Boletín diario · 8 de septiembre de 2026
Windows, ScreenConnect y Adobe bajo fuego: dos CVE en explotación activa y un alerta anticipado de VulnCheck marcan la jornada
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — atención1 vista(s) antes que CISA
El 8 de septiembre de 2026 registró un panorama de atención elevada: dos vulnerabilidades en Windows confirmadas por el CISA como activamente explotadas, una falla crítica en ScreenConnect detectada por VulnCheck antes de cualquier confirmación oficial, y un bloque de vulnerabilidades con CVSS 9.9–10.0 en productos Adobe, Android, ColdFusion y Microsoft Entra que amplían considerablemente la superficie de ataque. La combinación de explotación confirmada en el núcleo del sistema operativo Windows y ejecución remota de código sin interacción del usuario en plataformas empresariales exige respuesta inmediata en los equipos de seguridad.
Resumen del día
- Dos fallas de escalada de privilegios en Windows (Update Stack y ALPC) están siendo explotadas activamente y ya figuran en el KEV del CISA.
- ScreenConnect tiene una vulnerabilidad crítica (CVSS 9.9) observada por VulnCheck antes del CISA: transferencia y ejecución de archivos sin autorización del host.
- Adobe Campaign Classic, ColdFusion 2023 y Adobe Experience Manager presentan inyección de comandos/código con CVSS 9.9–10.0 sin interacción del usuario.
- Brasil concentra múltiples víctimas recientes de ransomware; el grupo thegentlemen lidera los ataques en los últimos 30 días con 9 víctimas confirmadas en el país.
Destacados críticos
1
Escalada de privilegios local en el Windows Update Stack de Windows 11 23H2 mediante seguimiento indebido de enlaces simbólicos; confirmada en explotación activa por el CISA y también observada por VulnCheck, lo que la convierte en objetivo prioritario de parcheado inmediato para cualquier entorno Windows moderno.
2
Desbordamiento de búfer basado en heap en Windows ALPC sobre Windows 10 1607 permite a un atacante local elevar privilegios; su presencia simultánea en el KEV del CISA y en el radar de VulnCheck confirma explotación real en campo, especialmente relevante para entornos que aún operan versiones heredadas de Windows 10.
3
Falla crítica (CVSS 9.9) en el cliente ScreenConnect que permite transferir y ejecutar archivos a través de una sesión remota activa sin autorización ni confirmación del host; VulnCheck la identificó antes de la catalogación oficial del CISA, lo que indica explotación en campo ya en curso y obliga a actualizar o restringir el uso del cliente de forma urgente.
4
Vulnerabilidad de escalada de privilegios local con CVSS 10.0 en Android XR (MicroXR Blobstore) que expone archivos de otras aplicaciones sin verificación de permisos y sin requerir ninguna interacción del usuario; su puntuación máxima y la ausencia de barreras de explotación la hacen de atención inmediata para fabricantes y desarrolladores de la plataforma.
5
Fuga de información sensible del estado del dispositivo en Android Wear por ausencia de verificación de permisos (CVSS 10.0), explotable localmente sin privilegios adicionales ni intervención del usuario; los datos de sensores y estado del dispositivo expuestos pueden alimentar ataques de seguimiento o reconocimiento más sofisticados.
6
Inyección de comandos OS en Adobe Campaign Classic (CVSS 10.0) permite ejecución de código arbitrario en el contexto del usuario actual sin interacción, con cambio de ámbito; dado el rol central de Campaign Classic en operaciones de marketing empresarial, una explotación exitosa compromete datos de clientes y la infraestructura de comunicaciones de la organización.
7
Autorización incorrecta en Adobe Experience Manager 6.5 (CVSS 9.9) permite a un atacante de bajos privilegios ejecutar código arbitrario y tomar control de cuentas o sesiones sin interacción del usuario; la amplitud del despliegue de AEM en entornos corporativos y gubernamentales multiplica el impacto potencial.
8
Credenciales e configuraciones inseguras por defecto en el Identity Manager de Eclipse aeriOS (CVSS 9.9) exponen el servicio Keycloak y su base de datos PostgreSQL a través de NodePort de Kubernetes en la versión de desarrollo; aunque no hay versión oficial publicada aún, los entornos de adopción temprana o prueba de concepto corren riesgo real de compromiso de identidad.
9
Inyección de evaluación dinámica de código (Eval Injection) en ColdFusion 2023 (CVSS 9.9) permite a un atacante con bajos privilegios ejecutar código arbitrario sin interacción del usuario y con cambio de ámbito; ColdFusion es un objetivo históricamente atractivo para actores de amenazas avanzados, y esta clase de vulnerabilidad facilita el despliegue de webshells y puertas traseras.
10
Falta de autorización en Microsoft Entra ID (CVSS 9.9) permite a un atacante autorizado elevar privilegios a través de la red; en entornos que usan Entra ID como proveedor de identidad central, una escalada exitosa puede traducirse en acceso total a recursos en la nube y compromiso de toda la cadena de identidades.
Ransomware del día
El grupo thegentlemen se consolida como el actor de ransomware más agresivo contra Brasil en los últimos 30 días, con al menos 9 víctimas confirmadas en el país, entre ellas Biotipo Jeans (Retail), Zanini (Manufactura), Mutant y Lider Aviação (Transporte), todas anunciadas recientemente. Otros grupos activos en el período incluyen direwolf, krybit, dragonforce, emperador y kazu, todos con víctimas exclusivamente o mayoritariamente brasileñas, lo que subraya un enfoque deliberado sobre la región.
Alurwalls BRDark Project · Manufacturing
Biotipo Jeans BRthegentlemen · Retail & E-Commerce
Zanini BRthegentlemen · Manufacturing
Mutant BRthegentlemen · Other
Lider Aviacao BRthegentlemen · Transportation
thegentlemen 9direwolf 3krybit 3dragonforce 2emperador 2kazu 2
Grupos y APTs activos
Entre los actores de amenaza monitoreados se destacan dragonforce, fulcrumsec, funksec, linkc, spacebears y blackshadow (de origen iraní), todos con actividad registrada aunque sin víctimas públicamente confirmadas en el período inmediato. La presencia de blackshadow, grupo vinculado a Irán con historial de operaciones destructivas, merece atención especial en sectores críticos e infraestructura regional.
Foco Brasil
Brasil atraviesa un período de intensa actividad de ransomware: además de las víctimas de thegentlemen, se registran ataques de Dark Project contra Alurwalls (Manufactura), de Vexy Ransomware contra Engefitas (Manufactura), del grupo settra contra ialegre.com y de direwolf contra Oportunidados, conformando un mapa de amenazas que cubre manufactura, retail, transporte y otros sectores. La concentración de grupos distintos apuntando simultáneamente al mercado brasileño indica que el país sigue siendo objetivo prioritario en América Latina.
Zaninithegentlemen · Manufacturing
AlurwallsDark Project · Manufacturing
Biotipo Jeansthegentlemen · Retail & E-Commerce
Mutantthegentlemen · Other
Lider Aviacaothegentlemen · Transportation
EngefitasVexy Ransomware · Manufacturing
ialegre.comsettra · Other
Oportunidadosdirewolf
Recomendación del día: Aplicar de forma urgente los parches de Windows para CVE-2026-81963 y CVE-2026-85880, restringir o actualizar el cliente ScreenConnect ante CVE-2026-84869, y revisar los controles de autorización en Adobe Campaign Classic, ColdFusion 2023 y Microsoft Entra ID. Para entornos Android XR y Android Wear, validar la cadena de actualización de firmware con los proveedores correspondientes.
Ante un día con explotación activa confirmada en componentes de uso masivo, es el momento de validar qué activos propios están expuestos y si los controles compensatorios realmente reducen el riesgo antes de que un atacante lo compruebe primero.No esperes a ser estadística: valida hoy, sin costo, si alguno de estos vectores alcanza tus sistemas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →