Boletín diario · 24 de agosto de 2026
Jornada calma pero con múltiples críticas: WordPress, LXD y OpenThread acaparan la atención
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — tranquilo
El 24 de agosto de 2026 registró una actividad moderada con 326 nuevas vulnerabilidades, 43 de ellas críticas, pero sin explotación activa confirmada ni exploits listos para usar. El panorama invita al monitoreo cuidadoso antes que a la respuesta de emergencia, aunque la concentración de fallos de máxima severidad en plugins de WordPress, en LXD y en OpenThread exige revisión prioritaria en entornos expuestos. Brasil, por su parte, sigue siendo blanco de múltiples grupos de ransomware activos.
Resumen del día
- Sin exploits armados ni explotación activa (KEV) en el día, pero 43 CVEs críticos publicados requieren revisión inmediata.
- WordPress concentra la mayor cantidad de fallos críticos del día: inyección de objetos PHP sin autenticación y escalada de privilegios en varios plugins populares.
- LXD expone un path traversal que permite sobrescribir archivos arbitrarios en el host como root desde un contenedor.
- Brasil sigue en la mira: cuatro nuevas víctimas de ransomware recientes, incluyendo plataformas de salud y servicios profesionales.
Destacados críticos
1
Múltiples vulnerabilidades en el manejo de paquetes MLE por OpenThread permiten a un atacante autenticado en la misma red Thread provocar denegación de servicio mediante fallos de aserción forzados o un desbordamiento de búfer basado en pila. Dado que afecta a dispositivos IoT con CVSS 10.0, el riesgo de indisponibilidad masiva en redes Thread es alto.
2
CVE-2026-77995CVSS 10afecta miniOrange OAuth Client extension for Joomla La extensión miniOrange OAuth Client para Joomla permite la toma de control arbitraria de cuentas, incluyendo administradores, mediante la manipulación de un valor de cookie en versiones anteriores a 3.2.0. Con CVSS 10.0, cualquier instancia Joomla expuesta con esta extensión sin parchear representa un riesgo de compromiso total de la plataforma.
3
Un path traversal en el procesamiento de plantillas de instancias de LXD permite a un atacante con permisos de edición de contenedores, o a cualquier usuario que lance una imagen manipulada, sobrescribir archivos arbitrarios en el sistema host como root. El impacto es un escape de contenedor con consecuencias potencialmente devastadoras para la integridad del host.
4
El plugin UltimateAI para WordPress permite a usuarios con rol de suscriptor cargar archivos arbitrarios en versiones hasta 3.1.0, lo que puede derivar en ejecución remota de código si el servidor procesa los archivos subidos. El bajo umbral de privilegio requerido amplía significativamente la superficie de ataque.
5
TranslatePress en versiones hasta 3.3.2 expone una escalada de privilegios sin autenticación, lo que permite a cualquier visitante anónimo elevar sus permisos dentro del sitio WordPress. Este tipo de fallo sin requisito previo de autenticación facilita compromisos masivos automatizados.
6
The Events Calendar, plugin ampliamente instalado en WordPress, sufre inyección de objetos PHP sin autenticación en versiones hasta 6.17.2, abriendo la puerta a ejecución de código arbitrario dependiendo de los gadgets disponibles en el entorno. La ausencia de autenticación hace que la explotación sea trivial y masiva.
7
WP Project Manager presenta inyección de objetos PHP sin autenticación en versiones hasta 4.0.6, un vector que puede permitir ejecución de código, eliminación de archivos o lectura de datos sensibles según la cadena de gadgets presente. El impacto depende del ecosistema de plugins instalados en cada sitio.
8
CVE-2026-32563CVSS 9.8afecta ACPT (Pro) - Custom Post Types Plugin for WordPress El plugin ACPT (Pro) para WordPress permite a usuarios suscriptores inyectar objetos PHP en versiones hasta 2.0.63, lo que podría escalar a ejecución de código si existen gadgets explotables. Aunque requiere al menos una cuenta suscriptor, muchos sitios permiten registro libre, reduciendo la barrera de entrada.
9
FreightCo en versiones hasta 1.1.15 expone inyección de objetos PHP sin ningún requisito de autenticación, con CVSS 9.8, permitiendo potencialmente la ejecución remota de código en sitios que utilicen este plugin junto a otros componentes vulnerables. La explotación automatizada a escala es un riesgo real.
10
Jawn en versiones hasta 1.4.2 sufre escalada de privilegios sin autenticación, lo que permite a cualquier actor externo obtener permisos elevados en WordPress sin necesidad de credenciales. Este patrón de vulnerabilidad es frecuentemente el punto de entrada en compromisos de sitios a gran escala.
Ransomware del día
Recientemente se confirmaron cuatro nuevas víctimas brasileñas de ransomware: Frato fue reclamada por dragonforce, mientras que Brazil Mobilemed y Meducar —ambas plataformas del sector salud— fueron comprometidas por el grupo kazu, y UOLconsult, de servicios profesionales, fue afectada por thegentlemen. En los últimos 30 días, Section9, thegentlemen y Global Secret Group encabezan la actividad, todos con foco exclusivo o mayoritario en Brasil.
Frato BRdragonforce · Other
Brazil Mobilemed: Cloud PACS Platform BRkazu · Healthcare
Meducar: Telemedicine and Patient Management System BRkazu · Healthcare
UOLconsult BRthegentlemen · Professional Services
Section9 6thegentlemen 6Global Secret Group 4dragonforce 2direwolf 2L Group 2
Grupos y APTs activos
Entre los grupos monitoreados destacan dragonforce, kazu, thegentlemen y blackshadow (de origen iraní), junto a funksec, kairos y karakurt, todos activos o recientemente actualizados. Si bien aún no se les atribuyen nuevas víctimas confirmadas en los datos más recientes, su presencia en el radar de inteligencia indica que siguen operativos y deben considerarse amenazas latentes.
Foco Brasil
Brasil acumula un preocupante número de víctimas recientes: además de las cuatro nuevas, en los últimos 30 días también fueron comprometidos la Prefeitura Municipal de Arcos (gobierno), Vermont XCenter, TOTVS (tecnología) y VR Advogados (servicios jurídicos), por grupos como emperador, dragonforce, direwolf y Barracuda respectivamente. La concentración de ataques en sectores críticos como salud, gobierno y tecnología refuerza que Brasil sigue siendo un objetivo prioritario para múltiples actores de ransomware.
Fratodragonforce · Other
Brazil Mobilemed: Cloud PACS Platformkazu · Healthcare
Meducar: Telemedicine and Patient Management Systemkazu · Healthcare
UOLconsultthegentlemen · Professional Services
Prefeitura Municipal de Arcosemperador · Government & Defense
Vermont XCenterdragonforce
TOTVSdirewolf · Technology
VR AdvogadosBarracuda · Professional Services
Recomendación del día: Priorice el parcheo inmediato de los plugins de WordPress afectados por inyección de objetos PHP sin autenticación y escalada de privilegios, así como la actualización de LXD y la extensión miniOrange OAuth para Joomla. En entornos con OpenThread, revise el acceso a la red Thread y aplique las mitigaciones del fabricante tan pronto estén disponibles.
Ante un día con tantos fallos críticos en componentes ampliamente desplegados, es fundamental validar activamente qué versiones corren en su infraestructura y si están expuestas, antes de que un actor externo lo descubra primero.Cada CVE de arriba es una puerta posible — descubre cuáles están abiertas en tu entorno con un diagnóstico gratuito de superficie de ataque.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →