La agencia de ciberseguridad de Estados Unidos agregó a su lista de fallas explotadas varias vulnerabilidades en firewalls, gateways de correo y servidores de backup. Qué equipos están en riesgo y qué hacer.
La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) mantiene un catálogo de vulnerabilidades que ya se usan en ataques reales. En octubre agregó varias fallas explotadas que afectan equipos muy comunes en las empresas: firewalls, gateways de correo y servidores de copias de seguridad. Aunque el catálogo es estadounidense, es una de las mejores referencias para decidir qué parchear primero en cualquier país.
14 de octubre: firewalls, correo y backup
- Palo Alto Networks PAN-OS (CVE-2026-0322): inyección de código en la interfaz de administración de los firewalls. Requiere un atacante con acceso autenticado, y Palo Alto reporta una explotación muy limitada.
- Cisco Secure Email Gateway (CVE-2026-76519): una falla de escritura arbitraria de archivos, crítica (9,8 sobre 10), que Cisco confirmó explotada. Las versiones corregidas son AsyncOS 15.5.5-014 y 16.5.0-780; quienes usan la rama 16.0 deben migrar.
- AhsayCBS (CVE-2026-105133 y CVE-2026-105134): un servidor de copias de seguridad en el que los atacantes encadenan una falla de autenticación con una inyección de comandos para instalar web shells; Huntress también encontró mineros de criptomonedas. Las versiones corregidas son la 10.3.4.45 y la 9.15.2.70.
CISA dio a las entidades federales apenas tres días, hasta el 17 de octubre, para corregirlas.
20 de octubre: Plex2Shell
CISA también agregó cuatro fallas de Plex Media Server que se encadenan bajo el nombre Plex2Shell (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656). La prueba de concepto se publicó el 16 de octubre y los ataques empezaron al día siguiente: los atacantes instalan mineros de criptomonedas y software de proxy. La versión corregida es la 1.43.3.10861, pero actualizar no limpia un servidor que ya fue infectado: Plex pide reconstruirlo desde una instalación limpia si se sospecha que fue comprometido.
Lo que tienen en común
Todos son equipos expuestos a internet que, una vez comprometidos, dan acceso a la red o a la información de la empresa. Los servidores de backup son un blanco especial: quien los controla puede borrar las copias antes de lanzar un ransomware.
Qué hacer para parchear a tiempo
- Haz un inventario de los equipos expuestos a internet: firewalls, VPN, correo, backup y servidores multimedia.
- Instala las versiones corregidas y suscríbete a los avisos de seguridad de cada fabricante.
- No publiques las interfaces de administración en internet: accede a ellas por VPN y con doble factor.
- Si un equipo estuvo expuesto y sin parche, revísalo en busca de usuarios, tareas y archivos nuevos antes de darlo por limpio.
- Mantén al menos una copia de seguridad desconectada o inmutable, como recomienda la regla 3-2-1 de copias de seguridad.
Actualización del 31 de octubre: avisos de los fabricantes
Revisamos esta noticia contra los avisos de Palo Alto, Cisco, Ahsay y Plex, y el análisis de Huntress. Retiramos la cifra de cerca de 49.000 servidores Plex vulnerables, que no encontramos en una fuente primaria, y precisamos que la falla de PAN-OS requiere acceso autenticado.
Cómo te ayudamos
Con nuestro servicio de gestión de la infraestructura de TI llevamos el inventario de tus equipos, aplicamos los parches críticos y revisamos qué queda expuesto a internet. Y con copias verificadas en Pronetsys Backup Service mantienes tu información fuera de la oficina.
Fuentes
- CISA: catálogo de vulnerabilidades explotadas (KEV)
- Palo Alto Networks: aviso de CVE-2026-0322 en PAN-OS (14 de octubre de 2026)
- Cisco: aviso de Secure Email Gateway (14 de octubre de 2026)
- Ahsay: alerta de seguridad de AhsayCBS (12 de octubre de 2026)
- Huntress: ataques a AhsayCBS con web shells y mineros (8 de octubre de 2026)
- Plex: actualización de seguridad de Plex Media Server (actualizado el 19 de octubre de 2026)
Fuente: CISA
