Boletín diario · 22 de octubre de 2026
10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestrator
Veredicto del día — atención10 vista(s) antes que CISA
Veredicto del día: ATENCIÓN. Las 10 vulnerabilidades destacadas muestran explotación observada por VulnCheck antes de cualquier confirmación del CISA, aunque ninguna alcanzó la categoría de arma lista y el día registró 0 entradas nuevas en el KEV. Encabeza la lista una falla crítica en VeloCloud Orchestrator (CVSS 9.4), seguida de dos ejecuciones remotas de código sin autenticación en DedeCMS y FineReport (CVSS 9.3).
Resumen del día
- 10 de 10 CVE destacados tienen explotación observada por VulnCheck antes del CISA; ninguno figura aún como arma lista.
- CVE-2026-114625 (VeloCloud Orchestrator, CVSS 9.4) permite a un usuario autenticado obtener privilegios de operador.
- DedeCMS y FineReport (CVSS 9.3) permiten ejecución remota de código sin autenticación, con prueba de concepto.
- Predominan las inyecciones SQL y los path traversal sin autenticación en CMS y plugins poco conocidos.
62
críticas
10
En explotación activa
10
Antes que CISA
0
Arma lista
Destacados críticos
1
Falla crítica (CVSS 9.4) en VeloCloud Orchestrator on-prem: cualquier usuario autenticado puede escalar a operador y acceder a funciones internas privilegiadas, con impacto en confidencialidad, integridad y disponibilidad del host y de los datos gestionados. Con explotación observada antes del CISA, es la prioridad máxima del día.
2
Inyección de código PHP en DedeCMS (hasta 5.8.1-beta) a través del encabezado Referer, sin autenticación, que permite ejecutar comandos del sistema. Hay prueba de concepto y evidencia de explotación observada por la Shadowserver Foundation.
3
Path traversal sin autenticación en FineReport 9.0 que permite escribir archivos arbitrarios y desplegar un webshell JSP, con ejecución remota de código. Hay prueba de concepto y explotación observada por la Shadowserver Foundation.
4
Inyección SQL sin autenticación en Weaver E-cology (versiones 8.0, 9.0 y 10.0 anteriores a la 10.76) que permite extraer información de la base de datos. Hay prueba de concepto y explotación observada por la Shadowserver Foundation; conviene actualizar a la 10.76 o superior.
5
Inyección SQL sin autenticación en Readymade Unilevel Ecommerce MLM mediante el parámetro 'id' de product-details.php. Permite extraer datos de la base y ya tiene explotación observada.
6
Inyección SQL sin autenticación en PHPOK (4.5.000 anterior a 5.4.081) mediante la cláusula ORDER BY, con extracción de datos vía mensajes de error. Shadowserver observó explotación; actualizar a 5.4.081 o superior.
7
Path traversal sin autenticación en YiShaAdmin (2.2 a 3.1) que permite leer y borrar archivos arbitrarios del sistema. El borrado añade riesgo de disponibilidad además de la fuga de datos; hay prueba de concepto.
8
Inyección SQL sin autenticación en el plugin NotificationX para WordPress (2.0.0 anterior a 2.3.12) a través de su endpoint REST. Los sitios WordPress con el plugin desactualizado están expuestos a extracción de datos de la base.
9
Inyección SQL sin autenticación en SeaCMS (hasta 8.7) mediante el parámetro rlist[] de la API de comentarios, con extracción de información por mensajes de error. Hay prueba de concepto y explotación observada.
10
Path traversal sin autenticación en YouDataSum CPAS Audit Management System V4 que permite leer archivos del sistema mediante el parámetro fileId. Hay prueba de concepto y explotación observada por la Shadowserver Foundation.
Ransomware del día
Recientemente se publicó como víctima a GTL Concreto e Logística LTDA (Brasil, sector manufacturero), atribuida al grupo emperador. En los últimos 30 días los grupos más activos son N0n (6 víctimas), emperador (5) y thegentlemen (5), seguidos por lockbit5 e incransom (3 cada uno) y akira (2), con todas las víctimas contabilizadas en Brasil.
GTL Concreto e Logística LTDA BR
N0n 6emperador 5thegentlemen 5lockbit5 3incransom 3akira 2
Grupos y APTs activos
Entre los actores activos o actualizados figuran Elderwood (origen China), Lazarus Group (Corea del Norte), APT29 (Rusia), WIRTE, TA577 y vicesociety. Ninguno tiene víctimas conocidas registradas en los datos de hoy, por lo que el dato sirve como contexto de monitoreo y no como alerta específica.
Foco Brasil
Brasil concentra las víctimas recientes de ransomware: GTL Concreto e Logística y MPI LTDA (emperador), Prafesta Ind. e Com. de Embalagens (N0n), y Suhai Segurança Pessoal, CLIMEDI, Universidade de Passo Fundo y Pantanal Agrícola (thegentlemen). También aparece el Hospital Sírio-Libanês, atribuido a THE SEVEN DEADLY SINS. Destacan los sectores de salud, educación y manufactura.
GTL Concreto e Logística LTDA
Suhai Segurana Pessoal
CLIMEDI
Hospital Sírio-Libanês
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Pantanal Agricola
MPI LTDA
Recomendación del día: Priorice parchear o aislar VeloCloud Orchestrator y revise cualquier CMS, plugin o sistema expuesto a internet de la lista (DedeCMS, FineReport, E-cology, PHPOK, NotificationX, entre otros), buscando señales de compromiso previas. Si no existe parche, restrinja el acceso externo y aplique reglas de WAF mientras tanto.
Con explotación observada antes de la confirmación oficial, esperar un aviso formal ya no basta: validar qué parte de su superficie de ataque está realmente expuesta es el primer paso para saber si esto lo afecta.Antes de que un atacante lo encuentre, encuéntralo tú: haz una evaluación inicial de exposición sin costo y comprueba si tu infraestructura es vulnerable a fallas como estas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →