Boletín diario · 2 de septiembre de 2026
WordPress y Cisco en la mira: nueve críticas y explotación activa detectada antes del CISA
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — atención1 vista(s) antes que CISA
El 2 de septiembre de 2026 cierra con veredito de ATENCIÓN: aunque no se registraron nuevas incorporaciones al catálogo KEV del CISA, una vulnerabilidad crítica en el plugin Amelia para WordPress ya fue observada en explotación activa por VulnCheck antes de cualquier confirmación oficial, y fue armada el mismo día de su divulgación. El día sumó 310 CVEs nuevas y 21 críticas, con una concentración notable en plugins de WordPress y en componentes de red de Cisco, elevando la superficie de ataque para organizaciones que dependen de estas plataformas.
Resumen del día
- CVE-2026-9055 (Amelia/WordPress): explotación activa detectada por VulnCheck antes del CISA, armada el mismo día — parchear con máxima urgencia.
- Tres fallas críticas en Cisco IOS XR y NX-OS permiten ejecución remota de código sin autenticación en infraestructura de red crítica.
- Múltiples plugins de WordPress con CVSS 9.8–10.0 exponen sitios a escalada de privilegios, carga de backdoors y ejecución de código arbitrario.
- Brasil figura como blanco activo de ransomware: cinco víctimas nuevas en los últimos días, con foco en sectores salud y tecnología.
Destacados críticos
1
CVE-2026-9055◆ VulnCheckCVSS 9.8PoCel mismo díaafecta Booking for Appointments and Events Calendar – Amelia Escalada de privilegios crítica en el plugin Amelia Premium para WordPress (versiones 8.0–9.6.2): un atacante autenticado como cliente puede promover su rol a 'manager' manipulando el parámetro 'type', obteniendo acceso administrativo al sitio. Armada el mismo día de divulgación y ya detectada en explotación activa por VulnCheck antes del CISA — señal de priorización por atacantes reales.
2
El plugin Embed HTML5 Game para WordPress (hasta 1.3) permite a atacantes no autenticados cargar archivos PHP arbitrarios al servidor, equivalente a implantar una puerta trasera con acceso completo al sitio. CVSS 10.0 sin requisito de autenticación lo convierte en uno de los vectores más peligrosos del día.
3
El plugin WatchMan-Site7 para WordPress expone una consola de depuración sin controles de acceso adecuados, permitiendo que cualquier usuario autenticado (incluso con rol de suscriptor) ejecute código PHP arbitrario en el servidor. La baja barrera de entrada hace que esta vulnerabilidad sea trivialmente explotable en sitios con registro abierto.
4
El plugin SigmaForms Pro permite a atacantes no autenticados eliminar archivos arbitrarios del servidor mediante una validación de rutas deficiente; la eliminación de archivos clave del sistema o de configuración puede desencadenar ejecución remota de código de forma indirecta. Afecta todas las versiones hasta 1.4.11 inclusive.
5
Bajo condiciones específicas, un atacante puede registrar una credencial FIDO2 controlada por él contra una cuenta objetivo en Secret Server On-Prem y luego autenticarse como ese usuario, comprometiendo el acceso privilegiado a credenciales corporativas almacenadas. Aplica únicamente a despliegues locales.
6
Vulnerabilidades de control de acceso inadecuado en Cisco IOS XR, identificadas durante una revisión interna de seguridad; en entornos de infraestructura crítica, una explotación exitosa podría permitir a un atacante remoto no autenticado comprometer dispositivos de red de núcleo. Se recomienda aplicar las actualizaciones de endurecimiento publicadas por Cisco de inmediato.
7
Problemas de control de recursos inadecuado en Cisco IOS XR, también descubiertos durante la revisión interna de Cisco; el vector remoto sin autenticación y el CVSS 9.8 elevan la urgencia para equipos que operan redes sobre esta plataforma. Debe tratarse en conjunto con CVE-2026-20279 como parte del mismo ciclo de parcheo.
8
Falla crítica en la integración Silicon One de los switches Cisco Nexus 9000: los puertos TCP 43210 y 43211 quedan accesibles por defecto en el VRF de capa 3, permitiendo a un atacante remoto no autenticado conectarse al dispositivo y ejecutar código con privilegios de root. El impacto en entornos de centro de datos es potencialmente devastador.
9
Inyección de comandos del sistema operativo en Looking Glass (antes de la versión 1.3.5), plataforma de diagnóstico de red que expone operaciones sobre routers vía API gRPC y UI web; una expresión regular sin anclaje en la validación de entrada permite a un atacante inyectar comandos arbitrarios en el servidor subyacente. Los equipos de operaciones de red que usen esta herramienta deben actualizar a 1.3.5 de inmediato.
10
El plugin Developer Tools para WordPress (hasta 1.1.3) contiene una vulnerabilidad de carga arbitraria de archivos sin autenticación en el componente SWFUpload incluido, lo que permite implantar backdoors o webshells en el servidor afectado sin necesidad de credenciales. La existencia de prueba de concepto pública incrementa el riesgo de explotación masiva.
Ransomware del día
Recientemente se detectaron cinco nuevas víctimas brasileñas de ransomware: Oportunidados (grupo direwolf), paipharma.com y Exacta Optech Labcenter en el sector salud (grupos BrainCipher y thegentlemen respectivamente), Uniguacu (grupo emperador) y frm.ind.br (grupo ZaWoo). En los últimos 30 días, thegentlemen lidera la actividad con seis víctimas, todas en Brasil, seguido por krybit con cuatro víctimas brasileñas, lo que confirma un patrón de targeting geográfico específico sobre el país.
Oportunidados BRdirewolf
paipharma.com BRBrainCipher · Healthcare
Uniguacu BRemperador · Other
Exacta Optech Labcenter BRthegentlemen · Healthcare
frm.ind.br BRZaWoo · Other
thegentlemen 6krybit 4direwolf 3emperador 2dragonforce 2L Group 2
Grupos y APTs activos
Se encuentran activos o con actividad recientemente actualizada los grupos dragonforce, fulcrumsec, handala, kazu y kelvinsecurity, además del actor de origen iraní blackshadow. Aunque actualmente no se les atribuyen víctimas confirmadas en los registros disponibles, la presencia activa de estos grupos — especialmente blackshadow, con historial de operaciones disruptivas — representa una amenaza latente que merece monitoreo continuo.
Foco Brasil
Brasil se mantiene como uno de los blancos más activos de ransomware en la región: además de las cinco víctimas recientes, el análisis de los últimos 30 días revela ataques contra sysconth.com (sector tecnología, grupo krybit), www.neooftalmo.com.br (salud, krybit) y amzur.com (grupo unsafe). El sector salud concentra una proporción significativa de los ataques, lo que subraya la urgencia de reforzar los controles de seguridad en hospitales, clínicas y proveedores del sector.
Oportunidadosdirewolf
paipharma.comBrainCipher · Healthcare
Exacta Optech Labcenterthegentlemen · Healthcare
Uniguacuemperador · Other
frm.ind.brZaWoo · Other
amzur.comunsafe
sysconth.comkrybit · Technology
www.neooftalmo.com.brkrybit · Healthcare
Recomendación del día: Los equipos de seguridad deben priorizar de forma inmediata el parcheo de CVE-2026-9055 en instalaciones de Amelia Premium y aplicar las actualizaciones de Cisco IOS XR y NX-OS para los CVEs 20279, 20274 y 20212; en paralelo, auditar todos los plugins de WordPress activos en busca de versiones vulnerables listadas en este boletín. Dada la velocidad de armamento observada hoy, cualquier demora en la remediación representa una ventana de oportunidad real para atacantes.
Ante un día con múltiples vectores críticos y explotación activa confirmada, es fundamental que cada organización valide su propia superficie de ataque para determinar si alguno de estos componentes está expuesto en su entorno antes de que lo descubra un atacante.No esperes a ser estadística: valida hoy, sin costo, si alguno de estos vectores alcanza tus sistemas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →