Boletín diario · 26 de octubre de 2026
Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip2
Veredicto del día — tranquilo
El veredicto del día es CALMO: ninguna vulnerabilidad se convirtió en arma lista, no hay explotación activa en el KEV y el VulnCheck no detectó nada antes de la CISA. Aun así, de las 758 nuevas vulnerabilidades, 28 son críticas, con dos fallas CVSS 10.0 (TOTOLINK A950RG y la librería Rust zip2) y varias de alto impacto en infraestructura como FortiSandbox, Avocent ACS8000 y ArcGIS Server. Es un día para monitorear y priorizar parches, no para responder a una emergencia.
Resumen del día
- Veredicto CALMO: 0 armas listas, 0 en explotación activa (KEV) y 0 vistas por VulnCheck antes de la CISA.
- 758 nuevas CVE y 28 críticas; dos con CVSS 10.0: TOTOLINK A950RG (con exploit público) y zip2.
- Infraestructura sensible en foco: FortiSandbox, Avocent ACS8000, ArcGIS Server y Consul-k8s.
- En Brasil, qilin reivindicó recientemente tres nuevas víctimas en manufactura, comercio minorista y salud.
28
críticas
0
En explotación activa
0
Antes que CISA
0
Arma lista
Destacados críticos
1
Desbordamiento de búfer en pila en el CGI infostat.cgi del TOTOLINK A950RG, explotable de forma remota y con prueba de concepto pública. El CVSS 10.0 y la disponibilidad del exploit hacen que los equipos expuestos a internet deban aislarse o mitigarse cuanto antes.
2
En la librería zip2 para Rust, una discrepancia entre los nombres del directorio central y los de las cabeceras locales permite que un archivo malicioso parezca inocuo para un componente y se extraiga distinto en otro. Es un riesgo de cadena de suministro para aplicaciones que validan y extraen ZIP por rutas diferentes.
3
Bypass de autorización entre namespaces en las reglas de binding de ACL de consul-k8s que puede otorgar privilegios elevados en Consul. Afecta entornos Kubernetes multiinquilino; corregido en las versiones 2.1.0 y 1.8.18.
4
El operador Burrito acepta eventos webhook de GitHub y GitLab sin firma cuando el secreto del webhook falta o está vacío. Un atacante podría disparar flujos de automatización de Terraform no autorizados; se corrige con la versión 0.13.0.
5
Carga de archivos sin restricciones en la importación de campañas de Mautic 7, que copia activos a un directorio de medios público. Un usuario autenticado con permiso de importación podría subir contenido peligroso, con riesgo de ejecución de código en el servidor.
6
Inyección SQL en Esri ArcGIS Server 12.1 y anteriores, en Windows y Linux. El riesgo crece si el servicio está configurado como público, pues podría permitir a un atacante anónimo ejecutar funciones de base de datos no autorizadas; hay parche disponible.
7
El demonio wsserver del Avocent ACS8000, que corre como root, construye comandos de shell con campos WebSocket del cliente sin sanitizarlos, y su ruta de clave pública no verifica la sesión del equipo. Es un vector de ejecución de comandos con privilegios máximos en un dispositivo de acceso a consola.
8
Bypass de autenticación por ruta o canal alternativo en múltiples versiones de FortiSandbox y FortiSandbox PaaS, que podría permitir ejecutar código o comandos mediante peticiones HTTP manipuladas. Al tratarse de una herramienta de seguridad, su compromiso tendría un impacto desproporcionado.
9
Inyección CRLF en la autenticación L2TP de Oray Pugongying X5 Pro 7.6.1 mediante el argumento Username, con exploit público y sin respuesta del fabricante. El EPSS es bajo (1%), pero la ausencia de parche mantiene el riesgo.
10
Inyección CRLF en el manejador de políticas IPsec (/etc/ipsec.conf) de Pugongying X5 Pro 7.6.1 por el argumento secproto, con exploit público y sin respuesta del proveedor. El EPSS es de 0%, pero conviene limitar la exposición remota del equipo.
Ransomware del día
Qilin sumó recientemente tres víctimas brasileñas: P&B Textiles (manufactura), Animart Pet Stores (comercio minorista y e-commerce) y bio3g.com (salud). En los últimos 30 días los grupos más activos son N0n (6 víctimas), thegentlemen (5), emperador (4) y qilin (4), todas en Brasil, seguidos de akira y Vexy Ransomware con 2 cada uno.
P&B Textiles BR
Animart Pet Stores BR
bio3g.com BR
N0n 6thegentlemen 5emperador 4qilin 4akira 2Vexy Ransomware 2
Grupos y APTs activos
Entre los actores activos o actualizados figuran mamona, mogilevich, mosesstaff (origen Irán), ransomhouse, Elderwood (origen China) y dragonforce. Ninguno tiene víctimas conocidas registradas en los datos, por lo que su mención es de seguimiento y no de actividad confirmada.
Foco Brasil
Brasil concentra la actividad reciente de ransomware, con víctimas en manufactura, salud, educación, comercio y servicios profesionales. Además de las tres de qilin, figuran GTL Concreto e Logística LTDA (emperador), Prafesta Ind. e Com. de Embalagens Ltda (N0n), Universidade de Passo Fundo y Suhai Segurana Pessoal (thegentlemen) y el Hospital Sírio-Libanês (THE SEVEN DEADLY SINS).
Animart Pet Stores
P&B Textiles
bio3g.com
GTL Concreto e Logística LTDA
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Suhai Segurana Pessoal
Hospital Sírio-Libanês
Recomendación del día: Priorice el parcheo o aislamiento de los dispositivos expuestos (TOTOLINK, Avocent, FortiSandbox) y actualice consul-k8s, Burrito y las dependencias zip2. Revise también que los webhooks tengan secreto configurado y que los servicios de ArcGIS no estén públicos sin necesidad.
Un día calmo en el KEV no significa ausencia de riesgo, y la única forma de saber si estas fallas lo afectan es validar de manera continua su propia superficie de ataque.No esperes a ser estadística: valida hoy, sin costo, si alguno de estos vectores alcanza tus sistemas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →