CISA añadió cinco vulnerabilidades a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 8 de octubre de 2026. El plazo federal de remediación vence el 11 de octubre de 2026, es decir, hoy. Ese plazo obliga a las agencias federales civiles del poder ejecutivo de EE. UU. Los demás pueden tomarlo como una señal de priorización, no como una obligación.
SecurityAffairs informa de que la actualización coincide con un aviso conjunto de Australia, Canadá, Japón, Nueva Zelanda, España, el Reino Unido y Estados Unidos. El artículo vincula los registros con una campaña atribuida a China y a actores asociados con Integrity Technology Group, una empresa china de ciberseguridad. Hay también una cobertura relacionada con la inclusión en KEV.
Las cinco entradas y sus versiones afectadas
Los detalles de versiones que siguen proceden de los registros de NVD.
| CVE | Producto y alcance | CVSS v3 (NVD) | Debilidad |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD 1.3.5, módulo mod_copy |
10,0 | CWE-284 |
| CVE-2021-3199 | ONLYOFFICE Document Server anterior a 5.6.3, cuando se usa JWT | 9,8 | CWE-22 |
| CVE-2016-3081 | Apache Struts, con Dynamic Method Invocation habilitado | 8,1 | CWE-77 |
| CVE-2015-5477 | ISC BIND | 7,5 | CWE-19, CWE-617 |
| CVE-2023-22894 | Strapi | 4,9 | CWE-312 |
ProFTPD. Atacantes remotos pueden leer y escribir archivos arbitrarios mediante los comandos site cpfr y site cpto. El vector CVSS es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, así que no se necesita autenticación ni interacción del usuario.
ONLYOFFICE Document Server. Una secuencia /.. en un parámetro de subida de imágenes del endpoint /upload permite recorrer directorios y ejecutar código de forma remota cuando se usa JWT. La única referencia del proveedor en el registro CVE es una entrada del changelog de ONLYOFFICE. También enumera dos repositorios de terceros que alojan scripts de prueba de concepto.
Apache Struts. La descripción de NVD menciona tres rangos: de 2.3.19 a 2.3.20.2, de 2.3.21 a 2.3.24.1, y de 2.3.25 a 2.3.28. Todos requieren que Dynamic Method Invocation esté habilitado. La explotación usa el prefijo method: con expresiones encadenadas para llegar a la ejecución de código. La complejidad del ataque se califica como alta (AC:H).
ISC BIND. Una consulta TKEY manipulada provoca un fallo de aserción REQUIRE y el demonio termina, lo que supone una denegación de servicio. La descripción de NVD abarca las versiones 9.x anteriores a 9.9.7-P2 y las 9.10.x anteriores a 9.10.2-P3. Los datos de configuración de NVD, en cambio, listan versiones hasta la 9.9.7 incluida, y los dos alcances no son idénticos.
Strapi. Un usuario autenticado del panel de administración puede filtrar usuarios por columnas sensibles e inferir valores a partir de las respuestas de la API. Con acceso de superadministrador, según NVD, pueden descubrirse los hashes de contraseña y los tokens de restablecimiento de todos los usuarios. La descripción dice «through 4.5.5», mientras que los datos CPE usan < 4.8.0. SecurityAffairs da una puntuación CVSS de 7,2, pero el registro de NVD indica 4,9 y requiere altos privilegios (PR:H).
Los rangos anteriores son rangos afectados, no versiones corregidas. Consulta el aviso de cada proveedor para conocer la compilación que corrige el problema.
La gravedad no es lo mismo que la explotación
La entrada de Strapi lo demuestra. Su puntuación en NVD es la más baja de las cinco, y aun así aparece en KEV junto a una de 10,0. La inclusión en KEV refleja evidencia de explotación, mientras que CVSS solo refleja la gravedad técnica. Además, la mayoría de estas vulnerabilidades tienen varios años.
Lo que dice el artículo sobre la campaña
Según SecurityAffairs, la campaña explotó ocho vulnerabilidades, incluidas estas cinco, para obtener acceso inicial y robar información sensible. El artículo no nombra las otras tres.
Según se informa, el Departamento de Justicia de EE. UU. y el FBI incautaron dos herramientas que, según el artículo, habría operado la empresa china:
- Microscan, según se informa usada para escanear redes en busca de sistemas vulnerables.
- FishHub, según se informa usada para enviar correos de spear-phishing que entregan malware, dan acceso remoto y roban archivos.
El mismo informe dice que los operadores usaron herramientas de escaneo, cross-site scripting y password spraying contra servidores de Microsoft Exchange. Según se informa, se apoyaron en software VPN para mantener el acceso y usaron scripts para extraer correos y credenciales. Según el artículo, el aviso conjunto advierte sobre herramientas que combinan el escaneo a gran escala con la explotación manual.
Qué deben hacer los defensores
El texto de acción de CISA en los registros de NVD indica a los operadores que apliquen las mitigaciones según las instrucciones de cada proveedor. También remite a BOD 26-04 y a sus «Forensics Triage Requirements». Para servicios en la nube, indica seguir la orientación aplicable de BOD 26-04 o dejar de usar el producto si no hay mitigaciones disponibles. SecurityAffairs, en cambio, cita BOD 22-01 para el plazo federal.
Primeros pasos prácticos:
- Inventariar las instancias expuestas de ProFTPD 1.3.5, ONLYOFFICE Document Server, Struts, BIND y Strapi.
- En Struts, comprobar si Dynamic Method Invocation está habilitado.
- En ONLYOFFICE, comprobar si se usa JWT.
- Revisar los registros en busca de los tipos de actividad descritos arriba.
SecurityAffairs también aconseja a las organizaciones privadas revisar el catálogo y corregir las vulnerabilidades listadas en su propia infraestructura.
Una serie, no un hecho aislado
En los últimos 90 días, KEV ha incorporado otras entradas de proveedores relacionados. Se trata de CVE-2015-5287 (26 de agosto de 2026), CVE-2026-21962 (24 de agosto de 2026), CVE-2026-34486 (4 de agosto de 2026) y CVE-2026-46817 (15 de julio de 2026), vinculadas a Oracle, Apache y Huawei.
