Boletín diario · 9 de septiembre de 2026
Tres CVEs con CVSS 10.0 y señales de explotación activa marcan una jornada de alta tensión
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — atención3 vista(s) antes que CISA
El 9 de septiembre de 2026 registra un cuadro de atención elevada: tres vulnerabilidades ya eran observadas por VulnCheck en explotación activa antes de cualquier confirmación oficial del CISA, y el catálogo del día suma dos fallos con puntuación perfecta CVSS 10.0 y cuatro más en el rango 9.8–9.9. Dispositivos DVR KGUARD, plugins de WordPress, infraestructura VPN de Check Point, la plataforma Akana y el Google Cloud ADK concentran el riesgo más urgente. La velocidad de armamento de CVE-2026-67401 —PoC disponible el mismo día de la divulgación en cPanel— subraya que el margen de reacción de los defensores es prácticamente nulo.
Resumen del día
- CVE-2026-87827 (KGUARD DVR) y CVE-2026-79696 (Google ADK) alcanzan CVSS 10.0 con RCE sin autenticación
- Tres CVEs ya en explotación activa detectada por VulnCheck antes del CISA: KGUARD, WP Module Data e YITH WooCommerce
- CVE-2026-67401 en cPanel fue armado con PoC el mismo día de su publicación — ventana de parcheo prácticamente inexistente
- Check Point Quantum Security Gateway concentra dos fallos críticos de RCE (CVSS 9.8) en la negociación VPN
Destacados críticos
1
Firmware KGUARD DVR expone un servicio de ejecución de comandos del sistema en todas las interfaces de red sin requerir autenticación; VulnCheck detectó explotación activa antes que el CISA, lo que indica uso real en ataques en curso. Con CVSS 10.0, cualquier dispositivo accesible desde internet debe considerarse comprometido hasta que se demuestre lo contrario.
2
Múltiples plugins de Newfold para WordPress comparten el módulo wp-module-data, cuya lógica de autenticación HMAC degenera bajo ciertas condiciones y permite bypass de autenticación vía REST API; VulnCheck registró explotación antes de la alerta oficial. El alto número de sitios WordPress que usan productos Newfold amplifica significativamente la superficie de ataque.
3
CVE-2026-14359◆ VulnCheckHIGH 8.8afecta YITH WooCommerce Waitlist Premium El plugin YITH WooCommerce Waitlist Premium (hasta v3.35.0) permite escalada de privilegios a través de una acción AJAX sin verificación de capacidades ni nonce, con explotación confirmada por VulnCheck antes del CISA. Un atacante no autenticado puede manipular variables POST mediante extract() para obtener privilegios elevados en el sitio WordPress.
4
Una inyección de código en el componente web del Google Cloud ADK para Python (versiones 2.0.0 a 2.6.0) permite RCE sin autenticación en entornos con pytest instalado, afectando despliegues en Cloud Run y GKE. Con CVSS 10.0, la exposición es crítica para equipos que usan el ADK en entornos cloud de producción con pytest activo.
5
La consola Policy Manager de Akana API Platform presenta una discrepancia de normalización de rutas que permite eludir el filtro de autenticación y alcanzar un endpoint que evalúa código arbitrario sin sandbox, resultando en RCE remoto sin credenciales (CVSS 10.0). Plataformas de gestión de APIs son objetivos de alto valor para actores que buscan pivotar hacia microservicios internos.
6
Velociraptor no aplica la verificación de permisos CLIENT_EVENTS a los artefactos de monitoreo de clientes, lo que permite a usuarios con acceso limitado programar artefactos como Linux.Sys.BashShell que ejecutan comandos arbitrarios en endpoints (CVSS 9.9). El impacto es especialmente grave porque Velociraptor se usa como herramienta de respuesta a incidentes, convirtiendo la plataforma defensiva en vector de ataque.
7
cPanel permite a una cuenta habilitada para correo alcanzar ejecución de código como root a través de inyección SQL en el componente EmailTrack; la PoC fue publicada el mismo día de la divulgación, eliminando prácticamente cualquier ventana de parcheo seguro (CVSS 9.9). Proveedores de hosting que ofrecen cPanel deben tratar este fallo como emergencia inmediata.
8
CVE-2026-18351CVSS 9.8afecta Drag and Drop File Upload for Elementor Forms El plugin Drag and Drop File Upload for Elementor Forms (hasta v1.6.0) permite subida de archivos arbitrarios porque la validación de tipo MIME usa el parámetro 'type' controlado por el atacante como clave de expresión regular, facilitando el bypass de la lista negra (CVSS 9.8). Una vez subido un archivo malicioso, el atacante puede lograr RCE en el servidor WordPress.
9
Un desbordamiento de búfer basado en heap en la decodificación ASN.1 de certificados VPN de Check Point Quantum Security Gateway permite RCE sin autenticación (CVSS 9.8). Los gateways VPN perimetrales son objetivos prioritarios para grupos de ransomware y APT, y este fallo representa una entrada directa al perímetro corporativo.
10
Una validación incorrecta de confianza de certificados durante la negociación VPN en Check Point Quantum Security Gateway abre una segunda vía de RCE remoto no autenticado (CVSS 9.8). La existencia de dos vulnerabilidades críticas simultáneas en el mismo producto eleva la probabilidad de cadenas de explotación y dificulta la mitigación parcial.
Ransomware del día
El grupo thegentlemen lidera la actividad reciente con al menos nueve víctimas en los últimos 30 días, todas ellas en Brasil, afectando sectores de manufactura, retail y otros. Vexy Ransomware y lockbit5 también registraron nuevas víctimas recientemente, mientras que Dark Project comprometió a Alurwalls en el sector manufacturero. La concentración geográfica en Brasil es llamativa y coherente con la oleada documentada en el Foco Brasil.
amorsaude.com.br BRlockbit5 · Healthcare
Logar Network Solutions BRVexy Ransomware · Technology
Alurwalls BRDark Project · Manufacturing
Biotipo Jeans BRthegentlemen · Retail & E-Commerce
Zanini BRthegentlemen · Manufacturing
Mutant BRthegentlemen · Other
thegentlemen 9direwolf 3krybit 3dragonforce 2emperador 2Vexy Ransomware 2
Grupos y APTs activos
Entre los actores y grupos de amenaza activos o actualizados en el período se identifican dragonforce, fulcrumsec, funksec, linkc, spacebears y blackshadow (de origen iraní), aunque ninguno registra víctimas públicamente confirmadas en este momento. La actividad de dragonforce merece seguimiento dado su historial de ataques a infraestructuras críticas y su presencia en los rankings de grupos más activos de los últimos 30 días en Brasil.
Foco Brasil
Brasil concentra una proporción inusualmente alta de víctimas recientes de ransomware: Logar Network Solutions (tecnología, Vexy Ransomware), amorsaude.com.br (salud, lockbit5), Zanini y Alurwalls (manufactura), Biotipo Jeans (retail), Mutant, Lider Aviacao (transporte) y Engefitas (manufactura) figuran entre los objetivos comprometidos en los últimos 30 días. La diversidad de sectores afectados —salud, transporte, manufactura, retail y tecnología— indica que los grupos activos no muestran selectividad sectorial y están operando con amplia cobertura en el país.
Logar Network SolutionsVexy Ransomware · Technology
amorsaude.com.brlockbit5 · Healthcare
Zaninithegentlemen · Manufacturing
Biotipo Jeansthegentlemen · Retail & E-Commerce
AlurwallsDark Project · Manufacturing
Mutantthegentlemen · Other
Lider Aviacaothegentlemen · Transportation
EngefitasVexy Ransomware · Manufacturing
Recomendación del día: Priorice de forma inmediata el parcheo de Check Point Quantum Security Gateway (CVE-2026-85103 y CVE-2026-85102), cPanel (CVE-2026-67401) y los dispositivos KGUARD DVR (CVE-2026-87827), dado que combinan criticidad máxima con señales de explotación activa o armamento instantáneo. Para entornos WordPress con plugins Newfold o YITH WooCommerce, desactive los endpoints REST afectados hasta que las actualizaciones estén disponibles y validadas.
Con múltiples fallos críticos en perímetros VPN, plataformas de gestión de APIs y herramientas de monitoreo activas en explotación, es el momento de validar qué activos propios quedan expuestos antes de que los atacantes lo hagan primero.Descubre en minutos, con una evaluación gratuita de exposición, dónde está realmente expuesta tu organización.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →