Boletín diario · 5 de septiembre de 2026
Día tranquilo con dos CVE de puntuación 10.0 y una oleada de fallos críticos en plugins de WordPress
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — tranquilo
El 5 de septiembre de 2026 transcurrió sin vulnerabilidades en explotación activa ni exploits listos para usar, lo que permite un ritmo de respuesta algo más ordenado. Aun así, la jornada registró 22 vulnerabilidades críticas entre 141 nuevas, encabezadas por dos CVE con CVSS perfecto de 10.0 que afectan a N-central y a dispositivos Tenda CP3. Los equipos defensivos deben concentrar la atención en priorizar parches antes de que actores de amenaza conviertan estas fallas en armas.
Resumen del día
- Dos CVE con CVSS 10.0 sin exploración activa confirmada: N-central (RCE pre-autenticación) y Tenda CP3 (inyección de comandos OS).
- Siete plugins de WordPress con fallos críticos publicados hoy, incluyendo bypass de autenticación, inyección de objetos PHP y toma de control de cuentas.
- Sin actividad KEV registrada, pero el volumen de vulnerabilidades críticas exige triaje inmediato antes de que aparezcan exploits públicos.
- Brasil concentra una actividad elevada de ransomware en los últimos días, con tres nuevas víctimas y grupos como thegentlemen y Vexy Ransomware muy activos.
Destacados críticos
1
Ejecución remota de código pre-autenticada con CVSS 10.0 en N-central (versiones anteriores a 2026.3.1.14): cualquier atacante remoto puede comprometer el servidor de gestión sin necesidad de credenciales, lo que convierte este fallo en objetivo prioritario de actualización inmediata.
2
Inyección de comandos OS explotable remotamente en el componente Kylin del Tenda CP3 (firmware 27.5.57.101) con CVSS 10.0; dispositivos expuestos a internet pueden ser comprometidos completamente sin interacción del usuario.
3
CVE-2026-83627CVSS 9.8afecta Hummingbird Performance – Cache & Page Speed Optimization for Core Web Vitals | Critical CSS | Minify CSS | Defer CSS Javascript | CDN El plugin Hummingbird para WordPress (hasta 3.21.0) escribe el log de depuración de caché en un archivo PHP accesible directamente desde la web, permitiendo ejecución remota de código a atacantes que consigan escribir contenido controlado en ese log.
4
Inyección de hooks de WordPress sin autenticación en el plugin ComboBlocks (versiones 2.2.32 a 2.3.1): un atacante no autenticado puede ejecutar acciones privilegiadas si no existen controles adicionales, afectando potencialmente la integridad del sitio.
5
CVE-2026-13447CVSS 9.8afecta MStore API – Create Native Android & iOS Apps On The Cloud El plugin MStore API (hasta 4.20.0) omite la verificación criptográfica de la firma del JWT de Firebase, permitiendo falsificar tokens y saltarse la autenticación para obtener acceso no autorizado a cuentas de usuario.
6
Frontend Admin by DynamiApps (hasta 3.29.12) permite toma de control de cuentas sin autenticación al no verificar propiedad ni capacidades en la función pre_update_value, posibilitando que un atacante eleve privilegios hasta administrador.
7
Referencia directa a objetos insegura en MemberDash (hasta 1.8.5) permite a cualquier visitante no autenticado cambiar la contraseña de cualquier usuario de WordPress, incluidos administradores, mediante el parámetro 'id' durante el registro.
8
CVE-2026-10196CVSS 9.8afecta Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails Inyección de objetos PHP vía deserialización no confiable en Mail Mint (hasta 1.31.0): si existe una cadena POP en el entorno, un atacante sin autenticación puede alcanzar ejecución de código o eliminar archivos arbitrarios.
9
Gestión de privilegios incorrecta en la función SetRedirectEnable del Tenda CP3 (CVSS 9.4) explotable remotamente; un atacante puede modificar configuraciones críticas de redireccionamiento sin autorización adecuada.
10
Segunda inyección de comandos OS en el Tenda CP3 (CVSS 9.4), esta vez en el módulo de gestión de configuración de red: combinada con CVE-2026-86152 y CVE-2026-86153, pinta un panorama de dispositivo completamente comprometible de forma remota.
Ransomware del día
Recientemente se han identificado tres nuevas víctimas brasileñas: Lider Aviação (transporte), reclamada por thegentlemen; Engefitas (manufactura), atribuida a Vexy Ransomware; e ialegre.com (otro sector), vinculada al grupo settra. Entre los grupos más activos en los últimos 30 días, thegentlemen lidera con 7 víctimas, todas en Brasil, seguido por direwolf (3), krybit (3), emperador (2) y dragonforce (2), evidenciando una concentración inusual de ataques en el país.
Lider Aviacao BRthegentlemen · Transportation
Engefitas BRVexy Ransomware · Manufacturing
ialegre.com BRsettra · Other
thegentlemen 7direwolf 3krybit 3emperador 2dragonforce 2L Group 2
Grupos y APTs activos
Varios grupos de amenaza se encuentran activos o actualizados en este período: dragonforce, fulcrumsec, handala, kazu y kelvinsecurity han sido registrados, junto con blackshadow, de origen iraní. Aunque no se les atribuyen víctimas confirmadas en este ciclo, su actividad monitorizada sugiere que están en fase de reconocimiento o preparación, por lo que las organizaciones deben mantener visibilidad sobre indicadores asociados a estos actores.
Foco Brasil
Brasil es el foco más intenso de actividad de ransomware en el período reciente, con al menos ocho víctimas documentadas en los últimos 30 días en sectores tan diversos como salud (paipharma.com, Exacta Optech Labcenter), manufactura (Engefitas), transporte (Lider Aviação) y otros (Uniguacu, frm.ind.br, Oportunidados, ialegre.com). La pluralidad de grupos actuando simultáneamente —thegentlemen, BrainCipher, ZaWoo, direwolf, emperador y Vexy Ransomware— indica que el país sigue siendo un objetivo prioritario para el ecosistema ransomware de habla no hispana y actores globales.
Lider Aviacaothegentlemen · Transportation
EngefitasVexy Ransomware · Manufacturing
ialegre.comsettra · Other
Oportunidadosdirewolf
paipharma.comBrainCipher · Healthcare
Exacta Optech Labcenterthegentlemen · Healthcare
frm.ind.brZaWoo · Other
Uniguacuemperador · Other
Recomendación del día: Priorice de inmediato la actualización de N-central a la versión 2026.3.1.14 o superior y aplique los parches de firmware disponibles para Tenda CP3; en paralelo, realice un inventario de plugins de WordPress críticos afectados hoy y aplique actualizaciones o controles compensatorios antes de que aparezcan pruebas de concepto públicas.
Dado el volumen de fallos críticos publicados hoy en plataformas de gestión y plugins ampliamente desplegados, es el momento adecuado para validar qué activos propios están expuestos y si los controles existentes realmente mitigarían una explotación real.Cada CVE de arriba es una puerta posible — descubre cuáles están abiertas en tu entorno con un diagnóstico gratuito de superficie de ataque.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →