Boletín diario · 4 de noviembre de 2026

Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA

Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS

Veredicto del día — atención1 vista(s) antes que CISA

El veredicto del día es de ATENCIÓN: ninguna vulnerabilidad se convirtió en arma lista, pero hay una CVE con exploración observada por VulnCheck antes de que el CISA la confirmara, lo que indica uso real en la práctica. De las 419 nuevas CVE publicadas, 39 son críticas, con destaque para routers Edimax, Comfast y Linksys con exploits públicos y sin respuesta de los fabricantes, además de fallas serias en plataformas de IA y en Ruby on Rails.

Resumen del día

CVE-2026-120422 (Sogou Input Method) fue observada en explotación por VulnCheck antes del CISA: tratarla como alerta temprana.
Cuatro routers (Edimax, Comfast y dos fallas en Linksys E5350) tienen CVSS 10.0, exploit público y fabricantes que no respondieron.
Plataformas de IA (Yuxi y GPUStack) presentan aislamiento débil y bypass de autenticación con CVSS 9.9 y 9.8.
Active Storage de Rails y JetFormBuilder completan la lista con riesgo de lectura de secretos y escalada de privilegios.

críticas

En explotación activa

Antes que CISA

Arma lista

Destacados críticos

CVE-2026-120422◆ VulnCheckHIGH 8.9afecta Sogou Input Method

Sogou Input Method obtiene su configuración por HTTP sin cifrar, lo que permite a un atacante con control del tráfico de red sustituir las respuestas por configuraciones maliciosas. VulnCheck observó explotación antes que el CISA, una señal fuerte de uso real.

CVE-2026-122051CVSS 10PoCafecta BR-6208AC

Inyección de comandos remota en el Edimax BR-6208AC (CVSS 10.0) con exploit público y sin respuesta del fabricante. Un router comprometido expone toda la red que protege.

CVE-2026-122013CVSS 10PoCafecta CF-WR632AX

Path traversal remoto en el parser multipart del Comfast CF-WR632AX, con CVSS 10.0 y exploit público. Sin respuesta del fabricante, la mitigación depende de aislar el dispositivo.

CVE-2026-121933CVSS 10PoCafecta E5350

Falta de autenticación en el asistente de configuración del Linksys E5350, explotable de forma remota para manipular la contraseña del router. Hay exploit público y el fabricante no respondió.

CVE-2026-121932CVSS 10PoCafecta E5350

Inyección de comandos del sistema operativo en el mismo Linksys E5350 mediante los parámetros de ping y traceroute. Combinada con CVE-2026-121933, agrava el riesgo de toma total del equipo.

CVE-2026-97693CVSS 9.9afecta Yuxi

En Yuxi (0.6.0.beta1 hasta 0.7.1), un usuario autenticado de bajo privilegio puede salir de su sandbox Docker y acceder a archivos y secretos de otros tenants. Riesgo serio de fuga de datos en entornos multi-inquilino.

CVE-2026-102895CVSS 9.8afecta gpustack

GPUStack anterior a 2.2.0 trataba las peticiones desde loopback como administrador, y un proxy inverso en el mismo host podía hacer que una petición remota pareciera local. Resultado posible: acceso administrativo no autorizado.

CVE-2026-82418CVSS 9.8afecta Watson Speech Services Cartridge

Use-after-free en IBM Watson Speech Services Cartridge (4.0.0 a 5.4.0) que permite ejecución remota de código. Debe priorizarse en entornos que usen este componente.

CVE-2026-122006CVSS 9.8afecta Active Storage

Active Storage de Rails anterior a 8.1.4.1 puede permitir lectura y escritura en el servidor, incluida la lectura de secret_key_base, al procesar adjuntos con ImageMagick sin política de seguridad. Exponer ese secreto compromete la integridad de las aplicaciones.

CVE-2026-119481CVSS 9.8afecta JetFormBuilder

Asignación incorrecta de privilegios en JetFormBuilder (hasta 3.6.7.1) que permite escalada de privilegios. En sitios WordPress, eso puede derivar en control administrativo.

Ransomware del día

Entre las víctimas recientes en Brasil figuran Interativa Plasticos (Interplast), del sector manufacturero, atribuida a medusalocker, y centratamagroup.com, atribuida a lockbit5. En los últimos 30 días los grupos más activos son N0n (6 víctimas), qilin, emperador y thegentlemen (4 cada uno), todos con foco en Brasil.

Interativa Plasticos (Interplast) BRmedusalocker · Manufacturing

centratamagroup.com BRlockbit5 · Other

N0n 6qilin 4emperador 4thegentlemen 4Eclipse 2medusalocker 2

Grupos y APTs activos

lockbit5 encabeza la lista con 55 víctimas brasileñas en leak sites, seguido por lockbit3 y thegentlemen con 39 cada uno. ransomhub (origen Rusia) suma 35, Akira 24 y arcusmedia 23, todos con Brasil en la mira.

lockbit5 mira BR—lockbit3 mira BR—thegentlemen mira BR—ransomhub mira BRRússia Akira mira BR—arcusmedia mira BR—

Foco Brasil

El cenario brasileño muestra una fuerte presión sobre manufactura, comercio minorista y salud. Entre las víctimas recientes están Punta Shopping y Animart Pet Stores (comercio), bio3g.com (salud), P&B Textiles, GTL Concreto e Logística LTDA y Prafesta Ind. e Com. de Embalagens Ltda (manufactura), con qilin, emperador y N0n como grupos recurrentes.

Interativa Plasticos (Interplast)medusalocker · Manufacturing

centratamagroup.comlockbit5 · Other

Punta Shoppingemperador · Retail & E-Commerce

bio3g.comqilin · Healthcare

P&B Textilesqilin · Manufacturing

Animart Pet Storesqilin · Retail & E-Commerce

GTL Concreto e Logística LTDAemperador · Manufacturing

Prafesta Ind. e Com. de Embalagens LtdaN0n · Manufacturing

Recomendación del día: Priorizar la revisión de dispositivos de borde (routers Edimax, Comfast y Linksys) aislándolos o reemplazándolos si no hay parche, y actualizar Active Storage, GPUStack y Yuxi a las versiones corregidas. Evitar que Sogou Input Method obtenga configuraciones por HTTP sin cifrar mientras no haya corrección.

Con tantas fallas críticas en dispositivos y plataformas que pueden pasar desapercibidos, vale la pena validar periódicamente cuál es realmente tu superficie de ataque expuesta.Cada CVE de arriba es una puerta posible — descubre cuáles están abiertas en tu entorno con un diagnóstico gratuito de superficie de ataque.Conoce el Agente de Pentest Autónomo con IA →

Boletines anteriores