Boletín diario · 1 de noviembre de 2026

Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos

Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS

Veredicto del día — tranquilo

El veredicto del día es CALMO: ninguna vulnerabilidad se convirtió en arma lista, ninguna figura en explotación activa (KEV) y ninguna fue observada por VulnCheck antes que la CISA. Aun así, de las 163 nuevas fallas publicadas, 28 son críticas, y el destaque lo concentran routers WAVLINK y un Linksys E8450 con CVSS 10.0, además de dos fallas de aislamiento en plataformas de software. Es un día de monitoreo, no de urgencia.

Resumen del día

Veredicto CALMO: 0 armas listas, 0 en explotación activa (KEV) y 0 vistas por VulnCheck antes que la CISA.
Siete de las diez destacadas afectan routers WAVLINK WL-WN530BE1-A, WL-WN579A3-A y WN536AX6-A (inyección de comandos y desbordamiento de búfer), con PoC público.
El Linksys E8450 (CVE-2026-120283) tiene desbordamiento de búfer remoto y el fabricante no respondió al aviso.
Dos fallas de aislamiento (prefab-ui y Beta9 gateway) permiten escapar de entornos pensados para código no confiable.

críticas

En explotación activa

Antes que CISA

Arma lista

Destacados críticos

CVE-2026-120198CVSS 10PoCafecta WL-WN530BE1-A

Inyección de comandos remota en el WAVLINK WL-WN530BE1-A mediante /protocol.csp, con CVSS 10.0 y prueba de concepto pública. El EPSS es bajo (2%), pero un exploit divulgado facilita el abuso de equipos expuestos.

CVE-2026-120195CVSS 10PoCafecta WL-WN579A3-A

Inyección de comandos del SO en el asistente de configuración inicial del WAVLINK WL-WN579A3-A, explotable de forma remota y con PoC público. Un router comprometido da al atacante un punto de apoyo en la red.

CVE-2026-120283CVSS 10afecta E8450

Desbordamiento de búfer en pila en el portal.cgi del Linksys E8450, explotable remotamente. El fabricante no respondió al aviso, por lo que es probable que no haya parche cercano.

CVE-2026-120281CVSS 10PoCafecta WN536AX6-A

Desbordamiento de búfer en pila en el manejador OpenVPN del WAVLINK WN536AX6-A, remoto y con exploit público. Puede provocar caída del equipo o ejecución de código.

CVE-2026-120280CVSS 10PoCafecta WN536AX6-A

Inyección de comandos en el componente WireGuard del WN536AX6-A, accesible de forma remota y con PoC público. Afecta a quienes exponen la gestión del router.

CVE-2026-120279CVSS 10PoCafecta WN536AX6-A

Inyección de comandos del SO en el manejador openvpn_cli del WN536AX6-A mediante el argumento file_id, con exploit publicado. Forma parte de una serie de fallas similares en el mismo equipo.

CVE-2026-120277CVSS 10PoCafecta WN536AX6-A

Inyección de comandos en el manejador de grupos WireGuard CLI (/bin/ioos) del WN536AX6-A, con exploit público. Refuerza el patrón de validación insuficiente en este firmware.

CVE-2026-120276CVSS 10PoCafecta WN536AX6-A

Inyección de comandos en la interfaz web de administración del WN536AX6-A, remota y con exploit disponible. Exponer la gestión a internet agrava el riesgo.

CVE-2026-120338CVSS 10afecta prefab-ui

En prefab-ui 0.14.0 a 0.20.2, el sandbox de UI generativa inicia Deno con permisos amplios de lectura, escritura y red, lo que anula el aislamiento prometido para código no confiable, incluido el generado por LLM. Riesgo relevante para quien ejecuta código de terceros.

CVE-2026-120308CVSS 9.9afecta Beta9 gateway

En el gateway de Beta9, el identificador de volumen no se valida y permite segmentos de directorio padre, de modo que un inquilino puede salir de su espacio y alcanzar el sistema de archivos del worker. Es un riesgo serio de aislamiento en entornos multiinquilino.

Ransomware del día

El grupo emperador reivindicó recientemente a Punta Shopping (retail y comercio electrónico, Brasil). En los últimos 30 días los más activos fueron N0n (6 víctimas), thegentlemen, emperador y qilin (4 cada uno), todos con víctimas en Brasil, además de akira y Eclipse (2 cada uno).

Punta Shopping BRemperador · Retail & E-Commerce

N0n 6thegentlemen 4emperador 4qilin 4akira 2Eclipse 2

Grupos y APTs activos

Varios grupos de ransomware con foco en Brasil figuran en los leak sites: lockbit5 (54 víctimas brasileñas), lockbit3 (39), thegentlemen (39), ransomhub, de origen ruso (35), Akira (24) y arcusmedia (23). Destaca la persistencia de las familias LockBit en el país.

lockbit5 mira BR—lockbit3 mira BR—thegentlemen mira BR—ransomhub mira BRRússia Akira mira BR—arcusmedia mira BR—

Foco Brasil

Entre las víctimas brasileñas recientes figuran Punta Shopping y GTL Concreto e Logística (emperador), bio3g.com, Animart Pet Stores y P&B Textiles (qilin), la Universidade de Passo Fundo y Suhai Segurança Pessoal (thegentlemen) y Prafesta Ind. e Com. de Embalagens (N0n). Los sectores afectados son retail, manufactura, salud, educación y servicios profesionales.

Punta Shoppingemperador · Retail & E-Commerce

bio3g.comqilin · Healthcare

Animart Pet Storesqilin · Retail & E-Commerce

P&B Textilesqilin · Manufacturing

GTL Concreto e Logística LTDAemperador · Manufacturing

Universidade de Passo Fundothegentlemen · Education

Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing

Suhai Segurana Pessoalthegentlemen · Professional Services

Recomendación del día: Retire de internet las interfaces de administración de routers WAVLINK y Linksys, segmente esos equipos y revise si hay actualizaciones del fabricante. En entornos que ejecutan código no confiable (prefab-ui, Beta9), restrinja los permisos del sandbox y valide las rutas de volúmenes.

Que un día sea calmo en explotación activa no significa que su superficie de ataque esté limpia, y validarla periódicamente es la forma de saber si estos riesgos le afectan.No esperes a ser estadística: valida hoy, sin costo, si alguno de estos vectores alcanza tus sistemas.Conoce el Agente de Pentest Autónomo con IA →

Boletines anteriores