CISA ordena mitigar fallos explotados en Cisco, Palo Alto Networks, Microsoft y Ahsay

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, CISA, ha incorporado vulnerabilidades con explotación activa en productos de Cisco, Palo Alto Networks, Microsoft, Ahsay e Ivanti a su catálogo de fallos conocidos. La orden obliga a las agencias civiles del poder ejecutivo federal a mitigar estos problemas entre el 16 y el 17 de octubre de 2026, en cumplimiento de la Directiva Operativa Vinculante 22-01.

Las adiciones responden a ataques confirmados en entornos de producción donde actores maliciosos aprovechan debilidades de autenticación, inyección de comandos y salto de directorios. Diversas compañías de seguridad y los propios fabricantes han alertado sobre incidentes dirigidos a comprometer pasarelas de correo, consolas de cortafuegos y plataformas de copias de seguridad.

Vectores de compromiso en pasarelas de correo y cortafuegos

La vulnerabilidad CVE-2026-76519 en Cisco Secure Email Gateway presenta una severidad de 9,8 puntos en la escala CVSS, que evalúa la gravedad técnica de los fallos de software. Cisco confirmó que atacantes externos aprovechan este defecto enviando un correo electrónico con un archivo adjunto diseñado específicamente para provocar un salto de ruta relativo, lo que permite escribir archivos arbitrarios en el sistema operativo subyacente del equipo.

Por su parte, Palo Alto Networks registró actividad maliciosa contra la interfaz de gestión de PAN-OS mediante el identificador CVE-2026-0322, evaluado con una severidad de 8,6 puntos. La vulnerabilidad de inyección de código permite a atacantes autenticados con privilegios elevados ejecutar órdenes como usuario raíz en cortafuegos de las familias PA y VM, así como en dispositivos Panorama. La compañía instó a bloquear el acceso a dicha interfaz desde redes públicas y restringirlo a direcciones IP internas de confianza.

Cadena de ataque contra plataformas de copias de seguridad

En el software de gestión de copias de seguridad AhsayCBS, los atacantes han encadenado dos vulnerabilidades distintas para tomar el control de servidores corporativos. La primera es CVE-2026-105133, con una puntuación de 5,5, que consiste en un fallo de autenticación incorrecta en la función checkSysPwd de la interfaz de programación de aplicaciones, lo que permite evadir el inicio de sesión alterando un parámetro del sistema.

Una vez saltada la autenticación, los atacantes emplean CVE-2026-105134, calificada con 9,3 puntos, correspondiente a una inyección de comandos en el receptor de réplicas de la plataforma. La firma Huntress documentó que esta combinación comenzó a explotarse el 7 de octubre de 2026 y afectó al menos a cinco organizaciones al día siguiente. La intrusión permitió a los atacantes obtener privilegios de sistema, cargar interfaces web en archivos JSP e instalar el programa de minería de criptomonedas XMRig camuflado como procesos de Microsoft Edge.

Inyección de comandos en Windows y omisión de acceso en Ivanti

Durante su ciclo de parches de octubre de 2026, Microsoft corrigió 1.415 vulnerabilidades, entre las que destaca un fallo de día cero bajo ataque registrado como CVE-2026-96951, con una severidad de 8,8 puntos. Se trata de una inyección de comandos en Windows Shell que permite eludir las defensas de Mark of the Web, un mecanismo de protección que cataloga los archivos descargados desde internet para impedir su apertura automática. El ataque depende de que la víctima abra un archivo o enlace malicioso remitido por correo o mensajería.

Asimismo, CISA sumó el fallo CVE-2026-104935, de 8,6 puntos de severidad, localizado en Ivanti Connect Secure. La brecha permite omitir los controles de autenticación mediante técnicas de suplantación en versiones previas a la 25.1.3.0, facultando la ejecución remota de comandos no autorizados sin credenciales válidas, mientras que las versiones 22.7R2.14 y anteriores quedan al margen del problema.

Frente a estos incidentes, los expertos en seguridad recomiendan a las organizaciones privadas revisar el catálogo de vulnerabilidades conocidas de CISA y aplicar los parches correspondientes en sus infraestructuras para frenar la actividad de los atacantes.