El 9 de septiembre de 2026, CISA agreg\u00f3 cuatro vulnerabilidades activamente explotadas a su cat\u00e1logo de Vulnerabilidades Explotadas Conocidas (KEV). Tres de ellas se encuentran en la misma pieza de infraestructura de la que depende cada empresa: el per\u00edmetro de red.<\/p>\n
Un bypass de autenticaci\u00f3n con puntuaci\u00f3n CVSS perfecta de 10.0 en Cisco Secure Firewall Management Center. Un bypass de autenticaci\u00f3n en Citrix NetScaler ADC y Gateway, que ya ha sido blanco de decenas de intentos de explotaci\u00f3n en las primeras semanas de septiembre. Un desbordamiento de b\u00fafer basado en heap en Fortinet FortiOS que ya se ha utilizado para infectar cerca de 200 dispositivos FortiGate con un malware llamado PivotC2, en una campa\u00f1a atribuida a actores con motivaci\u00f3n financiera. A las agencias federales se les dio hasta el 12 de septiembre para parchear. La mayor\u00eda de las organizaciones del sector privado no tienen una fecha l\u00edmite obligatoria. Ese es exactamente el problema.<\/p>\n
Es tentador leer esto como tres CVE m\u00e1s que agregar a la cola de parcheo. Los datos dicen lo contrario. Seg\u00fan el Informe de Investigaciones de Brechas de Datos de Verizon (DBIR) de 2026, la explotaci\u00f3n de vulnerabilidades ahora representa el 31% de las brechas como vector de acceso inicial, frente al 20% del a\u00f1o anterior, un salto del 55%. Eso fue suficiente para que la explotaci\u00f3n de vulnerabilidades superara el abuso de credenciales y el phishing como la principal forma en que los atacantes ingresan, por primera vez en la historia del informe. Los dispositivos de borde y la infraestructura de acceso remoto son una parte importante de ese cambio: los dispositivos de red en particular subieron de aproximadamente 1.5% a 5% de las brechas en el mismo per\u00edodo.<\/p>\n
Una investigaci\u00f3n de VulnCheck agrega un detalle que deber\u00eda preocupar a todo CISO que gestiona un parque tecnol\u00f3gico distribuido: el 42.5% de las vulnerabilidades de borde explotadas en 2025 involucraron dispositivos que ya hab\u00edan llegado al fin de su vida \u00fatil o estaban cerca de hacerlo, y el 65% de la explotaci\u00f3n impulsada por botnets se dirigi\u00f3 espec\u00edficamente a productos sin soporte. Los atacantes no est\u00e1n buscando vulnerabilidades de d\u00eda cero en software de \u00faltima generaci\u00f3n. Est\u00e1n recorriendo la lista de dispositivos que su equipo a\u00fan no ha reemplazado.<\/p>\n
Quiz\u00e1s la estad\u00edstica m\u00e1s inc\u00f3moda de esa investigaci\u00f3n: solo alrededor del 24% de las vulnerabilidades activamente explotadas en el conjunto de datos llegaron al cat\u00e1logo KEV de CISA. Si su programa de gesti\u00f3n de vulnerabilidades trata el KEV como la meta final en lugar del piso m\u00ednimo, existe una alta probabilidad de que haya actividad de explotaci\u00f3n real en su entorno que ninguna lista oficial le va a se\u00f1alar.<\/p>\n
Los firewalls, los concentradores VPN y las consolas de administraci\u00f3n existen para controlar el acceso. Eso es precisamente lo que los hace valiosos una vez que un atacante logra sortearlos. Una laptop comprometida le da a un atacante el acceso de un solo usuario. Una interfaz de administraci\u00f3n de firewall comprometida, como la falla de Cisco divulgada este mes, puede darle a un atacante acceso root y un punto de apoyo con visibilidad sobre toda la red que se supon\u00eda deb\u00eda proteger.<\/p>\n
Los cronogramas se han comprimido al mismo tiempo. El c\u00f3digo de prueba de concepto para una vulnerabilidad de borde reci\u00e9n divulgada puede circular globalmente en cuesti\u00f3n de horas. En algunos casos documentados por VulnCheck, se observ\u00f3 explotaci\u00f3n activa antes de que siquiera se asignara un n\u00famero de CVE. Un ciclo de parcheo construido en torno a ventanas de mantenimiento mensuales o trimestrales no est\u00e1 preparado para ese ritmo, sin importar cu\u00e1n disciplinado parezca el proceso sobre el papel.<\/p>\n
CISA respondi\u00f3 con una nueva directiva operativa vinculante que exige a las agencias federales inventariar sus dispositivos de borde, reportar cu\u00e1les se est\u00e1n acercando al fin de soporte, y eliminar los dispositivos sin soporte seg\u00fan un cronograma definido a lo largo de los pr\u00f3ximos dos a\u00f1os. La directiva solo es vinculante para las agencias civiles federales, pero CISA ha sido expl\u00edcita en que quiere que las organizaciones del sector privado, los gobiernos estatales y locales, y los socios internacionales adopten la misma disciplina de forma voluntaria.<\/p>\n
Algunas conclusiones pr\u00e1cticas para los l\u00edderes de seguridad que est\u00e1n viendo las noticias de esta semana y la tendencia m\u00e1s amplia detr\u00e1s de ellas:<\/p>\n
Trate el per\u00edmetro como un objetivo vivo, no como una casilla anual para marcar.<\/strong> Si su prueba de penetraci\u00f3n de red externa ocurre una vez al a\u00f1o, est\u00e1 validando una fotograf\u00eda que puede haber quedado obsoleta desde hace seis meses para cuando el informe de evaluaci\u00f3n llega a su escritorio. Los atacantes no esperan su ciclo de renovaci\u00f3n.<\/p>\n Construya un inventario real de la infraestructura de borde, incluyendo el estado de soporte.<\/strong> No se puede proteger lo que no se puede ver, y los dispositivos al final de su vida \u00fatil est\u00e1n sobrerrepresentados en los datos de explotaci\u00f3n. Este es un ejercicio poco glamoroso, y tambi\u00e9n es una de las acciones de mayor impacto que un equipo de seguridad puede realizar este trimestre.<\/p>\n Combine el escaneo con pruebas adversarias.<\/strong> Los esc\u00e1neres de vulnerabilidades son buenos para detectar parches faltantes. Son considerablemente menos confiables para detectar fallas l\u00f3gicas de bypass de autenticaci\u00f3n como las encontradas en las vulnerabilidades de Cisco y Citrix divulgadas este mes, el tipo de problema que a menudo solo sale a la luz cuando alguien intenta activamente romper el flujo de inicio de sesi\u00f3n como lo har\u00eda un atacante.<\/p>\n Asuma que los ciclos de parcheo perder\u00e1n la carrera en algunas ocasiones, y planifique en consecuencia.<\/strong> Segmente las interfaces de administraci\u00f3n del acceso general a la red. Limite qui\u00e9n y qu\u00e9 puede acceder a las consolas administrativas. Incorpore la suposici\u00f3n de un eventual compromiso en su arquitectura en lugar de apostarlo todo a la velocidad de parcheo.<\/p>\n Esta es la brecha entre las evaluaciones puntuales y la validaci\u00f3n continua que dedicamos la mayor parte de nuestro tiempo a cerrar para nuestros clientes. Las pruebas de penetraci\u00f3n de red externa e interna de Orenda buscan espec\u00edficamente las clases de fallas de bypass de autenticaci\u00f3n y l\u00f3gica que est\u00e1n impulsando las brechas de dispositivos de borde de este a\u00f1o, y nuestros servicios de pruebas de penetraci\u00f3n continuas y gesti\u00f3n de vulnerabilidades est\u00e1n dise\u00f1ados en torno a la realidad de que una prueba anual no puede seguir el ritmo de cronogramas de explotaci\u00f3n medidos en d\u00edas. Si la \u00faltima vez que revisaron su per\u00edmetro fue en su \u00faltima prueba de penetraci\u00f3n anual, ahora es un buen momento para preguntarse cu\u00e1nto ha cambiado desde entonces.<\/p>\n Las tres vulnerabilidades que CISA se\u00f1al\u00f3 esta semana ser\u00e1n parcheadas, eventualmente, por la mayor\u00eda de las organizaciones que est\u00e1n prestando atenci\u00f3n. El patr\u00f3n detr\u00e1s de ellas no va a desaparecer. El per\u00edmetro de red no es un lugar para defender una vez al a\u00f1o y esperar lo mejor. Es la puerta principal, y merece la misma atenci\u00f3n continua que todo lo que est\u00e1 detr\u00e1s de ella.<\/p>\n","protected":false},"excerpt":{"rendered":" El 9 de septiembre de 2026, CISA agreg\u00f3 cuatro vulnerabilidades activamente explotadas a su cat\u00e1logo de Vulnerabilidades Explotadas Conocidas (KEV). Tres de ellas se encuentran en la misma pieza de infraestructura de la que depende cada empresa: el per\u00edmetro de red. Un bypass de autenticaci\u00f3n con puntuaci\u00f3n CVSS perfecta de 10.0 en Cisco Secure Firewall […]<\/p>\n","protected":false},"author":1,"featured_media":3662,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[58,62],"tags":[],"class_list":["post-3644","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-brecha","category-concienciacion-sobre-seguridad","has-post-title","has-post-date","has-post-category","has-post-tag","has-post-comment","has-post-author",""],"yoast_head":"\n