CISA añade siete vulnerabilidades explotadas mientras los atacantes despliegan shells inversos y mineros de criptomonedas.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el miércoles siete fallos de seguridad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV, por sus siglas en inglés) tras detectarse como objetivo de los atacantes.

Las vulnerabilidades son las siguientes:

CVE-2026-83548 (puntuación CVSS: 10.0): Vulnerabilidad de falsificación de solicitudes del lado del servidor en los dispositivos SonicWall SMA 1000 que podría permitir a un atacante remoto no autenticado obtener acceso no autorizado a funciones sensibles y realizar operaciones no autorizadas.

CVE-2026-83549 (puntuación CVSS: 7.8): Vulnerabilidad de inyección de comandos del sistema operativo posterior a la autenticación en los dispositivos SonicWall SMA 1000 que podría permitir a un atacante remoto autenticado como administrador ejecutar comandos arbitrarios del sistema operativo, lo que resultaría en la ejecución remota de código. CVE-2026-9586 (puntuación CVSS: 9.3) - Vulnerabilidad de inyección SQL en Sangoma Switchvox que podría permitir a un atacante remoto no autenticado ejecutar sentencias SQL arbitrarias contra la base de datos PostgreSQL mediante una única solicitud manipulada, incluyendo operaciones de base de datos y ejecución remota de código.

CVE-2026-82329 (puntuación CVSS: 9.8) - Vulnerabilidad de autenticación incorrecta en JFrog Artifactory que, con la configuración predeterminada, podría permitir a un atacante no autenticado con acceso a la red obtener privilegios administrativos.

CVE-2026-48710 (puntuación CVSS: 6.5) - Vulnerabilidad de manipulación de solicitudes/respuestas HTTP en Kludex Starlette que podría permitir a los atacantes inyectar rutas en la parte del host, anteponiendo la ruta real, lo que provocaría problemas como la omisión de la autenticación cuando esta depende de la ruta de la URL reconstruida. CVE-2026-49869 (puntuación CVSS: 10.0): Vulnerabilidad de inyección de comandos del sistema operativo en Kestra OSS que podría permitir a un atacante remoto no autenticado crear y ejecutar flujos de trabajo arbitrarios sin credenciales.

CVE-2026-59822 (puntuación CVSS: 8.8): Vulnerabilidad de autenticación incorrecta en el punto final HTTP Streamable del Protocolo de Contexto de Modelo (MCP) de Berri LiteLLM que podría permitir a un atacante no autenticado establecer una sesión MCP autenticada utilizando un token Bearer arbitrario.

Este desarrollo se produce después de que SonicWall revelara que "investigó un caso que indicaba la explotación activa" de CVE-2026-83548 y CVE-2026-83549. Según informes de Horizon3.ai y watchTowr, se ha observado que actores maliciosos desconocidos están utilizando las vulnerabilidades CVE-2026-9586 y CVE-2026-82329 para desplegar shells inversas y tokens de administrador generados para la posterior enumeración de usuarios, grupos, conjuntos de credenciales y topologías de acceso federado.