Boletín diario · 3 de noviembre de 2026
Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck
Veredicto del día — atención1 vista(s) antes que CISA
El veredicto del día es ATENCIÓN: ninguna vulnerabilidad pasó a ser arma lista, pero hay dos en explotación activa y una detectada por VulnCheck antes de que la CISA la confirmara. Destacan la falla de Ivanti Connect Secure, presente en el KEV de la CISA y en el de VulnCheck, y la inyección de código en el plugin Advanced Custom Fields: Extended PRO. Completan la lista varias fallas críticas en routers y equipos de red con CVSS 10.0 y prueba de concepto pública, además de productos empresariales de gestión remota y monitoreo de bases de datos.
Resumen del día
- CVE-2026-118527 (Ivanti Connect Secure) tiene explotación activa confirmada por la CISA y observada por VulnCheck, aunque su CVSS es solo 4.3.
- CVE-2026-120534 (plugin ACF Extended PRO para WordPress, CVSS 9.8) fue observada por VulnCheck antes que por la CISA: alerta temprana de explotación real.
- Cuatro fallas con CVSS 10.0 y PoC público afectan a dispositivos Linksys y Qihoo 360, con fabricantes que no respondieron a la divulgación.
- Foglight for Databases, Dameware y WSO2 suman fallas críticas que permiten ejecución remota de código o acceso indebido a APIs.
68
críticas
2
En explotación activa
1
Antes que CISA
0
Arma lista
Destacados críticos
1
Es la más urgente del día: explotación activa confirmada por la CISA y observada por VulnCheck. Aunque requiere autenticación y su CVSS es 4.3, permite subir archivos con contenido controlado a una ubicación conocida del disco en un equipo de acceso remoto expuesto, lo que puede servir de paso intermedio en una cadena de ataque.
2
VulnCheck observó explotación antes que la CISA, lo que indica ataques reales aunque no haya confirmación oficial y pese a un EPSS de 0%. La inyección de código limitada, sin autenticación y con CVSS 9.8, afecta a todas las versiones hasta la 0.9.2.6 del plugin para WordPress.
3
Autenticación incorrecta en el router Linksys E5600 con CVSS 10.0 y PoC público; el fabricante no respondió al aviso, por lo que quizá no haya parche. Conviene limitar la exposición remota del dispositivo.
4
Credenciales codificadas de forma fija en el router Qihoo 360 Whole Home Router M5, explotables de forma remota y con PoC público. El fabricante no respondió, por lo que el riesgo de acceso no autorizado persiste.
5
Inyección de comandos del sistema operativo por el argumento host en dispositivos Qihoo 360 (D603-2, D600-2, D606-6 y D706), con ataque remoto y PoC público. Permite potencialmente tomar el control del equipo.
6
Verificación incorrecta de la firma criptográfica del firmware en varios modelos Qihoo 360, explotable de forma remota y con exploit divulgado. Debilita la confianza en la integridad del firmware.
7
Inyección de comandos en SolarWinds Dameware con CVSS 9.9 que puede comprometer el host controlado remotamente. Requiere autenticación, pero una credencial robada bastaría para aprovecharla en una herramienta de acceso remoto.
8
En WSO2 solo afecta a despliegues con Identity Server como Resident Key Manager con base de datos compartida: un usuario autoregistrado podría acceder a las System REST APIs de API Manager. Conviene revisar si esa configuración existe en su entorno.
9
Ejecución remota de código sin autenticación en Quest Foglight for Databases por control externo de la ruta de archivo en writeTopologySectionToFile. CVSS 9.8, y un sistema de monitoreo de bases de datos es un objetivo de alto valor.
10
Falta de autenticación en el módulo ForgeMBeanServerSupport de Foglight for Databases que permite ejecución remota de código sin credenciales. Junto con CVE-2026-92189, aumenta el riesgo para este producto.
Ransomware del día
Punta Shopping, del sector Retail y comercio electrónico en Brasil, fue una de las víctimas recién descubiertas, reivindicada por el grupo emperador. Entre los grupos más activos en los últimos 30 días figuran N0n (6 víctimas, todas en Brasil), thegentlemen, emperador y qilin (4 cada uno, todas en Brasil), además de Eclipse e incransom (2 cada uno).
Punta Shopping BR
N0n 6thegentlemen 4emperador 4qilin 4Eclipse 2incransom 2
Grupos y APTs activos
Los leak sites muestran una fuerte presión sobre Brasil: lockbit5 (54 víctimas brasileñas), lockbit3 y thegentlemen (39 cada uno), ransomhub, de origen ruso (35), Akira (24) y arcusmedia (23). Todos estos actores apuntan al país.
lockbit5 mira BRlockbit3 mira BRthegentlemen mira BRransomhub mira BRAkira mira BRarcusmedia mira BR
Foco Brasil
Entre las víctimas brasileñas recientes aparecen P&B Textiles, bio3g.com y Animart Pet Stores (qilin), GTL Concreto e Logística LTDA y Punta Shopping (emperador), y CLIMEDI y la Universidade de Passo Fundo (thegentlemen). También figura el Hospital Sírio-Libanês, atribuido a THE SEVEN DEADLY SINS, con fuerte presencia de los sectores salud, manufactura y comercio.
Punta Shopping
P&B Textiles
bio3g.com
Animart Pet Stores
GTL Concreto e Logística LTDA
CLIMEDI
Universidade de Passo Fundo
Hospital Sírio-Libanês
Recomendación del día: Aplique de inmediato los parches de Ivanti Connect Secure (25.1.1.3 o 22.8R2.6 y posteriores), actualice o desactive el plugin ACF Extended PRO y evite exponer a internet routers y dispositivos sin parche. Restrinja el acceso a Dameware, Foglight y WSO2 y revise las configuraciones afectadas.
Saber si estas fallas lo afectan depende de conocer y probar su propia superficie de ataque, y validarla con regularidad es la forma de convertir las alertas del día en decisiones concretas.Antes de que un atacante lo encuentre, encuéntralo tú: haz una evaluación inicial de exposición sin costo y comprueba si tu infraestructura es vulnerable a fallas como estas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →