CISA añadió al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) fallos explotados que afectan a WordPress Core, productos de Apple y SonicWall SonicOS SSLVPN entre el 2 y el 8 de noviembre. WordPress presenta una ventana de actualización que permite la ejecución de código sin autenticación, mientras que el fallo de SonicWall puede eludir la autenticación SAML y la autenticación multifactor aplicada mediante SAML. La entrada de Apple se refiere a una elusión de Pointer Authentication, con correcciones disponibles en varias líneas de productos.
Ninguna de las tres entradas está marcada por CISA como conocida por usarse en campañas de ransomware. Su inclusión en KEV acredita evidencia de explotación; sus puntuaciones CVSS describen la gravedad, no la probabilidad de un ataque.
Las tres incorporaciones de la semana se comparan con una media de 8,7 por semana en las 12 semanas anteriores. Dos entraron en KEV en un plazo de siete días desde su publicación en NVD; la vulnerabilidad de Apple llevaba publicada en NVD más de un año. El intervalo mediano fue de tres días. Estos intervalos miden la cronología del catálogo, no el momento en que comenzó la explotación.
WordPress Core: ejecución de código durante actualizaciones de paquete completo
CVE-2026-119977 afecta a WordPress Core en las versiones 4.7 a 7.1.3, según la descripción de NVD. Se trata de una condición de carrera de tipo time-of-check/time-of-use que involucra rutas de staging predecibles, accesibles por la web durante las actualizaciones completas del núcleo.
Un atacante no autenticado puede aprovechar esa ventana de actualización para ejecutar código en el servidor. La exposición depende, por tanto, del proceso de actualización y no simplemente de la presencia de una instalación afectada. NVD le asigna una puntuación CVSS v3 de 8,1.
CISA añadió la vulnerabilidad el 3 de noviembre, tres días después de su publicación en NVD y cuatro días después de su inclusión en VulnCheck KEV. El plazo federal de remediación era el 6 de noviembre, que ya había vencido a fecha de 9 de noviembre.
SonicWall: las credenciales alternativas pueden eludir los controles SAML
CVE-2026-19868 afecta a la aplicación de la autenticación en el servicio SSLVPN de SonicOS. Un usuario con credenciales válidas para un método de autenticación alternativo puede eludir los controles de autenticación SAML. Una explotación exitosa también puede eludir la MFA aplicada mediante SAML.
Ese requisito previo de credenciales es importante: el ataque descrito exige credenciales válidas para otro método de autenticación. La puntuación CVSS v3 de NVD es 7,5.
CISA añadió el fallo el 6 de noviembre, en la fecha de su publicación en NVD o antes de ella. El plazo federal de remediación es el 20 de noviembre.
Apple: elusión de Pointer Authentication con correcciones publicadas
CVE-2024-27834 puede permitir que un atacante que ya tiene capacidad arbitraria de lectura y escritura eluda Pointer Authentication. NVD le asigna una puntuación CVSS v3 de 5,5. Su puntuación más baja no anula la evidencia de explotación que representa su inclusión en KEV.
Según la descripción de NVD, las comprobaciones mejoradas corrigen el problema en las siguientes versiones:
- Safari 17.5.
- iOS 16.7.8 y iPadOS 16.7.8.
- iOS 17.5 y iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
CISA añadió la vulnerabilidad el 4 de noviembre, 904 días después de su publicación en NVD, y fijó el 18 de noviembre como plazo federal de remediación.
Qué deberían hacer los equipos de defensa esta semana
Comprobar la exposición a las tres familias de productos, prestando atención inmediata a las entradas de WordPress y SonicWall, divulgadas recientemente. Para las implementaciones de Apple, verificar la remediación frente a las versiones corregidas indicadas arriba. Ninguna de las entradas de esta semana lleva la marca de uso conocido en ransomware de CISA.
Para las tres vulnerabilidades, CISA indica a las organizaciones que apliquen las mitigaciones prescritas por el proveedor de conformidad con BOD 26-04 y sus «Forensics Triage Requirements», que evalúen la exposición a internet de cada activo y que sigan la guía aplicable de BOD 26-04 para servicios en la nube. La instrucción de CISA es dejar de usarlos si no hay mitigaciones disponibles.
Los plazos de KEV obligan a las agencias civiles federales de EE. UU. cubiertas por BOD 22-01. Las demás organizaciones deberían usarlos como señales de priorización: el plazo del 6 de noviembre de WordPress ya ha vencido, seguido por el de Apple, el 18 de noviembre, y el de SonicWall, el 20 de noviembre.
