DigiSERT Cyber Weekly

SonicWall emitió, el 1 de septiembre de 2026, un aviso de seguridad urgente (SNWLID-2026-0016) tras confirmar la explotación activa de una nueva cadena de dos vulnerabilidades de día cero que afecta a sus dispositivos de acceso remoto seguro de la serie SMA 1000 (modelos 6210, 7210 y 8200v). La primera falla, CVE-2026-83548 (CVSS 10.0), es una vulnerabilidad de server-side request forgery (SSRF) pre-autenticación en la interfaz Appliance Work Place, que permite a un atacante remoto sin credenciales acceder a funcionalidad sensible del equipo. La segunda, CVE-2026-83549 (CVSS 7.8), es una vulnerabilidad de ejecución remota de código mediante inyección de comandos del sistema operativo en la Appliance Management Console (AMC), que normalmente requiere autenticación de administrador.

SonicWall y la firma Rapid7 confirmaron que los atacantes están encadenando ambas fallas: la SSRF (CVE-2026-83548) se utiliza para eludir el requisito de autenticación de la segunda vulnerabilidad (CVE-2026-83549), logrando así ejecución remota de código no autenticada sobre el appliance. Ambas CVE ya fueron incorporadas al catálogo KEV de CISA. A la fecha de este boletín, SonicWall no ha publicado atribución del actor de amenaza ni indicadores de compromiso detallados; recomienda a los clientes aplicar el hotfix de inmediato y solicitar una evaluación de compromiso a su soporte técnico. El riesgo principal radica en la pérdida de control del perímetro VPN y el acceso no autorizado a la red interna a través de un dispositivo que, por diseño, concentra el acceso remoto corporativo.

Google ha desplegado una actualización de seguridad de emergencia fuera de banda para su navegador Chrome en los canales de escritorio, abordando la vulnerabilidad de día cero identificada como CVE-2026-5281. La falla reside en Dawn, la implementación multiplataforma del estándar WebGPU de código abierto utilizada por el proyecto Chromium.

El fallo de seguridad consiste en un uso de memoria tras liberación (Use-After-Free). Atacantes remotos pueden explotar esta condición induciendo a la víctima a visitar una página HTML maliciosa especialmente diseñada. Al procesar las primitivas gráficas de WebGPU, el navegador intenta interactuar con bloques de memoria previamente liberados, provocando inestabilidad en el proceso, corrupción de memoria y abriendo la puerta a la ejecución remota de código arbitrario (RCE) dentro del contexto del navegador. Google reconoció que la falla ha sido weaponizada en ataques dirigidos en el mundo real, siendo este el cuarto exploit de día cero mitigado en Chrome en lo que va del año. El riesgo principal radica en el compromiso silencioso de puestos de trabajo corporativos a través de navegación web rutinaria.

Apple ha publicado parches de seguridad de emergencia para múltiples líneas de productos tras confirmar que la vulnerabilidad de día cero CVE-2025-43300 estaba siendo explotada activamente en un ataque sumamente sofisticado dirigido contra objetivos de alto perfil. La vulnerabilidad reside en el framework Image I/O, el componente central responsable de procesar y renderizar la gran mayoría de formatos de imagen en los sistemas operativos de la marca.

La falla consiste en una debilidad de escritura fuera de límites (Out-of-Bounds Write). Al procesar un archivo de imagen malformado recibido a través de canales comunes de mensajería (como iMessage, WhatsApp o correo electrónico), el sistema escribe datos fuera del búfer de memoria asignado, lo que desencadena una corrupción de memoria que permite el escape del entorno de contención y la ejecución remota de código sin interacción del usuario (zero-click). Las investigaciones apuntan a que el fallo fue aprovechado por proveedores comerciales de software espía (Commercial Surveillance Vendors) para implantar spyware avanzado capaz de interceptar llamadas, mensajes y la ubicación en tiempo real de los dispositivos comprometidos.

Google publicó su boletín de seguridad mensual confirmando la presencia de una vulnerabilidad de día cero bajo explotación activa identificada como CVE-2025-48595. El fallo se ubica en el núcleo del componente Android Framework, afectando a múltiples generaciones del sistema operativo móvil.

La falla permite que un atacante local, mediante la instalación o ejecución de una aplicación maliciosa con privilegios estándar, aproveche un fallo de validación de límites para eludir el aislamiento del sandbox de la plataforma. De esta manera, el atacante puede elevar sus privilegios de ejecución hasta el nivel de sistema (SYSTEM) sin requerir privilegios administrativos previos ni solicitar permisos especiales al usuario final. La explotación exitosa concede acceso de lectura y escritura sin restricciones a directorios sensibles del sistema operativo y bases de datos privadas de otras aplicaciones instaladas (incluyendo tokens de autenticación multifactor y contraseñas guardadas). El riesgo principal consiste en la pérdida del aislamiento entre aplicaciones corporativas y personales en dispositivos bajo políticas BYOD.

El 2 de septiembre de 2026, CISA incorporó a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) siete fallas bajo explotación activa, entre ellas CVE-2026-49869, un bypass de autenticación crítico (CVSS 10.0) en Kestra OSS, una plataforma de orquestación de flujos de trabajo y automatización de datos de código abierto. La vulnerabilidad reside en el AuthenticationFilter de Kestra, que valida las rutas de la API mediante una coincidencia de sufijo (endsWith("/configs")) en lugar de una comparación exacta, lo que permite a un atacante remoto sin credenciales alcanzar endpoints protegidos —incluida la creación y ejecución de flujos de trabajo— con solo anteponer "configs" al final de la ruta.

Según The Hacker News, atacantes ya están explotando esta falla junto con otras seis incluidas en el mismo lote del KEV para desplegar shells inversas y criptomineros; en el caso de Kestra, un atacante no autenticado puede crear y ejecutar flujos de trabajo arbitrarios que ejecutan comandos de shell, Python, Node o Bash con privilegios de root dentro del contenedor worker de Kestra. La plantilla Pebble de Kestra, además, expone una función http() sin filtrado de URI, lo que habilita ataques SSRF contra servicios internos y endpoints de metadata en la nube (169.254.169.254), con riesgo de robo de credenciales de identidad en la nube. El riesgo principal radica en la toma de control remota y no autenticada de la plataforma de orquestación, con potencial de movimiento hacia la infraestructura en la nube subyacente.

La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) ha ordenado a las agencias federales y organizaciones privadas parchear de emergencia la vulnerabilidad CVE-2024-21182 (CVSS 7.5) que impacta a Oracle WebLogic Server, debido a que se ha documentado su explotación activa y recurrente por parte de atacantes no autorizados en la red.

La vulnerabilidad se encuentra en la capa de comunicación de los protocolos propietarios T3 e IIOP de Oracle WebLogic Server. Un atacante remoto sin autenticación con acceso de red al puerto de escucha del servidor puede transmitir paquetes estructurados que omiten las restricciones de seguridad internas del servidor de aplicaciones, permitiendo tomar el control absoluto del entorno de WebLogic y de la base de datos empresarial subyacente. Históricamente, este tipo de vulnerabilidades en WebLogic ha sido aprovechado intensamente por grupos cibernéticos para reclutar servidores corporativos en botnets de denegación de servicio, desplegar mineros de criptomonedas y servir como puente para intrusiones de ransomware.

Autoridades internacionales de ciberseguridad y la agencia CISA actualizaron su alerta conjunta respecto a la actividad del grupo de ransomware Akira, detallando la explotación a gran escala de la vulnerabilidad crítica CVE-2024-40766 (CVSS 9.3) en los cortafuegos y concentradores VPN de SonicWall equipados con el sistema operativo SonicOS.

La vulnerabilidad corresponde a un control de acceso inadecuado en la funcionalidad de gestión y el portal SSL-VPN de SonicOS. Los operadores de Akira aprovechan este fallo para omitir los mecanismos de autenticación y extraer o manipular credenciales de usuario locales y de dominio, logrando acceso inicial directo a los perímetros de las empresas víctimas. Tras consolidar el acceso a la red interna, el grupo procede a la desactivación de copias de seguridad, sustracción masiva de datos y el posterior cifrado de los servidores principales de producción mediante su variante de ransomware cruzada (Windows/Linux/ESXi). Akira ha acumulado cientos de millones de dólares mediante este modus operandi, afectando a cientos de entidades a nivel global.

Según Cyble Research and Intelligence Labs, Qilin (también conocido como Agenda) se consolidó durante el primer semestre de 2026 como el grupo de ransomware-as-a-service (RaaS) más activo del mundo, con 370 ataques registrados en Norteamérica, 158 en Europa/Reino Unido, 64 en Asia-Pacífico y 40 en Sudamérica, y más de 2.100 organizaciones listadas en su sitio de filtración desde su aparición en 2022. El grupo no declara restricciones sectoriales y ataca desde distritos escolares hasta grandes empresas, con manufactura como el sector más afectado (aproximadamente 23% de las víctimas publicadas).

El 3 de septiembre de 2026, CISA y The Hacker News reportaron que afiliados de Qilin están explotando CVE-2026-59822, una falla de bypass de autenticación en el proxy MCP de LiteLLM (una plataforma de gateway para modelos de IA), para desplegar el criptominero XMRig y robar credenciales, como parte de un lote de siete vulnerabilidades incorporadas ese día al catálogo KEV de CISA. Este hallazgo se suma a un patrón ya documentado en julio de 2026, cuando investigadores reportaron que afiliados de Qilin explotaban CVE-2026-0257, un bypass de autenticación en el portal y gateway de Palo Alto Networks PAN-OS (CVSS 7.8), para establecer sesiones VPN sin credenciales válidas como vector de acceso inicial. El riesgo principal radica en un modelo de afiliados que combina credenciales robadas o compradas, explotación de aplicaciones expuestas a internet y abuso de vulnerabilidades día-N recientes, con tiempos de cifrado y exfiltración que pueden completarse en menos de 24 horas.

La firma de ciberseguridad Palo Alto Networks emitió actualizaciones de seguridad críticas para contener la explotación activa en el mundo real de la vulnerabilidad de día cero CVE-2024-3400 (CVSS 10.0), la cual afecta a los firewalls empresariales que ejecutan el sistema operativo PAN-OS con la función de gateway o portal GlobalProtect configurada y la telemetría de dispositivo habilitada.

La vulnerabilidad corresponde a una inyección de comandos que permite a un atacante no autenticado enviar peticiones HTTP manipuladas al puerto de GlobalProtect para ejecutar comandos shell arbitrarios con los máximos privilegios de superusuario (root) en el firewall. Investigaciones de respuesta a incidentes conducidas por Mandiant y Volexity atribuyeron la explotación a un actor de ciberespionaje estatal que desplegó puertas traseras personalizadas denominadas UPSTREAM para exfiltrar configuraciones internas, certificados y credenciales de red de las organizaciones víctimas, utilizando el firewall comprometido como plataforma de pivoteo hacia la red corporativa.

La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) y el FBI emitieron un aviso de ciberseguridad conjunto detallando las tácticas, técnicas y procedimientos (TTPs) de una nueva variante y grupo de ransomware identificado como Interlock. La operación cibernética se ha caracterizado por seleccionar de forma oportunista infraestructuras críticas, con un enfoque predominante en proveedores de atención médica y hospitales.

Interlock emplea un modelo agresivo de doble extorsión, combinando el cifrado masivo de sistemas mediante ejecutables multiplataforma optimizados para infraestructuras virtualizadas con la amenaza de divulgar información confidencial en su sitio de filtraciones dedicado. Los atacantes obtienen acceso inicial aprovechando contraseñas robadas en portales de acceso remoto o campañas de phishing con señuelos comerciales. Una vez dentro de la red, los actores despliegan herramientas de descubrimiento y ejecutan comandos en hipervisores VMware ESXi para suspender las máquinas virtuales de servidores clínicos antes de cifrar los volúmenes de almacenamiento de datos. El riesgo principal radica en la disrupción directa de la continuidad de servicios críticos y la potencial pérdida de vidas por falta de acceso a expedientes médicos.