitiendo acceso CLI no autenticado para leer o eliminar archivos, detener tareas y alterar estados de E/S. En entornos OT/ICS, la explotación podría provocar interrupciones físicas o daños en procesos industriales.
7
Bypass de autenticación mediante acceso directo a base de datos en JetBrains YouTrack —múltiples ramas afectadas— otorga acceso administrativo sin credenciales válidas. Las plataformas de gestión de proyectos suelen contener información sensible sobre infraestructura y código fuente, por lo que el impacto de una intrusión va más allá del propio YouTrack.
8
Path traversal con cambio de scope (CVSS 9.9) en Adobe ColdFusion 2023 permite lectura arbitraria del sistema de archivos sin interacción del usuario. Los servidores ColdFusion suelen alojar configuraciones con credenciales en texto plano, lo que convierte esta falla en un trampolín hacia compromisos más profundos.
9
Use-after-free en Windows VMSwitch (CVSS 9.9) permite a un atacante autorizado elevar privilegios a través de la red en entornos Windows 10 1607. En infraestructuras de virtualización, la explotación podría facilitar la escalada desde una VM guest hasta el hipervisor o el sistema anfitrión.
10
Inversión de operadores SQL (<= y >=) en DBI::SQL::Nano para Perl (versiones 1.42 a 1.651) puede llevar a evaluaciones incorrectas de predicados WHERE, con potencial de omitir controles de acceso basados en consultas. Aunque el EPSS inicial es 0%, cualquier aplicación Perl que dependa de este motor de consultas como fallback debe ser revisada con urgencia.
Ransomware del día
El grupo lockbit5 concentra la actividad más reciente contra objetivos brasileños, reclamando como víctimas a santoinacio-rio.com.br y lbreng.com.br (servicios empresariales) y, de manera especialmente grave, a saude.mt.gov.br, perteneciente al sector público de salud de Mato Grosso. En el acumulado de los últimos 30 días, lockbit3 lidera el volumen global con 39 víctimas, seguido de ransomhub (35) y el propio lockbit5 (29), mientras que grupos como thegentlemen, 8base y arcusmedia también mantienen cadencias altas de ataque.
santoinacio-rio.com.br BRlockbit5 · Business Services
lbreng.com.br BRlockbit5 · Business Services
saude.mt.gov.br BRlockbit5 · Public Sector
lockbit3 39ransomhub 35lockbit5 29thegentlemen 208base 20arcusmedia 19
Grupos y APTs activos
Se registra actividad o actualización de perfiles de seis grupos de amenaza: apt73, blackshadow (de origen iraní), coinbasecartel, CopyKittens (también vinculado a Irán), dragonforce y againstthewest. Aunque ninguno reporta víctimas conocidas en este período, la presencia simultánea de actores iraníes como blackshadow y CopyKittens en el radar de inteligencia coincide con una jornada de alta exposición en productos Microsoft y de acceso remoto, que históricamente han sido vectores de interés para estos grupos.
Foco Brasil
Brasil concentra un volumen inusualmente alto de víctimas recientes de ransomware en sectores críticos: además de los tres objetivos de lockbit5 —incluyendo la secretaría de salud de Mato Grosso—, el grupo Deadlock reivindica ataques contra Bombas Ideal, Werken Química Brasil S.A. y Direção Estacionamentos S.A., mientras que qilin apunta a S.J. Louis y Doommageddon a Francisco Imóveis. La diversidad de sectores afectados (manufactura, servicios al consumidor, sector público y servicios empresariales) indica que los grupos operan sin preferencia sectorial clara en el país.
santoinacio-rio.com.brlockbit5 · Business Services
saude.mt.gov.brlockbit5 · Public Sector
lbreng.com.brlockbit5 · Business Services
Bombas IdealDeadlock · Manufacturing
Werken Química Brasil S.A.Deadlock · Manufacturing
Direção Estacionamentos S.A.Deadlock · Consumer Services
S.J. Louisqilin
Francisco ImóveisDoommageddon · Consumer Services
Recomendación del día: Priorizar de forma inmediata el parcheo de los appliances SMA1000 (CVE-2026-15409 y CVE-2026-15410), AD FS (CVE-2026-56155) y SharePoint (CVE-2026-56164), todos en explotación activa confirmada; paralelamente, aislar o restringir el acceso de red a instancias de Opcenter X, módulos EtherNet/IP 1715-AENTR y ColdFusion 2023 hasta que se apliquen los parches correspondientes.
Ante un día con cuatro CVEs en explotación activa y seis fallos CVSS 9.9–10.0 publicados simultáneamente, es el momento de verificar de forma proactiva qué activos propios están expuestos a estas superficies antes de que lo haga un atacante.Saber que la falla existe es la mitad; la otra mitad es saber si te afecta. Empieza con una prueba de exposición sin costo inicial.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →