La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido seis nuevas vulnerabilidades a su catálogo de fallos explotados activamente, una medida que obliga a las agencias federales a aplicar parches de forma urgente. La inclusión en el Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), realizada el pasado 26 de agosto, señala que hay pruebas de explotación en entornos reales.

Dos fallos críticos con fecha límite: 29 de agosto

Entre los seis nuevos registros, dos destacan por su alta severidad, ambos con una puntuación CVSS de 8.8. CISA ha dado a las agencias gubernamentales hasta el 29 de agosto para corregir estas dos vulnerabilidades específicas.

El primero, identificado como CVE-2026-8452, es un fallo de desbordamiento de memoria en los productos NetScaler ADC y NetScaler Gateway de Citrix. Reportado por la propia Citrix a finales de junio, su explotación puede causar un comportamiento impredecible o errático y una denegación de servicio (DoS) si el dispositivo está configurado como servidor virtual Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o AAA. Citrix ya ha distribuido parches en varias versiones de sus productos, incluyendo las series 14.1 y 13.1.

El segundo, CVE-2019-1068, es una vulnerabilidad de ejecución remota de código (RCE) en Microsoft SQL Server descubierta en 2019. Aunque existe un parche disponible desde hace siete años, su inclusión en el KEV demuestra que los actores de amenazas siguen explotando activamente sistemas sin parchear. El ataque se desencadena mediante una consulta especialmente diseñada que permite al atacante ejecutar código en el contexto de la cuenta de servicio del motor de base de datos de SQL Server.

Otras cuatro vulnerabilidades con plazo hasta el 9 de septiembre

Las cuatro vulnerabilidades restantes añadidas al catálogo el mismo día, todas ellas fallos de varios años de antigüedad, deben ser parcheadas antes del 9 de septiembre, según lo indicado por CISA. Estas incluyen:

  • CVE-2015-3246: Una vulnerabilidad de condición de carrera en Red Hat Libuser (CVSS: 5.1).
  • CVE-2015-5287: Una vulnerabilidad de escalada de privilegios en la herramienta automática de reporte de errores de Red Hat (CVSS: 7.8).
  • CVE-2021-23758: Una vulnerabilidad de deserialización de datos no confiables en Ajax.NET professional (CVSS: 8.1).
  • CVE-2022-0995: Una vulnerabilidad de escritura fuera de los límites en el kernel de Linux (CVSS: 7.8).

Una advertencia paralela para Oracle

Casi de forma simultánea, CISA también ha añadido al catálogo KEV la vulnerabilidad CVE-2026-21962 de Oracle, una fallo que fue parcheado en enero. La agencia fue más allá y dio a las agencias federales un plazo de solo 72 horas para aplicar el parche, el mínimo posible según su Directiva Operativa Vinculante 26-04. Esta directiva refuerza la importancia del catálogo KEV y exige a las agencias que prioricen la remediación rápida de vulnerabilidades de alto riesgo, especialmente aquellas en activos expuestos públicamente. Además, las agencias deben comprobar si los sistemas ya se vieron comprometidos durante los siete meses de exposición antes de aplicar el parche.

Como señaló Jacob Krell, director sénior de soluciones de IA segura y ciberseguridad en Suzu Labs, «CISA añadió CVE-2026-21962 al catálogo KEV el 24 de agosto, 216 días después del parche». Krell añadió que «siete meses de retraso mientras ya se observaban intentos de explotación y escaneos automatizados desde infraestructura VPS alquilada cambiaron el escenario». Ahora, las agencias deben realizar un análisis forense para determinar si hubo una intrusión durante ese período.

La importancia de priorizar

Aunque la directiva solo es vinculante para las agencias federales, los expertos en seguridad son unánimes: todas las organizaciones deberían adoptar un sistema de gestión de vulnerabilidades basado en el riesgo y priorizar los fallos listados en el catálogo KEV. «El catálogo KEV es uno de los recursos más importantes para los defensores a la hora de priorizar la corrección de vulnerabilidades», afirmó Robert Coles, gerente sénior de inteligencia de amenazas de seguridad en Black Duck. Coles subrayó que, de los miles de vulnerabilidades críticas publicadas cada año, solo un pequeño subconjunto llega al KEV, lo que indica que un riesgo teórico se ha convertido en uno operativo real. En el caso de Oracle, advirtió que «hay informes públicos de actividad de explotación que se remontan a poco después de que Oracle lanzara su parche de enero».

El mensaje de CISA es claro: el tiempo para parchear se agota, y la ventana de oportunidad para los atacantes sigue abierta mientras los sistemas no estén actualizados.