Boletín diario · 31 de octubre de 2026
Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA
Veredicto del día — atención4 vista(s) antes que CISA
El veredicto del día es de ATENCIÓN: ninguna vulnerabilidad se convirtió en arma lista, pero cuatro ya muestran explotación observada por VulnCheck antes de cualquier confirmación del CISA. Entre los 123 nuevos registros y 11 críticos, destacan fallos de ejecución remota y evasión de autenticación en el ecosistema WordPress, incluido el propio WordPress Core. Conviene tratar el día con vigilancia activa y priorizar el parcheo de los componentes expuestos a internet.
Resumen del día
- Cuatro CVE (CVE-2026-116512, CVE-2026-119096, CVE-2026-119977, CVE-2026-103898) fueron vistas en explotación por VulnCheck antes que el CISA.
- WordPress Core (4.7 a 7.1.3) tiene un RCE sin autenticación durante la ventana de actualización (CVE-2026-119977).
- Predominan los fallos críticos en plugins de WordPress: RCE, evasión de autenticación, carga arbitraria de archivos e inyección de objetos PHP.
- Además aparecen fallos críticos en D-Link DIR-505, Apache MINA, AJ-Report y Jpom, con RCE o toma de control administrativo.
11
críticas
4
En explotación activa
4
Antes que CISA
0
Arma lista
Destacados críticos
1
CVE-2026-116512◆ VulnCheckCVSS 9.8afecta Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker
RCE crítico (CVSS 9.8) en el plugin Project Manager de WordPress hasta la 4.1.1, por una concatenación sin sanear del parámetro 'id'. VulnCheck observó explotación antes que el CISA, así que hay que tratarlo como amenaza ya activa.
2
Evasión de autenticación crítica (CVSS 9.8) en Uncanny Toolkit for LearnDash hasta la 3.8.2, mediante el parámetro 'email'. Permite suplantar cuentas y VulnCheck ya vio explotación antes que el CISA.
3
RCE en WordPress Core (4.7 a 7.1.3) por rutas de staging predecibles y accesibles por web durante actualizaciones completas. Al afectar al núcleo, el alcance es enorme, y VulnCheck observó explotación antes que el CISA.
4
Evasión de autenticación (CVSS 8.1) en Wp Social Login and Register Social Counter hasta la 3.2.2: el callback REST localiza cuentas solo por el correo devuelto por el proveedor OAuth. Con explotación observada por VulnCheck antes que el CISA, puede derivar en toma de cuentas.
5
Desbordamiento de búfer en pila (CVSS 10.0) en el manejador de subida TFTP del D-Link DIR-505 1.10B02, explotable de forma remota y con prueba de concepto pública. Los routers de este tipo suelen quedar sin parche, lo que eleva el riesgo.
6
CVE-2026-118235CVSS 9.8afecta SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications
Carga arbitraria de archivos (CVSS 9.8) en SimpleForm hasta la 3.10.2: un nombre con punto final evita las validaciones de extensión y MIME. Puede conducir a ejecución de código en el servidor.
7
Inyección de objetos PHP (CVSS 9.8) en PDF Invoice for WooCommerce hasta la 7.1.1, a través del campo 'customer_note' del checkout. Afecta a tiendas en línea, donde cualquier cliente puede enviar ese dato.
8
Deserialización sin filtro de clases en JavaNativeMessageDecoder de Apache MINA 3.0, con riesgo de RCE si se expone a pares no confiables. La rama está inactiva y no habrá corrección: la recomendación es migrar a MINA 2.2.
9
AJ-Report hasta la 1.7.1 firma sus tokens con un secreto JWT fijo, lo que permite falsificarlos y alcanzar un endpoint que ejecuta scripts Groovy sin autenticación. El resultado es RCE remoto sin credenciales.
10
Evasión de autenticación en Jpom 2.10.0 a 2.11.12 mediante inyección de condiciones en la cabecera JPOM-USER-TOKEN, con acceso de superadministrador. Desde ahí se pueden ejecutar comandos mediante las funciones de scripts.
Ransomware del día
La víctima recién descubierta es Punta Shopping, del sector retail y comercio electrónico en Brasil, reivindicada por el grupo emperador. Entre los grupos más activos en 30 días figuran N0n (6 víctimas, todas en Brasil), emperador, qilin y thegentlemen (4 cada uno, todas en Brasil), además de Eclipse y akira (2 cada uno).
Punta Shopping BR
N0n 6emperador 4qilin 4thegentlemen 4Eclipse 2akira 2
Grupos y APTs activos
Los leak sites muestran varios actores con foco en Brasil: lockbit5 (54 víctimas brasileñas), thegentlemen y lockbit3 (39 cada uno), ransomhub, de origen ruso (35), Akira (24) y arcusmedia (23). La concentración en Brasil confirma que el país es un objetivo recurrente de múltiples operaciones de ransomware.
lockbit5 mira BRthegentlemen mira BRlockbit3 mira BRransomhub mira BRAkira mira BRarcusmedia mira BR
Foco Brasil
Entre las víctimas brasileñas recientes están Punta Shopping y Animart Pet Stores (retail), bio3g.com, CLIMEDI y Hospital Sírio-Libanês (salud), P&B Textiles y GTL Concreto e Logística (manufactura) y Pantanal Agricola (agroindustria). Qilin, emperador y thegentlemen aparecen como los grupos con más reivindicaciones, y el sector salud destaca por su exposición.
Punta Shopping
bio3g.com
P&B Textiles
Animart Pet Stores
GTL Concreto e Logística LTDA
CLIMEDI
Pantanal Agricola
Hospital Sírio-Libanês
Recomendación del día: Actualice de inmediato WordPress Core y los plugins afectados, o desactívelos si aún no hay parche, y revise registros en busca de accesos anómalos o cargas de archivos. Retire de internet los dispositivos y servicios sin soporte, como D-Link DIR-505 y Apache MINA 3.0, y restrinja el acceso a Jpom y AJ-Report.
Con explotación ya observada antes de la confirmación oficial, validar cuál es realmente su superficie de ataque expuesta es la forma más fiable de saber si estos riesgos le afectan.Surgen vulnerabilidades todos los días — ¿tu defensa va al ritmo? Haz un análisis inicial gratuito de tu superficie de ataque.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →