Boletín diario · 30 de octubre de 2026
Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día
Veredicto del día — atención5 vista(s) antes que CISA
El veredicto del día es ATENCIÓN: cinco vulnerabilidades en destaque fueron observadas en explotación por VulnCheck antes de su confirmación por el CISA, aunque ninguna alcanzó aún la categoría de arma lista. Entre las 627 nuevas publicaciones del día, 43 son críticas, y varias con CVSS 10.0 (bazarr, LXD, CoPilot) exigen revisión inmediata de los entornos expuestos. Conviene priorizar Dahua Intelligent Connection Center y Gravity Forms, ambas críticas y con señales de explotación temprana.
Resumen del día
- Cinco CVE con explotación observada por VulnCheck antes del CISA, encabezadas por Dahua (CVE-2025-31704) y Gravity Forms (CVE-2026-103039).
- Ninguna vulnerabilidad se convirtió en arma lista, pero la señal de explotación temprana exige acción preventiva.
- Fallas con CVSS 10.0 en bazarr, LXD y SOCFortress CoPilot permiten omitir autenticación o escribir archivos arbitrarios.
- En Brasil, qilin, thegentlemen, N0n y emperador siguen golpeando a sectores como salud, educación y manufactura.
43
críticas
5
En explotación activa
5
Antes que CISA
0
Arma lista
Destacados críticos
1
Ejecución remota de comandos sin autenticación (CVSS 9.8) en Dahua Intelligent Connection Center, con explotación observada por VulnCheck antes del CISA. Es la prioridad máxima del día: un atacante remoto podría tomar control del sistema afectado.
2
Inyección de objetos PHP en Gravity Forms para WordPress (hasta la 3.1.2) por una deserialización sin restricciones; CVSS 9.8 y explotación ya observada antes del CISA. Los sitios WordPress con este plugin deben actualizarse sin demora.
3
Inclusión de archivos en DedeCMS anterior a 5.7 que permite a un atacante no autenticado leer archivos locales mediante path traversal. Solo hay prueba de concepto, pero VulnCheck ya observó explotación, lo que indica interés real de los atacantes en una falla antigua.
4
Falta de autorización en Drupal Commerce Core que permite navegación forzada a recursos restringidos (CVSS 6.5). Aunque su severidad es media, la explotación observada antes del CISA justifica parchear las tiendas afectadas.
5
XSS reflejado en Netsweeper (anterior a 4.0.11 y 4.1.0 antes de 4.1.5) mediante el parámetro de log; hay prueba de concepto y explotación observada por VulnCheck. Riesgo de robo de sesión de administradores inducidos a abrir una URL maliciosa.
6
Bazarr anterior a 1.5.7-beta.14 omite autenticación en los endpoints de Plex OAuth, lo que permite a usuarios anónimos borrar credenciales y desactivar la integración (CVSS 10.0). Las instancias expuestas a internet son de riesgo inmediato.
7
Validación incorrecta de certificados en el listener HTTPS de Canonical LXD permite a un atacante no autenticado suplantar a cualquier cliente de confianza con una cadena de certificados manipulada (CVSS 10.0). Otorga acceso total al clúster y a las máquinas virtuales gestionadas.
8
En SOCFortress CoPilot anterior a 0.1.77, el endpoint de generación de informes GCP usa el nombre de archivo sin sanear, lo que habilita escritura de archivos arbitrarios (CVSS 10.0) por parte de usuarios admin o analista. Es especialmente delicado por tratarse de una plataforma de operaciones de seguridad.
9
ThingLinks anterior a 1.4.0 compila y carga scripts Groovy enviados por el usuario sin sandbox, permitiendo ejecución de código en el servidor a un atacante autenticado (CVSS 9.9). Compromete el motor de reglas de la plataforma IoT.
10
En SOCFortress CoPilot, usuarios del portal, incluido customer_user, pueden almacenar marcado malicioso en comentarios de alertas (CVSS 9.9), con riesgo de XSS almacenado contra analistas. Se corrige en las versiones 0.1.70 y 0.1.76.
Ransomware del día
Los grupos más activos en los últimos 30 días son N0n (6 víctimas, todas en Brasil), thegentlemen (4), qilin (4) y emperador (3), también con todas sus víctimas en Brasil. Vexy Ransomware y akira suman 2 cada uno, igualmente en el país.
N0n 6thegentlemen 4qilin 4emperador 3Vexy Ransomware 2akira 2
Grupos y APTs activos
Entre los actores activos que apuntan a Brasil destacan lockbit5 (54 víctimas brasileñas en leak sites), thegentlemen (39), lockbit3 (39) y ransomhub, de origen ruso (35). Akira (24) y arcusmedia (23) completan el grupo con presencia significativa en el país.
lockbit5 mira BRthegentlemen mira BRlockbit3 mira BRransomhub mira BRAkira mira BRarcusmedia mira BR
Foco Brasil
Recientemente aparecieron como víctimas brasileñas Animart Pet Stores, P&B Textiles y bio3g.com (qilin), GTL Concreto e Logística (emperador), Prafesta Ind. e Com. de Embalagens (N0n), la Universidade de Passo Fundo y Suhai Segurança Pessoal (thegentlemen), además del Hospital Sírio-Libanês (THE SEVEN DEADLY SINS). Los sectores de manufactura, salud y educación concentran buena parte de los casos.
Animart Pet Stores
P&B Textiles
bio3g.com
GTL Concreto e Logística LTDA
Prafesta Ind. e Com. de Embalagens Ltda
Universidade de Passo Fundo
Suhai Segurana Pessoal
Hospital Sírio-Libanês
Recomendación del día: Priorice el parcheo de Dahua Intelligent Connection Center, Gravity Forms, LXD, bazarr y CoPilot, y restrinja el acceso a internet de los servicios administrativos afectados. Revise registros en busca de actividad anómala en los sistemas con explotación observada antes del CISA.
Con exploración temprana que precede a las confirmaciones oficiales, validar de forma continua la propia superficie de ataque es la mejor manera de saber si esto realmente le afecta.Saber que la falla existe es la mitad; la otra mitad es saber si te afecta. Empieza con una prueba de exposición sin costo inicial.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →