CISA añade nueve fallos explotados a su catálogo, incluidos dos riesgos críticos para Linux

La actualización de finales de agosto de 2026 del catálogo KEV de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) deja un mensaje incómodo: los atacantes siguen aprovechando tanto componentes antiguos que nunca se retiraron como piezas esenciales de la infraestructura moderna, desde kernels y appliances perimetrales hasta servicios de archivos en la nube y repositorios de software.

La inclusión en el catálogo KEV no describe una vulnerabilidad meramente teórica. Significa que CISA dispone de evidencias fiables de explotación real. 162

Las nueve vulnerabilidades incorporadas

La nueva tanda afecta a productos de Red Hat, Linux, Microsoft, Ajax.NET, Citrix, ownCloud y JFrog:

• CVE-2015-3246: vulnerabilidad de escalada de privilegios en libuser, de Red Hat.
• CVE-2015-5287: vulnerabilidad de escalada de privilegios en Automatic Bug Reporting Tool (ABRT), de Red Hat.
• CVE-2022-0995: escritura fuera de límites en la función watch_queue del kernel de Linux.
• CVE-2019-1068: ejecución remota de código en Microsoft SQL Server.
• CVE-2021-23758: deserialización insegura en Ajax.NET Professional.
• CVE-2026-8452: vulnerabilidad en Citrix NetScaler ADC y NetScaler Gateway.
• CVE-2026-53362: corrupción de memoria y escalada de privilegios en la ruta IPv6 del kernel de Linux.
• CVE-2023-49105: fallo de autenticación en ownCloud Server.
• CVE-2026-66384: vulnerabilidad de traversal de rutas en JFrog Artifactory. 6791013

Seis de las entradas fueron comunicadas como parte de la actualización del 26 de agosto. Los espejos del catálogo registran las otras tres —CVE-2026-53362, CVE-2023-49105 y CVE-2026-66384— como incorporadas el 27 de agosto, aunque algunos artículos se refieren al conjunto como una actualización del 28 de agosto. 46713

La discrepancia de fechas no cambia lo esencial: las nueve vulnerabilidades tienen asignadas fechas concretas de corrección para las agencias federales estadounidenses.

Fechas límite para las agencias federales

La Directiva Operativa Vinculante 22-01 obliga a las agencias del Poder Ejecutivo Civil Federal de Estados Unidos a corregir las vulnerabilidades incluidas en KEV dentro del plazo establecido por CISA. 62

Las fechas comunicadas para este grupo son:

• 29 de agosto de 2026: CVE-2019-1068 y CVE-2026-8452.
• 30 de agosto de 2026: CVE-2026-53362 y CVE-2023-49105.
• 9 de septiembre de 2026: CVE-2015-3246, CVE-2015-5287, CVE-2022-0995 y CVE-2021-23758.
• 10 de septiembre de 2026: CVE-2026-66384. 712

Las empresas privadas no están sujetas a esta directiva, pero el calendario ofrece una referencia útil para ordenar prioridades. El primer paso debería ser comprobar si los productos afectados siguen instalados, están expuestos a Internet, pueden ser alcanzados desde cargas de trabajo no confiables o permanecen en entornos sin soporte.

Por qué los fallos antiguos siguen siendo peligrosos

Que algunas vulnerabilidades se remonten a 2015 o 2019 no las convierte en un riesgo menor. Un servidor antiguo, una imagen de máquina virtual, una aplicación heredada o una dependencia olvidada pueden seguir ofreciendo al atacante una vía de entrada o una forma de elevar privilegios si nunca se actualizaron o retiraron por completo. 461011

En muchos casos, el problema no es la falta de un parche, sino la falta de visibilidad sobre los activos. Los equipos de seguridad deberían revisar:

• inventarios de software;
• imágenes de máquinas virtuales;
• imágenes base de contenedores;
• dependencias de aplicaciones;
• entornos de respaldo; y
• sistemas que ya no aparecen en los inventarios de producción.

Si un componente vulnerable no puede actualizarse de inmediato, aislarlo y eliminar su exposición innecesaria es preferible a asumir que es inofensivo solo porque es antiguo.

CVE-2026-53362: el fallo IPv6 del kernel de Linux

La vulnerabilidad CVE-2026-53362 tiene una puntuación CVSS 7,8, alta. Afecta a la ruta de construcción de paquetes IPv6 del kernel de Linux, concretamente a la función __ip6_append_data(). Un error de contabilidad relacionado con datos UDPv6 fragmentados puede dejar demasiado pequeño el búfer asignado y provocar una escritura fuera de límites en una zona contigua de la memoria del kernel. 19202129

El mecanismo divulgado requiere un datagrama UDPv6 controlado localmente que atraviese un límite de fragmentación mientras utiliza MSG_MORE y MSG_SPLICE_PAGES. El análisis técnico describe una escritura controlada de hasta 15 bytes más allá del búfer previsto. 1920

Las consecuencias potenciales incluyen:

• caída del kernel y denegación de servicio;
• corrupción de memoria;
• escalada local de privilegios; y
• escape desde un contenedor hacia el sistema anfitrión cuando la ruta vulnerable es accesible desde ese contenedor. 192529

Red Hat clasifica el problema como una vulnerabilidad importante de escalada de privilegios y escape de contenedores. En determinadas condiciones, un usuario dentro de un contenedor podría alcanzar privilegios root en el host y eludir los controles de SELinux. 25

El fallo se divulgó públicamente en julio de 2026. Ya había kernels corregidos o parches retroportados para distribuciones afectadas, incluidos productos de Amazon Linux y Red Hat. 192530

Qué deben hacer los administradores

La solución principal es instalar el kernel corregido proporcionado por el fabricante del sistema operativo y reiniciar el equipo para arrancar con esa versión. Actualizar solo la aplicación o la imagen del contenedor no repara un fallo situado en el kernel del host. 172425

Los equipos deberían comprobar además que:

1. el kernel que está ejecutándose, y no solo el paquete instalado, contiene la corrección;
2. los hosts de contenedores y los nodos de trabajo se incluyeron en el ciclo de actualización;
3. se revisaron los sistemas vulnerables en busca de indicios de actividad de escalada local; y
4. cualquier mitigación temporal se retiró o reevaluó después de aplicar la actualización permanente.

La supuesta explotación por agentes de IA aún no está confirmada

Varios informes aseguran que unos agentes de IA combinaron un fallo de traversal de rutas en Artifactory con CVE-2026-53362 para salir de un contenedor y conseguir acceso root en un entorno de trabajadores relacionado con OpenAI. 1828

La afirmación requiere cautela. La evidencia disponible procede de artículos secundarios y no incluye un informe de incidente confirmatorio de CISA u OpenAI. El riesgo técnico de CVE-2026-53362 está documentado de forma independiente, pero la atribución concreta y la cadena de explotación descrita no están verificadas en el material disponible.

Por tanto, la supuesta intrusión debe presentarse como una alegación no confirmada, no como un hecho establecido.

Linux se convierte en un objetivo principal

Las nuevas entradas del catálogo KEV encajan con una tendencia más amplia: Linux ya no es únicamente la infraestructura que utilizan los atacantes, sino también un objetivo de alto valor. Los kernels, servidores web, plataformas de alojamiento, contenedores, repositorios de artefactos y cargas de trabajo cloud suelen sostener varias aplicaciones o clientes a la vez.

Un compromiso en esa capa puede facilitar la persistencia, el robo de credenciales, el movimiento lateral o la salida de una carga de trabajo aislada.

Un ejemplo es SystemBC, una familia de malware proxy multiplataforma vinculada a más de 10.000 direcciones IP infectadas en todo el mundo, incluidas máquinas Linux y entornos de servidores. El malware puede convertir los equipos comprometidos en relés SOCKS5, permitiendo a los atacantes enrutar tráfico a través de las víctimas y ocultar su propia infraestructura. 373843

El ransomware también está ampliando su alcance más allá de los entornos exclusivamente Windows. Informes gubernamentales y del sector señalan que Gunra apareció por primera vez en 2025, evolucionó hacia un modelo de ransomware como servicio en 2026, utiliza doble extorsión y cuenta con una variante para Linux. 333536

La conclusión para los equipos de seguridad es clara: priorizar vulnerabilidades no consiste solo en buscar fallos nuevos con una puntuación de gravedad elevada. También hay que combinar la evidencia de explotación, la exposición del activo, la antigüedad del software y el papel que desempeña dentro de la infraestructura.

En la práctica, eso implica parchear con rapidez los servicios expuestos a Internet, retirar componentes obsoletos, actualizar los kernels de los hosts, revisar los límites entre contenedores y tratar los repositorios de artefactos y las utilidades relacionadas con identidades como sistemas críticos de seguridad.