Boletín diario · 29 de octubre de 2026
Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — tranquilo
El veredicto del día es CALMO: ninguna vulnerabilidad se convirtió en arma lista, no hay explotación activa (KEV) confirmada y ninguna fue observada por VulnCheck antes que la CISA, pese a 502 CVE nuevos y 58 críticos. Aun así, los destacados concentran fallas de gravedad máxima en WS_FTP Server, una serie de ejecución remota de código en Langflow OSS y varios plugins de WordPress con toma de cuentas o carga arbitraria de archivos. El tono es de monitoreo atento: conviene priorizar parches en software expuesto a internet.
Resumen del día
- Veredicto CALMO: 0 armas listas, 0 en explotación activa y 0 vistas por VulnCheck antes que la CISA.
- WS_FTP Server acumula dos críticas (CVSS 10.0 y 9.9), una con riesgo de exposición de credenciales administrativas.
- Langflow OSS suma tres fallas de ejecución de código (CVSS 9.9) con prueba de concepto.
- Cinco plugins de WordPress críticos permiten toma de cuentas, lectura de archivos o carga de PHP.
Destacados críticos
1
Autenticación inadecuada en WS_FTP Server para Windows que permite a un atacante remoto sin autenticar acceder a información sensible, incluidas credenciales administrativas. Con CVSS 10.0 en un servicio de transferencia de archivos expuesto, el riesgo de compromiso total es alto.
2
Ejecución remota de código sin autenticación en AjaxLoadMore Cache hasta la versión 3.1.1, con CVSS 10.0. Un sitio WordPress con este plugin queda expuesto a control total por parte de cualquier visitante.
3
El plugin Automated Import Products to Cart permite que usuarios con permisos mínimos, como suscriptores, lean y eliminen archivos arbitrarios, incluidos los que contienen credenciales de la base de datos. Hay prueba de concepto, aunque el EPSS es 0%.
4
Inyección de comandos del sistema operativo en WS_FTP Server para Windows que podría permitir ejecución arbitraria de comandos en ciertas configuraciones. Junto con la otra falla del producto, justifica revisar las versiones desplegadas.
5
Falta de autorización en IBM Langflow OSS (1.0.0 a 1.12.4) que permite a un atacante autenticado ejecutar código arbitrario. Existe prueba de concepto, lo que eleva la urgencia en instancias accesibles.
6
Neutralización inadecuada de código en eval/exec en Langflow OSS (1.0.0 a 1.12.4), que habilita ejecución remota de código por un usuario autenticado. Con prueba de concepto disponible, es parte de un conjunto que debe tratarse en bloque.
7
Control inadecuado de la generación de código en Langflow OSS (1.0.0 a 1.12.4), también con ejecución arbitraria de código por un atacante autenticado. Se suma a las otras dos fallas del mismo producto con prueba de concepto.
8
El endpoint REST del plugin Bot for Telegram on WooCommerce (hasta 1.3.0) no verifica la firma del webhook y permite a un atacante sin autenticar falsificar actualizaciones y tomar cuentas. El EPSS es 1%, pero la falla es trivial de abusar en tiendas expuestas.
9
Chat AI with Dispatcher (anterior a 2.4) valida los archivos subidos solo con un tipo de contenido falsificable, lo que permite cargar PHP sin autenticación y lograr ejecución remota de código. Hay prueba de concepto, con EPSS de 0%.
10
El plugin LogixFast Auth (anterior a 1.0.4) envía el código de restablecimiento de contraseña al correo indicado en la solicitud y no al de la cuenta, de modo que cualquiera puede tomar cualquier cuenta, incluida la de administrador. Existe prueba de concepto.
Ransomware del día
Recientemente se detectaron tres víctimas brasileñas del grupo qilin: P&B Textiles (manufactura), Animart Pet Stores (retail y comercio electrónico) y bio3g.com (salud). En los últimos 30 días los grupos más activos son N0n (6 víctimas), qilin (4), thegentlemen (4) y emperador (3), todos con actividad concentrada en Brasil; akira y Vexy Ransomware registran 2 cada uno.
P&B Textiles BRqilin · Manufacturing
Animart Pet Stores BRqilin · Retail & E-Commerce
bio3g.com BRqilin · Healthcare
N0n 6qilin 4thegentlemen 4emperador 3akira 2Vexy Ransomware 2
Grupos y APTs activos
Entre los actores con actividad o actualización figuran mamona, mogilevich, mosesstaff (origen Irán), ransomhouse, Elderwood (origen China) y dragonforce. Ninguno tiene víctimas conocidas asociadas en los datos de hoy, por lo que se trata de seguimiento y no de campañas confirmadas.
Foco Brasil
Brasil concentra la actividad de ransomware reciente: además de las víctimas de qilin, figuran GTL Concreto e Logística (emperador), Prafesta Ind. e Com. de Embalagens (N0n), la Universidade de Passo Fundo y Suhai Segurança Pessoal (thegentlemen) y el Hospital Sírio-Libanês (THE SEVEN DEADLY SINS). Los sectores afectados son manufactura, salud, educación, retail y servicios profesionales.
Animart Pet Storesqilin · Retail & E-Commerce
P&B Textilesqilin · Manufacturing
bio3g.comqilin · Healthcare
GTL Concreto e Logística LTDAemperador · Manufacturing
Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing
Universidade de Passo Fundothegentlemen · Education
Suhai Segurana Pessoalthegentlemen · Professional Services
Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare
Recomendación del día: Verifique si WS_FTP Server, Langflow OSS o los plugins de WordPress mencionados están en su entorno y aplique las versiones corregidas, empezando por los servicios expuestos a internet. Restrinja el acceso a instancias de Langflow y revise credenciales administrativas donde corresponda.
Con tantas fallas críticas en software de uso común, la pregunta clave es si alguna de ellas está realmente expuesta en su propia superficie de ataque, y solo una validación periódica puede responderla.Cada CVE de arriba es una puerta posible — descubre cuáles están abiertas en tu entorno con un diagnóstico gratuito de superficie de ataque.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →