Boletín diario · 17 de agosto de 2026
Día calmo con 42 vulnerabilidades críticas publicadas y Brasil en la mira del ransomware
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — tranquilo
El 17 de agosto de 2026 transcurrió sin vulnerabilidades armadas ni explotación activa confirmada, lo que ubica la jornada en un nivel de alerta moderado. Aun así, se publicaron 42 vulnerabilidades críticas, varias con puntuaciones CVSS de 10.0 y pruebas de concepto disponibles públicamente, lo que exige atención inmediata de los equipos de parcheo. En paralelo, el frente de ransomware registró múltiples víctimas brasileñas de alto perfil, evidenciando una presión operativa sostenida contra organizaciones en Brasil.
Resumen del día
- Sin exploits armados ni KEV activos el día 17, pero 42 CVEs críticos publicados elevan la superficie de riesgo.
- Cuatro CVEs con CVSS 10.0 afectan routers domésticos, extensiones Joomla y dispositivos Wavlink, tres de ellos con PoC público.
- vm2 (sandbox Node.js) recibe dos CVEs críticos de escape de sandbox que permiten ejecución de comandos en el host.
- Brasil concentra múltiples víctimas recientes de ransomware, con grupos como dragonforce, direwolf y thegentlemen activos en el país.
Destacados críticos
1
Falla de autenticación impropia en la validación de sesión del router ipTIME A3004T (CVSS 10.0) explotable de forma remota; el exploit es público y el fabricante no respondió a la divulgación, lo que deja a los usuarios sin parche oficial y con riesgo elevado.
2
RCE no autenticado en la extensión Sourcerer para Joomla (versiones anteriores a 14.0.0) por procesamiento de bloques {source} sin verificar el origen del código; cualquier visitante externo puede ejecutar comandos en el servidor afectado.
3
Desbordamiento de pila basado en stack en dispositivos Wavlink WN531P3 y WN535M1 a través del argumento HTTP_COOKIE en el CGI de exportación; el exploit es público y la explotación remota es factible sin autenticación previa.
4
Escape del sandbox vm2 para Node.js (anterior a 3.11.6) por no sanear Error.cause, permitiendo que código del sandbox obtenga objetos poderosos del host como process y ejecute comandos arbitrarios; crítico para aplicaciones SaaS que usan vm2 como capa de aislamiento.
5
Inyección de plantillas del lado del servidor (SSTI) en ERPNext que permite a usuarios autenticados con permisos limitados ejecutar código remoto gracias a la exposición de frappe.render_template sin restrict_globals; versiones anteriores a 15.111.0 y 16.22.0 son vulnerables.
6
Escalada de privilegios en el componente multicloud-operators-subscription de Multicluster Global Hub permite que un usuario de un clúster administrado despliegue recursos en cualquier namespace con los permisos elevados de la cuenta de servicio del controlador.
7
Segundo escape crítico del sandbox vm2 (CVSS 9.8) que abusa de indirección apilada a través de Function.prototype.call para romper la cadena de prototipos del host y alcanzar ejecución arbitraria de comandos; la combinación con CVE-2026-47686 hace urgente la actualización a 3.11.6.
8
Exposición de tokens OAuth entre usuarios en la plataforma de IA Onyx (anteriores a 3.1.10, 3.2.14 y 4.0.0) porque los tokens se copian en una fila admin compartida, permitiendo a un atacante leer credenciales de otro usuario a través de los endpoints de MCP.
9
Inyección SQL ciega en una API de widget de panel heredado de Google SecOps (Chronicle SOAR) anterior a 6.3.85; aunque Google ya aplicó el parche sin acción requerida por el cliente, subraya el riesgo de APIs legadas en plataformas de seguridad gestionadas.
10
Inyección de comandos OS en la interfaz CGI del dispositivo COMFAST CF-N1-S 2.6.0.1 a través del argumento ssid; el exploit es público y la explotación remota es directa, lo que representa un riesgo alto para redes que exponen este equipo a internet.
Ransomware del día
Recientemente se registraron múltiples víctimas brasileñas de ransomware, entre ellas TOTVS (Technology) afectada por direwolf, Vermont XCenter por dragonforce, VR Advogados (Professional Services) por Barracuda, y Vector Two Technology y Megalaser Industria Metalurgica LTDA por thegentlemen. Entre los grupos más activos en los últimos 30 días destacan lockbit5 con 8 víctimas en Brasil, Section9 con 6, y thegentlemen con 5, lo que evidencia una campaña sostenida y coordinada contra organizaciones brasileñas de diversos sectores.
Vermont XCenter BRdragonforce
TOTVS BRdirewolf · Technology
VR Advogados BRBarracuda · Professional Services
tecnoabi.com BRm3rx · Technology
Vector Two Technology BRthegentlemen · Technology
Megalaser Industria Metalurgica LTDA BRthegentlemen · Manufacturing
lockbit5 8Section9 6thegentlemen 5Global Secret Group 4direwolf 2L Group 2
Grupos y APTs activos
Los actores kazu, kelvinsecurity, krybit, lamashtu, linkc y el grupo de origen iraní blackshadow han sido identificados como activos o actualizados recientemente, aunque sin víctimas conocidas registradas hasta el momento. Su presencia en el radar de inteligencia sugiere una fase de preparación o reconocimiento que merece monitoreo continuo, especialmente blackshadow dado su vínculo con operaciones patrocinadas por el estado iraní.
Foco Brasil
Brasil se mantiene como un blanco prioritario del ransomware en el período reciente, con víctimas que abarcan sectores estratégicos: tecnología (TOTVS, tecnoabi.com, Vector Two Technology), servicios profesionales (VR Advogados, Chat Jurídico), manufactura (Megalaser Industria Metalurgica LTDA) y gobierno (Intranet Gov Brasil). La concentración de ataques de grupos como thegentlemen, direwolf y dragonforce sobre objetivos brasileños indica una focalización deliberada que requiere elevación del nivel de alerta en organizaciones del país.
Vermont XCenterdragonforce
VR AdvogadosBarracuda · Professional Services
TOTVSdirewolf · Technology
tecnoabi.comm3rx · Technology
Megalaser Industria Metalurgica LTDAthegentlemen · Manufacturing
Vector Two Technologythegentlemen · Technology
Chat Jurídicodirewolf · Professional Services
Intranet Gov Brasilthegentlemen · Government & Defense
Recomendación del día: Priorice el parcheo inmediato de vm2 a la versión 3.11.6 y de ERPNext a 15.111.0 o 16.22.0, y aísle o reemplace dispositivos Wavlink e ipTIME expuestos a internet mientras no exista parche oficial disponible. En entornos Joomla, actualice Sourcerer a 14.0.0 o superior de inmediato dado que el RCE no autenticado no requiere ninguna interacción del usuario.
Ante un panorama donde múltiples exploits son públicos y el ransomware golpea sectores amplios, validar activamente qué activos propios están expuestos es el primer paso concreto para reducir el riesgo real antes de que un atacante lo haga primero.Antes de que un atacante lo encuentre, encuéntralo tú: haz una evaluación inicial de exposición sin costo y comprueba si tu infraestructura es vulnerable a fallas como estas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →