Boletín diario · 6 de noviembre de 2026
SonicOS en explotación activa y un plugin de WordPress ya armado el día de su divulgación
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — atención2 vista(s) antes que CISA
La jornada del 6 de noviembre queda en nivel de ATENCIÓN: 467 nuevas vulnerabilidades, 34 críticas y una con explotación confirmada en el KEV de CISA, la de SonicOS. Dos CVE fueron observadas por VulnCheck antes de que CISA las reconociera, una señal de explotación real que aún no tiene confirmación oficial. Ninguna alcanzó la categoría de arma lista, pero varias fallas críticas en plugins de WordPress ya tienen prueba de concepto y fueron armadas el mismo día de su divulgación.
Resumen del día
- CVE-2026-19868 (SonicOS SSLVPN) está en el KEV de CISA y en el de VulnCheck: permite eludir SAML y su MFA.
- CVE-2026-118423 (WP Libre Form, CVSS 10.0) fue observada por VulnCheck antes que CISA y armada el mismo día de su divulgación.
- Varios plugins de WordPress presentan fallas críticas sin autenticación, con ejecución de código, inyección SQL y toma de cuentas.
- Ransomware sigue golpeando a Brasil: MAPFRE Brasil, Solutis y la Secretaría de Estado de Salud entre las víctimas recientes.
Destacados críticos
1
Explotación activa confirmada por CISA y observada por VulnCheck. Permite que un usuario con credenciales de otro método de autenticación eluda SAML y su MFA en el SSLVPN de SonicOS, comprometiendo el acceso remoto perimetral. Es la prioridad máxima del día.
2
CVSS 10.0: carga de archivos PHP sin autenticación que lleva a ejecución remota de código en WP Libre Form. VulnCheck observó explotación antes que CISA, con prueba de concepto armada el mismo día de la divulgación, lo que indica que los atacantes la priorizaron.
3
XSS reflejado en Elementor Website Builder (hasta 4.3.5), con explotación observada por VulnCheck antes que CISA. Su severidad es menor, pero el alcance de Elementor lo vuelve atractivo para campañas de robo de sesiones.
4
Elusión de autorización en Entra Device Registration que permite a un atacante no autorizado elevar privilegios por red (CVSS 10.0). En un entorno de identidad, puede abrir paso al control de dispositivos y cuentas.
5
En wanderer anterior a 0.20.0, un endpoint sin autenticación permite solicitudes del servidor hacia servicios internos y metadatos de nube (SSRF, CVSS 10.0). Es riesgoso en instancias autoalojadas expuestas a Internet.
6
CVE-2026-119516CVSS 9.8afecta Radius Booking — Booking Calendar for Appointments & Services Deserialización de datos no confiables (inyección de objetos) en Radius Booking hasta la 1.0.20, con CVSS 9.8. Según el contexto de la aplicación, puede derivar en ejecución de código o toma del sitio.
7
Asignación incorrecta de privilegios en el plugin OAuth Single Sign On de miniOrange hasta 7.1.3 (CVSS 9.8). Permite escalar privilegios en un componente que gestiona el acceso al sitio.
8
CVE-2026-113615CVSS 9.8PoCel mismo díaafecta GS JWT Authentication for WP REST API Inyección SQL sin autenticación en GS JWT Authentication for WP REST API que permite obtener una sesión de administrador. Tiene prueba de concepto armada el mismo día de la divulgación, señal de interés atacante.
9
Static Snapshot hasta 0.2.1 no sanea metacaracteres de shell, lo que permite a atacantes sin autenticar ejecutar comandos en el servidor. Hay prueba de concepto disponible, así que conviene retirar o aislar el plugin.
10
En placester no hay verificación de permisos en una acción AJAX, de modo que cualquier atacante puede cambiar el correo de un usuario, incluido el administrador, y tomar la cuenta mediante el restablecimiento de contraseña. Hay prueba de concepto disponible.
Ransomware del día
Entre las víctimas recientes figuran MAPFRE Brasil 2026 (grupo Destello, servicios financieros), Coemi Imóveis, Solutis Tecnologias y la Secretaría de Estado de Salud (las tres de thegentlemen), además de Sistel (Aoqin), Interplast (medusalocker) y centratamagroup.com (lockbit5). En los últimos 30 días, thegentlemen lidera con 7 víctimas, seguido de N0n con 6, y qilin y emperador con 4 cada uno, todas en Brasil.
MAPFRE Brasil 2026 BRDestello · Financial Services
Coemi Imóveis BRthegentlemen · Retail & E-Commerce
Solutis Tecnologias BRthegentlemen · Technology
Sistel BRAoqin · Technology
Secretaria de Estado de Saúde BRthegentlemen · Government & Defense
Interativa Plasticos (Interplast) BRmedusalocker · Manufacturing
centratamagroup.com BRlockbit5 · Other
thegentlemen 7N0n 6qilin 4emperador 4Eclipse 2incransom 2
Grupos y APTs activos
Los leak sites muestran una fuerte concentración en Brasil: lockbit5 suma 55 víctimas brasileñas, thegentlemen 42, lockbit3 39 y ransomhub (origen Rusia) 35. Akira, con 24, y arcusmedia, con 23, completan el grupo de actores que apuntan al país.
Foco Brasil
Brasil concentra buena parte de la actividad reciente, con víctimas en servicios financieros (MAPFRE Brasil 2026), tecnología (Solutis, Sistel), gobierno y salud (Secretaría de Estado de Salud), comercio (Coemi Imóveis, Punta Shopping) y manufactura (Interplast). thegentlemen aparece en tres de los casos recientes, lo que sugiere una campaña sostenida contra organizaciones del país.
MAPFRE Brasil 2026Destello · Financial Services
Solutis Tecnologiasthegentlemen · Technology
SistelAoqin · Technology
Secretaria de Estado de Saúdethegentlemen · Government & Defense
Coemi Imóveisthegentlemen · Retail & E-Commerce
centratamagroup.comlockbit5 · Other
Interativa Plasticos (Interplast)medusalocker · Manufacturing
Punta Shoppingemperador · Retail & E-Commerce
Recomendación del día: Aplique de inmediato el parche o las mitigaciones de SonicOS para CVE-2026-19868 y revise los accesos SSLVPN recientes en busca de elusiones de SAML/MFA. Actualice o desactive los plugins de WordPress afectados y revise los inventarios de componentes expuestos a Internet.
Con fallas críticas que se arman el mismo día de su divulgación, validar de forma continua la propia superficie de ataque es la manera más fiable de saber si una de ellas ya le afecta.Surgen vulnerabilidades todos los días — ¿tu defensa va al ritmo? Haz un análisis inicial gratuito de tu superficie de ataque.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →