Boletín diario · 2 de noviembre de 2026

Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención

Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS

Veredicto del día — atención1 vista(s) antes que CISA

El veredicto del día es de ATENCIÓN: ninguna vulnerabilidad llegó a «arma lista», pero VulnCheck observó explotación de CVE-2026-86596 (s2Member para WordPress, CVSS 9.8) antes que el CISA, un alerta temprano de uso real. Entre 392 nuevas CVE hubo 21 críticas, con fallas de carga y borrado de archivos en CMS, inyección de comandos en routers WAVLINK y omisiones de autenticación en Secure Access.

Resumen del día

CVE-2026-86596 (s2Member, RCE, CVSS 9.8): exploración vista por VulnCheck antes del CISA y armada el mismo día de la divulgación.
Dos inyecciones de comandos con CVSS 10.0 en el router WAVLINK WN551X3-A, con exploit público.
Tres fallas en extensiones de WordPress y Joomla permiten borrado o carga de archivos con riesgo de RCE.
Dos fallas críticas en Secure Access (CSRF y omisión de autenticación) afectan el control administrativo.

críticas

En explotación activa

Antes que CISA

Arma lista

Destacados críticos

CVE-2026-86596◆ VulnCheckCVSS 9.8PoCel mismo díaafecta s2Member – Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions

RCE en el plugin s2Member de WordPress vía el parámetro 'item_name', con exploración observada por VulnCheck antes del CISA y armada el mismo día de la divulgación. Es la más urgente: hay señales de uso real y solo existe prueba de concepto, por lo que conviene actuar ya.

CVE-2026-120345CVSS 10PoCafecta WN551X3-A

Inyección de comandos del SO en el router WAVLINK WN551X3-A (CVSS 10.0), explotable de forma remota y con exploit público. El fabricante fue contactado, pero el riesgo de compromiso del dispositivo es alto si está expuesto a internet.

CVE-2026-120344CVSS 10PoCafecta WN551X3-A

Otra inyección de comandos (CVSS 10.0) en el mismo router, en el manejador de grupos de WireGuard CLI mediante 'group_name'. Con exploit divulgado, permite toma de control remota del equipo.

CVE-2026-102435CVSS 9.8afecta Ultra Addons for Contact Form 7

Borrado arbitrario de archivos sin autenticación en Ultra Addons for Contact Form 7 (hasta 3.5.54). Eliminar archivos como wp-config.php puede derivar en ejecución remota de código.

CVE-2026-105606CVSS 9.5afecta Custom Tables extension for Joomla

Carga de archivos sin autenticación en Custom Tables para Joomla (<3.7.8) mediante formularios públicos. El archivo queda en un directorio accesible por web y la ruta se revela en la respuesta, lo que facilita su abuso.

CVE-2026-97718CVSS 9.4afecta Secure Access

CSRF en Secure Access 14.60 que, al eludir un control de seguridad, puede hacer que un administrador cree una cuenta controlada por el atacante. Supone riesgo de acceso persistente al servidor.

CVE-2026-105603CVSS 9.4afecta DJ-Classifieds extension for Joomla

Carga de archivos autenticada en DJ-Classifieds para Joomla (<3.11.3) que lleva a RCE completa incluso con usuarios sin privilegios. Es peligrosa en sitios con registro abierto.

CVE-2026-119085CVSS 9.4afecta virtual-engineering-workbench

Inyección en motor de plantillas en Amazon Virtual Engineering Workbench que permite a un tercero autenticado ejecutar código con el rol IAM de la Lambda de publicación. Podría exponer datos y recursos de todos los proyectos de los inquilinos.

CVE-2025-11969CVSS 9.4afecta WSO2 API Control Plane

Control de acceso deficiente en las System REST APIs de WSO2 API Control Plane: usuarios de bajo privilegio pueden ejecutar acciones administrativas. Facilita escalada de privilegios y operaciones no autorizadas.

CVE-2026-116769CVSS 9.3afecta Secure Access

Omisión de autenticación en Secure Access (desde 13.0 y antes de 14.61) que permite modificar la configuración de seguridad de un cliente desde el servidor. Debilita las defensas y puede encadenarse con otras fallas.

Ransomware del día

Entre las víctimas recién descubiertas figura Punta Shopping (Retail y comercio electrónico, Brasil), atribuida al grupo emperador. En los últimos 30 días los grupos más activos son N0n (6 víctimas, todas en Brasil), thegentlemen, emperador y qilin (4 cada uno, todas en Brasil), además de Eclipse e incransom (2 cada uno).

Punta Shopping BRemperador · Retail & E-Commerce

N0n 6thegentlemen 4emperador 4qilin 4Eclipse 2incransom 2

Grupos y APTs activos

Varios grupos de ransomware con actividad reciente apuntan a Brasil: lockbit5 (54 víctimas brasileñas en sitios de filtración), lockbit3 (39), thegentlemen (39), ransomhub, de origen ruso (35), Akira (24) y arcusmedia (23). Esto confirma una presión sostenida y diversificada sobre organizaciones brasileñas.

lockbit5 mira BR—lockbit3 mira BR—thegentlemen mira BR—ransomhub mira BRRússia Akira mira BR—arcusmedia mira BR—

Foco Brasil

Las víctimas brasileñas recientes abarcan varios sectores: Punta Shopping y Animart Pet Stores (comercio), bio3g.com y Hospital Sírio-Libanês (salud), P&B Textiles y GTL Concreto e Logística (manufactura), la Universidade de Passo Fundo (educación) y Pantanal Agricola (agroindustria). Los grupos involucrados incluyen qilin, emperador, thegentlemen y THE SEVEN DEADLY SINS.

Punta Shoppingemperador · Retail & E-Commerce

bio3g.comqilin · Healthcare

P&B Textilesqilin · Manufacturing

Animart Pet Storesqilin · Retail & E-Commerce

GTL Concreto e Logística LTDAemperador · Manufacturing

Universidade de Passo Fundothegentlemen · Education

Pantanal Agricolathegentlemen · Agriculture and Food Production

Hospital Sírio-LibanêsTHE SEVEN DEADLY SINS · Healthcare

Recomendación del día: Actualice o desactive de inmediato el plugin s2Member y revise los demás plugins y extensiones de WordPress y Joomla mencionados. Aísle los routers WAVLINK de internet y aplique el parche de Secure Access (14.61 o posterior) y las correcciones de WSO2 y de los demás productos afectados.

Con fallas críticas que se explotan o se arman en cuestión de horas, validar periódicamente la propia superficie de ataque es la forma más directa de saber si estos riesgos nos afectan.Descubre en minutos, con una evaluación gratuita de exposición, dónde está realmente expuesta tu organización.Conoce el Agente de Pentest Autónomo con IA →

Boletines anteriores