CISA añade dos fallos explotados activamente a su catálogo de parches obligatorios

CISA añadió silenciosamente dos nuevas entradas a su catálogo de vulnerabilidades explotadas conocidas esta semana. La primera, CVE-2026-16232, es una falla de autenticación inadecuada en Check Point SmartConsole. La segunda, CVE-2026-50522, es un error de deserialización de datos no confiables en Microsoft SharePoint. Ambas presentan evidencia de explotación activa, según la agencia.

Para las agencias federales, la adición activa la Directiva Operativa Vinculante 26-04, que exige parchear dentro de un plazo definido según el riesgo. Pero la conclusión real para la comunidad de infraestructura crítica en general es cómo CISA clasifica estas alertas. La agencia mantiene dos categorías de avisos que cubren la mayoría de sus boletines de vulnerabilidades.

Aviso ICS vs. Aviso Médico ICS

Un Aviso ICS (ICSA) cubre vulnerabilidades novedosas en sistemas de control industrial, tecnología operativa y dispositivos IoT. Cada entrada enumera productos y versiones afectados, detalles de la vulnerabilidad y las mitigaciones proporcionadas por el proveedor. Un Aviso Médico ICS (ICSMA) hace lo mismo para dispositivos médicos y sistemas de soporte. Ambos tipos están diseñados para proporcionar a los propietarios de activos una única fuente autorizada de orientación para parchear.

Las fallas de Check Point y SharePoint quedan fuera del alcance de ICSA; ninguno de los dos es un producto OT o médico, pero aún se rastrean en el catálogo KEV, que cubre todo el software utilizado por la empresa federal. Esa distinción importa: el catálogo KEV es más amplio que el sistema de avisos, pero el marco ICSA sigue siendo el canal principal para la inteligencia de amenazas específica de OT.

Por qué el catálogo KEV sigue creciendo

CISA ha estado añadiendo constantemente vulnerabilidades que cumplen sus criterios: un ID CVE válido, evidencia de explotación en el mundo real y una guía de mitigación clara. La agencia alienta a las organizaciones fuera del gobierno federal a adoptar el mismo enfoque de gestión de vulnerabilidades basado en riesgos. BOD 26-04 formaliza la expectativa de que las agencias verifiquen si los sistemas fueron comprometidos antes de aplicar un parche.

Las dos nuevas entradas elevan el total activo de KEV a varios cientos. Cada adición refleja un vector de ataque conocido que los actores maliciosos ya están utilizando. Para los defensores, el mensaje es contundente: si su organización utiliza estos productos, asuma que están comprometidos hasta que se demuestre lo contrario.