6 nuevas vulnerabilidades explotadas esta semana

El catálogo KEV de CISA recoge las vulnerabilidades que se están explotando en ataques reales, no las que podrían estarlo. Es la lista por la que empezar al decidir qué parchear primero.

Esta semana

• CVE-2023-22894 Media4.9

  Strapi · Strapi

  Strapi Cleartext Storage of Sensitive Information Vulnerability

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2021-3199 Crítica9.8

  ONLYOFFICE · Docs

  ONLYOFFICE Docs Server Path Traversal Vulnerability

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2016-3081 Alta8.1

  Apache · Struts

  Apache Struts Command Injection Vulnerability

  77 días después de las primeras pruebas de explotación

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2015-5477 Alta7.5

  ISC · BIND

  ISC BIND Data Processing Errors Vulnerability

  4085 días después de las primeras pruebas de explotación

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2015-3306 Crítica10.0

  ProFTPD · ProFTPD

  ProFTPD Improper Access Control Vulnerability

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2026-88779 Alta7.5

  Citrix · NetScaler

  Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability

  Añadida 4 oct 2026Corregir antes del 7 oct 2026

Añadidas anteriormente

• CVE-2026-102490 Alta7.8

  Zammad GmbH · Zammad

  Zammad GmbH Zammad Improper Privilege Management Vulnerability

  Añadida 2 oct 2026Corregir antes del 5 oct 2026
• CVE-2026-102489 Crítica9.8

  Zammad GmbH · Zammad

  Zammad GmbH Zammad Session Fixation Vulnerability

  Añadida 2 oct 2026Corregir antes del 5 oct 2026
• CVE-2026-104286 Crítica9.8

  Fortinet · FortiMail

  Fortinet FortiMail Path Traversal Vulnerability

  Añadida 1 oct 2026Corregir antes del 4 oct 2026
• CVE-2026-76504 Crítica9.8

  Cisco · Catalyst SD-WAN Manager

  Cisco Catalyst SD-WAN Manager Hex Encoding Vulnerability

  Añadida 30 sept 2026Corregir antes del 3 oct 2026
• CVE-2026-86950 Alta8.8

  Apple · Multiple Products

  Apple Multiple Products Out-of-Bounds Write Vulnerability

  Añadida 29 sept 2026Corregir antes del 13 oct 2026
• CVE-2026-88772 Alta8.1

  Citrix · NetScaler

  Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability

  Añadida 27 sept 2026Corregir antes del 30 sept 2026
• CVE-2026-88771 Crítica9.8

  Citrix · NetScaler

  Citrix NetScaler Improper Input Validation Vulnerability

  Añadida 27 sept 2026Corregir antes del 30 sept 2026
• CVE-2026-87902 Alta8.1

  WordPress · Core

  WordPress Core Remote File Inclusion Vulnerability

  Añadida 25 sept 2026Corregir antes del 28 sept 2026
• CVE-2026-67279 Media6.5

  MikroTik · RouterOS

  Mikrotik RouterOS Improper Enforcement of Behavioral Workflow Vulnerability

  20 días después de las primeras pruebas de explotación

  Añadida 25 sept 2026Corregir antes del 28 sept 2026
• CVE-2026-65660 Alta8.8

  Microsoft · SharePoint

  Microsoft SharePoint Code Injection Vulnerability

  Añadida 25 sept 2026Corregir antes del 28 sept 2026
• CVE-2026-71362 Crítica9.1

  Adobe · Commerce and Magento

  Adobe Commerce and Magento Incorrect Authorization Vulnerability

  21 días después de las primeras pruebas de explotación

  Añadida 24 sept 2026Corregir antes del 27 sept 2026
• CVE-2026-5430 Crítica10.0

  WSO2 · Multiple Products

  WSO2 Multiple Products Path Traversal Vulnerability

  9 días después de las primeras pruebas de explotación

  Añadida 24 sept 2026Corregir antes del 27 sept 2026
• CVE-2026-94127 Crítica9.8

  F5 · BIG-IP APM

  F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-93952 Crítica10.0

  Arista · VeloCloud Orchestrator

  Arista VeloCloud Orchestrator Improper Input Validation Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-93616 Crítica9.8

  Check Point · Multiple Products

  Check Point Multiple Products Path Traversal Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-85102 Crítica9.8

  Check Point · Multiple Products

  Check Point Multiple Products Improper Certificate Validation Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-7273 Alta8.8

  Zyxel · GS1900 Series Switches

  Zyxel GS1900 Series Switches Stack-Based Buffer Overflow Vulnerability

  Añadida 21 sept 2026Corregir antes del 24 sept 2026
• CVE-2026-53266 Alta8.8

  Linux · Kernel

  Linux Kernel Out-of-Bounds Write Vulnerability

  Añadida 18 sept 2026Corregir antes del 21 sept 2026
• CVE-2025-39964 Alta7.8

  Linux · Kernel

  Linux Kernel Race Condition Vulnerability

  Añadida 18 sept 2026Corregir antes del 21 sept 2026
• CVE-2025-39682 Crítica9.8

  Linux · Kernel

  Linux Kernel Improper Check for Unusual or Exceptional Conditions Vulnerability

  Añadida 18 sept 2026Corregir antes del 21 sept 2026
• CVE-2026-87886 Alta7.8

  Acronis · Backup

  Acronis Backup Incorrect Default Permissions Vulnerability

  Añadida 16 sept 2026Corregir antes del 19 sept 2026
• CVE-2026-76460 Crítica10.0

  Cisco · Identity Services Engine

  Cisco Identity Services Engine Incorrect Use of Privileged APIs Vulnerability

  Añadida 16 sept 2026Corregir antes del 19 sept 2026
• CVE-2026-58704 Alta8.8

  Google · Pixel

  Google Pixel Improper Authorization Vulnerability

  Añadida 16 sept 2026Corregir antes del 19 sept 2026
• CVE-2026-76461 Crítica9.8

  Cisco · Secure Email Gateway

  Cisco Secure Email Gateway SQL Injection Vulnerability

  Añadida 14 sept 2026Corregir antes del 17 sept 2026
• CVE-2026-85706 Crítica10.0

  GitLab · Community Edition and Enterprise Edition

  GitLab Community Edition and Enterprise Edition Path Traversal Vulnerability

  Añadida 11 sept 2026Corregir antes del 14 sept 2026
• CVE-2026-84869 Crítica9.9

  ConnectWise · ScreenConnect

  ConnectWise ScreenConnect Improper Privilege Management and Missing Authorization Vulnerability

  Añadida 11 sept 2026Corregir antes del 14 sept 2026
• CVE-2026-42018 Alta7.5

  JFrog · Artifactory

  JFrog Artifactory Improper Authentication Vulnerability

  Añadida 11 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-42016 Alta8.1

  JFrog · Artifactory

  JFrog Artifactory Incorrect Authorization Vulnerability

  Añadida 11 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-86060 Crítica9.8

  MikroTik · RouterOS

  MikroTik RouterOS Improper Neutralization of Argument Delimiters in a Command Vulnerability

  Añadida 10 sept 2026Corregir antes del 13 sept 2026
• CVE-2026-67277 Alta8.2

  MikroTik · RouterOS

  MikroTik RouterOS Missing Authentication for Critical Function Vulnerability

  Añadida 10 sept 2026Corregir antes del 13 sept 2026
• CVE-2026-87491 Alta8.8

  Google · Chromium V8

  Google Chromium V8 Out of Bounds Write Vulnerability

  Añadida 9 sept 2026Corregir antes del 23 sept 2026
• CVE-2026-20079 Crítica10.0

  Cisco · Secure Firewall Management Center (FMC) and Security Cloud Control (SCC) Firewall Management

  Cisco Firewall Management Center Authentication Bypass Using an Alternate Path or Channel Vulnerability

  Añadida 9 sept 2026Corregir antes del 12 sept 2026
• CVE-2026-19490 Crítica9.8

  Citrix · NetScaler

  Citrix NetScaler Authentication Bypass Using an Alternate Path or Channel Vulnerability

  Añadida 9 sept 2026Corregir antes del 12 sept 2026
• CVE-2025-25249 Alta8.1

  Fortinet · Multiple Products

  Fortinet Multiple Products Heap-based Buffer Overflow Vulnerability

  Añadida 9 sept 2026Corregir antes del 12 sept 2026
• CVE-2026-86218 Crítica9.8

  N-able · N-central

  N-able N-central Static Code Injection Vulnerability

  Añadida 8 sept 2026Corregir antes del 11 sept 2026
• CVE-2026-85880 Alta7.8

  Microsoft · Windows

  Microsoft Windows Heap-Based Buffer Overflow Vulnerability

  Añadida 8 sept 2026Corregir antes del 22 sept 2026
• CVE-2026-81963 Alta7.8

  Microsoft · Windows

  Microsoft Windows Link Following Vulnerability

  Añadida 8 sept 2026Corregir antes del 22 sept 2026
• CVE-2026-75650 Crítica10.0

  Adobe · Commerce and Magento

  Adobe Commerce and Magento Improper Neutralization of Special Elements Used in a Template Engine Vulnerability

  Añadida 8 sept 2026Corregir antes del 11 sept 2026
• CVE-2026-85046 Alta8.8

  Google · Chromium V8

  Google Chromium V8 Type Confusion Vulnerability

  Añadida 4 sept 2026Corregir antes del 18 sept 2026
• CVE-2026-9586 Crítica9.8

  Sangoma · Switchvox

  Sangoma Switchvox SQL Injection Vulnerability

  Añadida 2 sept 2026Corregir antes del 5 sept 2026
• CVE-2026-83549 Alta7.8

  SonicWall · SMA1000 Appliances

  SonicWall SMA1000 Appliances OS Command Injection Vulnerability

  Añadida 2 sept 2026Corregir antes del 5 sept 2026
• CVE-2026-83548 Crítica10.0

  SonicWall · SMA1000 Appliances

  SonicWall SMA1000 Appliances Server-Side Request Forgery Vulnerability

  Añadida 2 sept 2026Corregir antes del 5 sept 2026
• CVE-2026-82329 Crítica9.8

  JFrog · Artifactory

  JFrog Artifactory Improper Authentication Vulnerability

  Añadida 2 sept 2026Corregir antes del 5 sept 2026
• CVE-2026-59822 Alta8.2

  BerriAI · LiteLLM

  BerriAI LiteLLM Improper Authentication Vulnerability

  56 días después de las primeras pruebas de explotación

  Añadida 2 sept 2026Corregir antes del 16 sept 2026
• CVE-2026-49869 Crítica10.0

  Kestra · Kestra OSS

  Kestra OSS OS Command Injection Vulnerability

  7 días después de las primeras pruebas de explotación

  Añadida 2 sept 2026Corregir antes del 5 sept 2026
• CVE-2026-48710 Media6.5

  Kludex · Starlette

  Kludex Starlette HTTP Request/Response Smuggling Vulnerability

  99 días después de las primeras pruebas de explotación

  Añadida 2 sept 2026Corregir antes del 16 sept 2026
• CVE-2026-82078 Crítica9.1

  PaperCut · NG/MF

  PaperCut NG/MF Unsafe Reflection Vulnerability

  Añadida 31 ago 2026Corregir antes del 14 sept 2026
• CVE-2026-81578 Crítica9.8

  PaperCut · NG/MF

  PaperCut NG/MF Missing Authentication for Critical Function Vulnerability

  Añadida 31 ago 2026Corregir antes del 14 sept 2026
• CVE-2026-66384 Media5.3

  JFrog · Artifactory

  JFrog Artifactory Improper Limitation of a Pathname to a Restricted Directory Vulnerability

  Añadida 27 ago 2026Corregir antes del 10 sept 2026
• CVE-2026-53362 Alta7.8

  Linux · Kernel

  Linux Kernel Unspecified Vulnerability

  Añadida 27 ago 2026Corregir antes del 30 ago 2026
• CVE-2023-49105 Crítica9.8

  ownCloud · ownCloud

  ownCloud Improper Authentication Vulnerability

  Añadida 27 ago 2026Corregir antes del 30 ago 2026
• CVE-2026-8452 Crítica9.8

  Citrix · NetScaler ADC and NetScaler Gateway

  Citrix NetScaler ADC and NetScaler Gateway Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability

  9 días después de las primeras pruebas de explotación

  Añadida 26 ago 2026Corregir antes del 29 ago 2026
• CVE-2022-0995 Alta7.8

  Linux · Kernel

  Linux Kernel Out-of-Bounds Write Vulnerability

  Añadida 26 ago 2026Corregir antes del 29 ago 2026
• CVE-2021-23758 Alta8.1

  Ajax.NET Professional · Ajax.NET Professional

  Ajax.NET Professional Deserialization of Untrusted Data Vulnerability

  Añadida 26 ago 2026Corregir antes del 9 sept 2026

Qué es el catálogo KEV

Datos del catálogo Known Exploited Vulnerabilities de CISA, obra del Gobierno de EE. UU. en dominio público. Los plazos indicados obligan a las agencias federales estadounidenses (BOD 22-01); para el resto son una buena referencia de prioridad.

Base de datos CVE