Solo uno de los ocho fallos explotados está en un aparato de red

El 8 de octubre de 2026, los organismos de ciberseguridad de siete países —con el CNI español entre ellos— publicaron el aviso conjunto AA26-281A sobre la actividad de un grupo ligado al gobierno chino, facilitada por Integrity Technology Group y rastreada según el fabricante como Flax Typhoon, Ethereal Panda o Red Juliett. El aviso trae una tabla de ocho CVE explotados con éxito. De los ocho, uno está en un aparato de red: un Pulse Connect Secure. Los otros siete están en software corriendo sobre servidores de propósito general.

Esa proporción no mide tu parque, y conviene decirlo antes de seguir: ocho no es una muestra, es la lista curada de lo que usó un actor concreto. Lo que sí enseña es por dónde entró, y por dónde entró no es por el sitio donde la mayoría de las empresas tiene puesto el foco de inventario.

Las ocho, con nombre, versión y nota

* Las tres filas marcadas no tienen puntuación v3.1 primaria de NVD: la nota que se ve ahí es enriquecimiento posterior de CISA-ADP sobre la ficha. Son fallos de 2014 y 2015, anteriores a que NVD puntuara en v3.1 de serie. El Bash, además, arrastra un 10,0 en la escala v2: la misma vulnerabilidad, dos notas, dos décadas de escalas.

Por dónde entra cada una de las siete

Las siete no llegaron por el mismo camino, y la diferencia importa porque determina quién debería estar mirándolas:

El aparato, en cambio, tiene número de serie, factura y una fecha de renovación que alguien recibe por correo una vez al año. Ese recordatorio anual es, en la práctica, el inventario de media empresa. Y por diseño no cubre ninguna de las siete.

Tres ya estaban en la lista. Dos, desde noviembre de 2021

De las ocho, tres ya figuraban en el catálogo de vulnerabilidades explotadas de CISA antes de este aviso. La de GitLab y la de Pulse Connect Secure entraron el 3 de noviembre de 2021, y las dos llevan marcada la casilla de «uso conocido en campañas de ransomware». El plazo federal de la de GitLab venció el 17 de noviembre de 2021; el de Pulse, el 3 de mayo de 2022. La de Bash entró el 2 de octubre de 2025, con plazo el 23 del mismo mes. La lista era pública, gratuita, descargable en JSON y con fecha. Lo que faltaba era la otra mitad del cruce.

El 4,9 que está dentro y el 10,0 que llevaba once años fuera

Si ordenas esa tabla por nota, no entiendes nada. El de ProFTPD es un 10,0 publicado en 2015 y ha tardado once años en entrar en el catálogo. El de Strapi es un 4,9 primario de NVD —un «medio» de manual— y ha entrado con plazo de tres días.

Hay dos razones y las dos están escritas. La primera, en la ficha del propio catálogo: «This vulnerability can be chained with CVE-2023-22621 to achieve remote code execution». Ese segundo CVE es una inyección de plantilla en servidor (SSTI) autenticada, de 7,2, que ejecuta código mediante una plantilla de correo manipulada. El 4,9 por sí solo filtra datos de usuarios a quien ya tiene acceso al panel de administración; encadenado, es ejecución de código. La segunda razón está en la propia ficha de NVD: junto al 4,9 primario hay una puntuación secundaria de CISA-ADP de 7,2. Es decir, quien mete el CVE en el catálogo lo valora bastante más alto que quien lo puntuó primero.

De dónde sale el plazo de tres días (y por qué a ti no te obliga)

Las cinco entradas nuevas se añadieron el 8 de octubre con fecha límite el 11. Tres días, y el tercero cayó en domingo. Sale de la directiva BOD 26-04, de 10 de junio de 2026, que cambió el plazo único por una escala según exposición, automatización del ataque e impacto técnico. Cuánto mide esa escala en la práctica se comprueba contando el propio catálogo, sin creerse a nadie:

curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json -o kev.json

jq -r '[.vulnerabilities[] | select(.dateAdded >= "2026-06-10")
  | ((.dueDate|strptime("%Y-%m-%d")|mktime) - (.dateAdded|strptime("%Y-%m-%d")|mktime))/86400]
  | group_by(.) | map({dias: .[0], n: length})' kev.json

Sobre la versión 2026.10.08 del catálogo salen dos valores y ninguno más: 99 entradas con plazo de tres días y 23 con plazo de catorce. Ni un solo plazo intermedio. Los tres días son para lo que está expuesto a internet, se explota de forma automatizable y da control total del activo, con triaje forense incluido; los catorce, para el resto de lo expuesto. Los plazos largos quedan para lo que no asoma a internet.

Esa directiva obliga a agencias federales estadounidenses. A tu empresa no le obliga nada de esto, y sería deshonesto venderte un plazo de tres días como si fuera ley aquí. Lo trasladable es el criterio de ordenación: exposición, automatización e impacto, por delante de la nota del CVSS. Copiarlo es gratis.

Nueve escáneres y 1.300 scripts

La objeción de siempre es «nosotros somos muy pequeños para que nos busquen». El aviso la desmonta describiendo el procedimiento: reconocimiento con BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe y wpscan —nueve herramientas públicas, las mismas que usa cualquiera— más MicroScan, una herramienta en Python que el aviso describe con más de 1.300 scripts de pruebas de penetración. El barrido no elige objetivo: elige puerto.

Y para la persistencia, un detalle que vale más que cualquier sermón: instalan un cliente de SoftEther VPN configurado para reconectar al arrancar, y renombran el instalador como conhost.exe o dllhost.exe para que pase por ejecutable de Windows. El tráfico de mando y control sale con el aspecto de una VPN corporativa más. Si tu detección consiste en mirar el cortafuegos buscando algo que desentone, esto no desentona.

La otra mitad del cruce

La lista de productos vulnerables te la dan hecha. La de tus productos hay que levantarla, y la pregunta de partida no puede ser de qué tienes contrato. Tres preguntas por cada cosa que escucha en un puerto:

Nosotros mantenemos NetBox como fuente de verdad de direccionamiento y equipos, y aplicamos la misma disciplina a nuestras propias herramientas internas: el n8n autoalojado con el que automatizamos tareas está inventariado, con dueño y con ventana de actualización, igual que cualquier servidor de producción. Ese n8n es exactamente la clase de cosa de la que va este aviso: software que alguien levantó un día porque hacía falta. La diferencia es que tiene un nombre al lado.

Las versiones de corte y las dos trampas

Lo que no vamos a decirte

Si al leer la tabla has pensado «creo que tenemos uno de esos», esa duda ya es el resultado de la auditoría. Lo que falta es el nombre y la fecha. La otra mitad de este nudo la escribimos en julio, a cuenta de un fallo de WordPress que se estaba explotando la misma tarde en que salió el parche: allí la pregunta operativa tampoco era qué componente, sino quién lo tenía a su cargo para aplicarlo —WP2Shell: la pregunta no es qué plugin, es quién mantiene tu web.

Fuentes (verificadas el 11-10-2026): aviso conjunto AA26-281A (FBI, CISA y NSA de EE. UU.; NCSC-UK; ASD's ACSC de Australia; Centro Canadiense de Ciberseguridad; NPA y NCO de Japón; NCSC-NZ; y CNI de España), 8-oct-2026: tabla de CVE explotados, herramientas de reconocimiento, MicroScan y persistencia con SoftEther. Fechas de alta, plazos, acción requerida y nota de encadenado con CVE-2023-22621: catálogo KEV de CISA, versión 2026.10.08 (JSON abierto); el recuento 99/23 de plazos es nuestro, reproducible con el comando publicado arriba. Escala de plazos: BOD 26-04, 10-jun-2026. Puntuaciones CVSS (primarias y secundarias) y versiones afectadas: NVD (NIST).