Boletín diario · 23 de octubre de 2026
Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red
Veredicto del día — tranquilo
El veredicto del día es CALMO: ninguna vulnerabilidad pasó a tener exploit armado, ninguna figura en explotación activa (KEV) y ninguna fue observada por VulnCheck antes de la CISA. Aun así, de las 479 nuevas publicaciones, 35 son críticas, y los diez destacados incluyen fallas de CVSS 9.9 en Postiz, en el compilador Cranelift de wasmtime y en un flujo de GitHub Actions de conda. Es un momento para monitorear y priorizar parches, no para reaccionar con urgencia.
Resumen del día
- Veredicto CALMO: 0 exploits armados, 0 en explotación activa y 0 vistas por VulnCheck antes de la CISA.
- 479 CVEs nuevos y 35 críticos; los diez destacados tienen CVSS entre 9.8 y 9.9.
- Dos fallas en wasmtime (Cranelift) podrían permitir escapar del sandbox de WebAssembly.
- Bypass de autenticación en WizLearn LMS y deserialización insegura en plugins/temas de WordPress.
35
críticas
0
En explotación activa
0
Antes que CISA
0
Arma lista
Destacados críticos
1
En Postiz, un usuario autenticado puede invocar funciones internas del backend que no deberían ser accesibles, incluida una que lee archivos del disco del servidor. El riesgo es la exposición de archivos sensibles del servidor por parte de cualquier cuenta con acceso legítimo.
2
En wasmtime sobre aarch64, un br_table con muchísimos destinos puede compilarse con un salto condicional incorrecto, lo que permite que un módulo Wasm controlado por el atacante escape del sandbox. Es crítico para quien ejecuta módulos Wasm de terceros; hay que actualizar a 36.0.19, 48.0.7 o 49.0.4.
3
Un desbordamiento silencioso en el empaquetado de índices SSA de Cranelift puede provocar errores de compilación, confusión de tipos y otros ataques sobre el sandbox. Afecta a entornos que compilan Wasm no confiable; corrigen las versiones 36.0.19 y 43.0.0.
4
Un flujo de GitHub Actions de conda vulnerable a «Pwn Request», activado por comentarios en issues, podría ejecutarse con contexto privilegiado. Ilustra el riesgo en la cadena de suministro de CI/CD, donde un comentario malicioso puede comprometer secretos o código.
5
El LMS de WizLearn permite saltarse la autenticación por contraseña y OAuth con una petición POST manipulada, sin credenciales. Un atacante remoto podría obtener control administrativo total de la plataforma; la probabilidad de explotación (EPSS 1%) es baja por ahora.
6
Deserialización de datos no confiables en Participants Database (hasta 2.7.8.5) que permite inyección de objetos. Con CVSS 9.8, el impacto real depende de la cadena de gadgets disponible, pero justifica actualizar o desactivar el plugin.
7
En Goobi viewer, el nombre de archivo tomado del encabezado Content-Disposition de un servidor remoto se usa sin limpiar directorios, lo que habilita escritura de archivos fuera del destino previsto si el servidor es malicioso. Corregido en la versión 26.05.
8
El endpoint WebSocket de descargas de goobi-viewer-core acepta solicitudes de usuarios no autenticados. Amplía la superficie de ataque expuesta a Internet; se soluciona con la versión 26.05.
9
En odhcpd (OpenWrt), un único REQUEST DHCPv6 con muchas opciones IA desborda un búfer de pila de 512 bytes, sin autenticación y desde la red. Hay prueba de concepto, y al afectar a routers y puertas de enlace el riesgo es alto; corregido en la 25.12.
10
Deserialización insegura en el tema Hostme v2 (hasta 7.0) de AivahThemes que permite inyección de objetos. Es otro riesgo típico del ecosistema WordPress donde el parche o la retirada del tema es la defensa.
Ransomware del día
Los grupos más activos en los últimos 30 días son N0n (6 víctimas, todas en Brasil), emperador (5), thegentlemen (5), lockbit5 (3), incransom (3) y akira (2). Llama la atención que la mayor parte de la actividad reciente de estos grupos se concentra en Brasil.
N0n 6emperador 5thegentlemen 5lockbit5 3incransom 3akira 2
Grupos y APTs activos
Entre los actores activos o actualizados figuran Elderwood (China), Lazarus Group (Corea del Norte), APT29 (Rusia), WIRTE, TA577 y vicesociety, aunque ninguno registra víctimas conocidas en los datos de hoy. Se trata de una referencia de monitoreo, sin campañas concretas asociadas a los CVEs del día.
Foco Brasil
Recientemente se registraron víctimas brasileñas como GTL Concreto e Logística y MPI LTDA (emperador), Suhai Segurança Pessoal, CLIMEDI, Universidade de Passo Fundo y Pantanal Agrícola (thegentlemen), Prafesta (N0n) y el Hospital Sírio-Libanês (THE SEVEN DEADLY SINS). Salud, educación y manufactura aparecen entre los sectores afectados.
GTL Concreto e Logística LTDA
Suhai Segurana Pessoal
CLIMEDI
Hospital Sírio-Libanês
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Pantanal Agricola
MPI LTDA
Recomendación del día: Priorice la actualización de wasmtime, Postiz, goobi-viewer-core y odhcpd, y revise plugins y temas de WordPress con deserialización insegura. Audite los flujos de GitHub Actions activados por comentarios y limite los permisos de los tokens.
Aunque hoy no haya explotación confirmada, el volumen de fallas críticas recuerda que validar periódicamente la propia superficie de ataque es la mejor forma de saber si estos riesgos realmente te afectan.Cada CVE de arriba es una puerta posible — descubre cuáles están abiertas en tu entorno con un diagnóstico gratuito de superficie de ataque.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →