Boletín diario · 5 de noviembre de 2026
BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada
Veredicto del día — atención1 vista(s) antes que CISA
El veredicto del día es ATENCIÓN: ninguna vulnerabilidad se convirtió en arma lista, pero hay una en explotación activa y una (CVE-2026-119757, BTCPay Server) observada por VulnCheck antes de su confirmación por CISA, lo que funciona como alerta temprana. Entre las 383 nuevas publicaciones, 33 críticas, destaca además un conjunto de fallas en Apache Juneau, todas con CVSS 10.0. En paralelo, el ransomware sigue golpeando a organizaciones brasileñas.
Resumen del día
- CVE-2026-119757 (BTCPay Server, CVSS 9.3): exposición de archivos .macaroon de nodos LND con riesgo de robo de fondos; VulnCheck ya observó explotación antes que CISA.
- Apache Juneau acumula ocho CVE críticas (CVSS 10.0) publicadas el mismo día: path traversal, XSS, CRLF, fuga de credenciales, CSRF y carga de clases.
- CVE-2026-111490 (Matchpoint, CVSS 9.9): IDOR en la API que expone datos personales y financieros y permite modificar cuentas de terceros.
- Brasil bajo presión: MAPFRE Brasil, Solutis, Sistel y la Secretaría de Estado de Salud figuran entre las víctimas recientes de ransomware.
33
críticas
1
En explotación activa
1
Antes que CISA
0
Arma lista
Destacados críticos
1
Permite a un atacante remoto sin autenticación obtener archivos .macaroon de un nodo LND y tomar control total, incluido el movimiento de fondos. VulnCheck observó explotación antes que CISA: es la más urgente del día para quien opere BTCPay Server anterior a 2.4.2.
2
El recurso DirectoryResource de Apache Juneau no confina las rutas a su directorio raíz; si se habilitan las opciones de vista, carga o borrado (desactivadas por defecto), un cliente puede leer, escribir o eliminar archivos fuera de ese directorio. El riesgo depende de esa configuración, pero el impacto potencial es severo.
3
La serialización HTML de Juneau no codifica las variables en elementos como encabezado, navegación o pie; si incluyen datos de la petición, se reflejan sin codificar y habilitan XSS. Afecta a aplicaciones que usan variables derivadas de la solicitud en esos campos.
4
El servidor REST de Juneau pasa valores de encabezados y destinos de redirección al contenedor de servlets sin validar, lo que permite inyección de líneas de encabezado (HTTP response splitting) cuando se construyen a partir de datos de la solicitud.
5
El RestClient de Juneau sigue redirecciones conservando encabezados como Authorization, Cookie o X-API-Key, por lo que un servidor que redirija a otro host, puerto o de HTTPS a HTTP podría recibir credenciales.
6
El servidor REST envía la clase y el mensaje de la excepción interna en un encabezado «Thrown» en cada error, aun con el stack trace desactivado, revelando detalles de implementación útiles para reconocimiento.
7
El registrador de llamadas por defecto escribe en texto claro encabezados como Authorization y Cookie cuando una petición termina en error de servidor. Cualquiera que provoque un error puede dejar credenciales expuestas a quien tenga acceso a los logs.
8
El parámetro de consulta «content» reemplaza el cuerpo de la petición y está habilitado por defecto en todos los métodos, incluido GET. Un enlace externo puede entregar un cuerpo elegido por el atacante sin preflight CORS, eludiendo protecciones basadas en método o tipo de contenido.
9
Al analizar valores de tipo java.lang.Class, Juneau carga la clase con inicialización activada, de modo que una entrada que nombre una clase del classpath ejecuta su inicializador estático. El impacto depende de las clases presentes en la aplicación.
10
La API de MatchPoint confía en el encabezado actingasuser sin verificar autorización, y la manipulación de identificadores secuenciales da acceso a datos personales, bancarios y financieros, mensajes privados y códigos QR de acceso físico, además de modificar cuentas ajenas.
Ransomware del día
Entre las víctimas descubiertas recientemente figuran MAPFRE Brasil (grupo Destello, servicios financieros), Coemi Imóveis, Solutis Tecnologias y la Secretaría de Estado de Salud (las tres atribuidas a thegentlemen), además de Sistel (Aoqin), Interplast (medusalocker) y centratamagroup.com (lockbit5). En los últimos 30 días, thegentlemen lidera con 7 víctimas, seguido de N0n con 6, y qilin y emperador con 4 cada uno, todas en Brasil.
MAPFRE Brasil 2026 BR
Coemi Imóveis BR
Solutis Tecnologias BR
Sistel BR
Secretaria de Estado de Saúde BR
Interativa Plasticos (Interplast) BR
centratamagroup.com BR
thegentlemen 7N0n 6qilin 4emperador 4Eclipse 2incransom 2
Grupos y APTs activos
Los grupos con más víctimas brasileñas listadas en sitios de filtración son lockbit5 (55), thegentlemen (42), lockbit3 (39), ransomhub, de origen ruso (35), Akira (24) y arcusmedia (23). Todos figuran como grupos que apuntan a Brasil.
lockbit5 mira BRthegentlemen mira BRlockbit3 mira BRransomhub mira BRAkira mira BRarcusmedia mira BR
Foco Brasil
Brasil concentra la actividad reciente: las víctimas abarcan servicios financieros (MAPFRE Brasil), tecnología (Solutis, Sistel), gobierno (Secretaría de Estado de Salud), comercio minorista (Coemi Imóveis, Punta Shopping) y manufactura (Interplast). Thegentlemen aparece en tres de los casos recientes, lo que sugiere una campaña sostenida contra organizaciones del país.
MAPFRE Brasil 2026
Solutis Tecnologias
Sistel
Secretaria de Estado de Saúde
Coemi Imóveis
centratamagroup.com
Interativa Plasticos (Interplast)
Punta Shopping
Recomendación del día: Actualice BTCPay Server a la versión 2.4.2 o posterior y rote los macaroons de LND si hubo exposición; en Apache Juneau, aplique las correcciones del proveedor, revise las opciones de DirectoryResource y limpie los logs que puedan contener credenciales.
Con tantas fallas críticas apareciendo a la vez, la pregunta clave es si alguna de ellas afecta a su entorno, y solo validar su superficie de ataque de forma continua permite responderla con certeza.Saber que la falla existe es la mitad; la otra mitad es saber si te afecta. Empieza con una prueba de exposición sin costo inicial.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →