La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) incorporó seis vulnerabilidades a su catálogo Known Exploited Vulnerabilities (KEV) el 26 de agosto de 2026, una lista que refleja fallos en explotación activa. Entre los afectados figuran Citrix NetScaler, el kernel de Linux, Microsoft SQL Server, componentes de Red Hat y aplicaciones .NET.
La vulnerabilidad más inmediata es CVE-2026-8452, que afecta a Citrix NetScaler ADC y NetScaler Gateway. Se asocia a un problema de memoria que puede provocar denegación de servicio, aunque también se han documentado escenarios de ejecución remota de código sin autenticación. Citrix publicó parches el 30 de junio de 2026 y CISA fijó el 29 de agosto de 2026 como fecha límite para que los organismos federales apliquen mitigaciones o actualicen.
Las campañas de explotación observadas tras comprometer CVE-2026-8452 han dejado web shells para mantener persistencia y ejecutado comandos de reconocimiento para mapear el entorno. En un appliance perimetral, este tipo de actividad post-explotación facilita movimientos laterales y robo de credenciales.
El resto del lote incluye CVE-2019-1068, que afecta a Microsoft SQL Server y permite ejecución remota de código en el contexto de la cuenta de servicio del motor, punto crítico por el acceso que suele tener a datos y recursos. CVE-2022-0995 impacta en el kernel de Linux y permite a un usuario local elevar privilegios o forzar una denegación de servicio, riesgo especial en servidores multiusuario o sistemas donde un atacante logró un primer acceso.
También figura CVE-2021-23758, una vulnerabilidad por deserialización de datos no confiables en Ajax.NET Professional que puede convertirse en ejecución de código. Completan la lista CVE-2015-3246, una condición de carrera en Red Hat libuser, y CVE-2015-5287, una escalada de privilegios en Red Hat ABRT.
Para los equipos defensivos, el mensaje es claro: primero, inventario detallado para localizar instancias de NetScaler, servidores con Linux, despliegues de SQL Server, aplicaciones que integren Ajax.NET Professional y equipos Red Hat con libuser o ABRT. Después, parcheo priorizado comenzando por sistemas expuestos a Internet y los más críticos.
En NetScaler conviene actualizar a versiones corregidas y verificar que el dispositivo no conserva configuraciones vulnerables, especialmente si actúa como AAA virtual server o Gateway VPN server. También hay que revisar indicios de intrusión: rastros de web shells, comandos de enumeración y actividad anómala en los registros. En SQL Server, además del parche, es recomendable vigilar telemetría del motor para detectar ejecución de código bajo la cuenta de servicio y reducir superficie de ataque. En Linux, la prioridad es actualizar el kernel donde exista riesgo de escalada local y reforzar controles de privilegios y monitorización.
Aunque el plazo de KEV se formula para el entorno federal estadounidense, muchas organizaciones lo utilizan como referencia: si se explota activamente, el retraso se mide en incidentes, no en días.
Con Información de unaaldia.hispasec.com
