Boletín diario · 28 de octubre de 2026
Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce
Veredicto del día — atención2 vista(s) antes que CISA
El veredicto del día es de ATENCIÓN: ninguna vulnerabilidad se convirtió en arma lista, pero dos fueron vistas en explotación por VulnCheck antes de su confirmación por el CISA. Entre las 599 nuevas CVE y 32 críticas del día destacan una carga arbitraria de archivos en un plugin de WordPress y una falla de denegación de servicio en Cisco ASA/FTD. Completan el panorama varias críticas sin autenticación en Dell PowerProtect Data Domain, AVideo y FUXA.
Resumen del día
- Dos CVE (CVE-2026-103688 y CVE-2026-76418) con explotación observada por VulnCheck antes del CISA: alerta temprana.
- Carga arbitraria de archivos sin autenticación en plugins de WordPress (Checkout Files Upload for WooCommerce y Contact Manager) con riesgo de ejecución remota de código.
- Cuatro críticas en Dell PowerProtect Data Domain, con CVSS 9.8, entre ellas autenticación indebida y clave criptográfica codificada.
- Dos fallas CVSS 10.0 en AVideo-Encoder y una de ejecución de código en FUXA; Qilin sigue golpeando a víctimas brasileñas.
32
críticas
2
En explotación activa
2
Antes que CISA
0
Arma lista
Destacados críticos
1
Carga arbitraria de archivos sin autenticación en Checkout Files Upload for WooCommerce (anterior a 2.4.0), con posible ejecución remota de código si el servidor ejecuta PHP desde el directorio de cargas. VulnCheck observó explotación antes del CISA y existe prueba de concepto; con CVSS 9.8 conviene actualizar de inmediato.
2
CVE-2026-76418◆ VulnCheckHIGH 8.6afecta Cisco Secure Firewall Adaptive Security Appliance (ASA) Software
Falla en el servicio SSL VPN de acceso remoto de Cisco ASA y FTD que permite a un atacante remoto sin autenticar reiniciar el equipo y provocar denegación de servicio. VulnCheck observó explotación antes del CISA, un indicio de uso real contra un perímetro de red crítico.
3
En AVideo-Encoder anterior a 8.1.0, un atacante remoto sin autenticar puede otorgarse sesión iniciada y permisos de transmisión haciendo que el endpoint confíe en una respuesta controlada por él. CVSS 10.0: compromiso de plataformas de video expuestas.
4
El instalador sin autenticación de AVideo anterior a 8.1.0 interpola parámetros sin escapar en un archivo PHP de configuración, lo que permite inyectar código ejecutado como usuario del servidor web. CVSS 10.0; riesgo directo de ejecución remota de código.
5
La macro excerpt-include de xwiki-pro-macros (1.13 a 1.14.5) no escapa correctamente el título de la página incluida y ejecuta contenido con los derechos de la macro. Con CVSS 9.9, puede derivar en ejecución de código en instancias XWiki que migran contenido desde Confluence.
6
Autenticación indebida en Dell PowerProtect Data Domain que permite a un atacante remoto sin autenticar ejecutar comandos arbitrarios. Al tratarse de infraestructura de respaldo, el impacto potencial sobre la recuperación ante ransomware es alto.
7
Carga arbitraria de archivos en el plugin Contact Manager de WordPress (hasta 9.1.2) por una lista negra de extensiones incompleta que se evade con un punto final. Permite subir archivos peligrosos y, potencialmente, ejecutar código en el servidor.
8
Uso de clave criptográfica codificada en Dell PowerProtect Data Domain, explotable por un atacante remoto sin autenticar con CVSS 9.8. Una clave fija permite eludir controles de confidencialidad e integridad en sistemas de respaldo.
9
Otra autenticación indebida en Dell PowerProtect Data Domain que podría dar acceso privilegiado a un atacante remoto sin autenticar. Junto con las otras fallas del mismo producto, exige priorizar el parcheo de estos equipos.
10
Elusión de autorización en la funcionalidad /nodered de FUXA (1.3.2-2809) que permite ejecución arbitraria de código con una simple petición HTTP sin autenticar. Preocupa en entornos industriales y SCADA expuestos a la red.
Ransomware del día
Qilin reivindicó recientemente como víctimas a P&B Textiles (manufactura), Animart Pet Stores (comercio minorista) y bio3g.com (salud), todas en Brasil. En los últimos 30 días, los grupos más activos son N0n (6 víctimas), emperador, thegentlemen y qilin (4 cada uno), todos con actividad concentrada en Brasil.
P&B Textiles BR
Animart Pet Stores BR
bio3g.com BR
N0n 6emperador 4thegentlemen 4qilin 4akira 2Vexy Ransomware 2
Grupos y APTs activos
Entre los actores activos o actualizados figuran mamona, mogilevich, mosesstaff (origen Irán), ransomhouse, Elderwood (origen China) y dragonforce, aunque ninguno tiene víctimas conocidas registradas en los datos de hoy. Su presencia en el seguimiento justifica vigilancia, no conclusiones sobre campañas concretas.
Foco Brasil
Brasil concentra la actividad reciente: además de las víctimas de Qilin, figuran GTL Concreto e Logística (emperador), Prafesta Ind. e Com. de Embalagens (N0n), la Universidad de Passo Fundo y Suhai Segurança Pessoal (thegentlemen) y el Hospital Sírio-Libanês (THE SEVEN DEADLY SINS). Los sectores de manufactura, salud y educación aparecen entre los más afectados.
Animart Pet Stores
P&B Textiles
bio3g.com
GTL Concreto e Logística LTDA
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Suhai Segurana Pessoal
Hospital Sírio-Libanês
Recomendación del día: Priorice el parcheo de Cisco ASA/FTD y de los plugins de WordPress con carga de archivos, y actualice Dell PowerProtect Data Domain, AVideo y FUXA, restringiendo su exposición a internet mientras tanto. Verifique que las copias de respaldo estén aisladas y monitoree los accesos VPN.
Con tantas fallas críticas explotables sin autenticación, la pregunta clave es si alguna de ellas está expuesta en su propia superficie de ataque, y solo una validación periódica puede responderla.Antes de que un atacante lo encuentre, encuéntralo tú: haz una evaluación inicial de exposición sin costo y comprueba si tu infraestructura es vulnerable a fallas como estas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →