Boletín diario · 24 de octubre de 2026
Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — tranquilo
El veredicto del día es CALMO: no hay vulnerabilidades con exploit listo para usar, ninguna en explotación activa (KEV) y ninguna observada por VulnCheck antes que CISA. Aun así, de las 76 nuevas publicaciones, 12 son críticas, y los destacados están dominados por fallas de deserialización, inyección SQL y omisión de autenticación en plugins de WordPress, además de dos fallas graves en Postiz. Es momento de monitoreo y priorización de parches, no de alarma.
Resumen del día
- Veredicto CALMO: 0 en explotación activa, 0 con exploit listo y 0 vistas por VulnCheck antes que CISA.
- 76 CVE nuevas y 12 críticas; los 10 destacados tienen CVSS entre 9,3 y 9,9.
- Plugins de WordPress concentran el riesgo: deserialización (Prime Mover, Paytium, Newsletters), SQLi (Product Filter by WBW) y omisión de login (asVereinbase).
- Postiz presenta dos fallas críticas: falsificación de tokens firmados y lectura arbitraria de archivos.
Destacados críticos
1
Postiz usa un único secreto para firmar tokens de sesión, invitación y restablecimiento, y una ruta permite a un usuario obtener un token firmado con los claims que elija. Esto abre la puerta a suplantación de identidad y escalada de privilegios; es la de mayor CVSS (9,9) del día.
2
Inyección de objetos PHP en Prime Mover (hasta 2.2.1) que un atacante no autenticado puede preparar a través del sistema de comentarios. Con CVSS 9,8, el riesgo es la ejecución de código o la toma del sitio, según la cadena de gadgets disponible.
3
Deserialización de datos no confiables en Paytium (hasta 5.0.5) con CVSS 9,8. Al ser un plugin de pagos, un compromiso puede tener impacto directo en datos de clientes y transacciones.
4
Inyección de objetos por deserialización en Newsletters (newsletters-lite, hasta 4.18.1), con CVSS 9,8. Conviene actualizar pronto, sobre todo en sitios expuestos a internet.
5
El plugin asVereinbase (anterior a 1.1.8) acepta un valor almacenado vacío como contraseña válida, lo que permite a un atacante no autenticado entrar como cualquier usuario, incluido el administrador. Hay prueba de concepto, aunque con EPSS 0%, por lo que el riesgo es alto pero sin señales de explotación.
6
En Postiz, un usuario registrado puede forzar al worker de publicación a leer archivos arbitrarios del servidor y enviarlos como adjunto a un servidor de Discord. El riesgo es la exfiltración de secretos y configuraciones sensibles.
7
Inyección de comandos del sistema operativo en la función set_volume del robot Unitree Go2 (hasta 1.1.11.4), explotable de forma remota. Se corrige con la versión 1.1.11.5; los dispositivos físicos conectados exigen actualizar sin demora.
8
CPython añade una lista de denegación de certificados comprometidos conocidos al módulo ssl, que los rechaza automáticamente. Es una medida de endurecimiento: conviene actualizar para evitar confiar en certificados ya comprometidos.
9
Inyección SQL ciega en Product Filter by WBW (hasta 3.4.6) con CVSS 9,3. Puede permitir la extracción de datos de la base de tiendas WooCommerce.
10
Inyección SQL en Newsletters (newsletters-lite, hasta 4.18.1), con CVSS 9,3. Junto con CVE-2026-94075, vuelve prioritario actualizar este plugin.
Ransomware del día
Los grupos más activos en los últimos 30 días son N0n (6 víctimas, todas en Brasil), thegentlemen (5, todas en Brasil), emperador (4, todas en Brasil), incransom (3), además de akira y Vexy Ransomware (2 cada uno). Llama la atención que todas las víctimas contabilizadas de estos grupos corresponden a Brasil.
N0n 6thegentlemen 5emperador 4incransom 3akira 2Vexy Ransomware 2
Grupos y APTs activos
Figuran como activos o actualizados Elderwood (China), Lazarus Group (Corea del Norte), APT29 (Rusia), WIRTE, TA577 y vicesociety, todos sin víctimas conocidas asociadas en los datos. Sirven como referencia de monitoreo, sin indicios de campañas concretas hoy.
Foco Brasil
Entre las víctimas brasileñas recientes aparecen el Hospital Sírio-Libanês y CLIMEDI (salud), la Universidad de Passo Fundo (educación), Pantanal Agricola (agroindustria), GTL Concreto e Logística, Prafesta y MPI LTDA, además de Suhai Segurança Pessoal. Thegentlemen reivindica cuatro de ellas (Suhai, CLIMEDI, Universidad de Passo Fundo y Pantanal Agricola), emperador dos (GTL y MPI), N0n una (Prafesta) y THE SEVEN DEADLY SINS la del Sírio-Libanês.
GTL Concreto e Logística LTDAemperador · Manufacturing
Suhai Segurana Pessoalthegentlemen · Professional Services
CLIMEDIthegentlemen · Healthcare
Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare
Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing
Universidade de Passo Fundothegentlemen · Education
Pantanal Agricolathegentlemen · Agriculture and Food Production
MPI LTDAemperador · Other
Recomendación del día: Actualice cuanto antes los plugins de WordPress afectados (Prime Mover, Paytium, Newsletters, Product Filter by WBW y asVereinbase), así como Postiz, Unitree Go2 y CPython. Mientras tanto, revise los accesos administrativos y limite la exposición de los servicios que no sean necesarios.
Aunque hoy no haya explotación activa confirmada, validar cuál es su superficie de ataque real es la forma más fiable de saber si estas fallas le afectan antes de que alguien las aproveche.Saber que la falla existe es la mitad; la otra mitad es saber si te afecta. Empieza con una prueba de exposición sin costo inicial.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →