El catálogo KEV de CISA vuelve a crecer: dos fallos, un patrón y una directiva que exige más que parchear

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. amplió el miércoles su catálogo de Vulnerabilidades Explotadas Conocidas con dos entradas: un fallo de autenticación incorrecta en Check Point SmartConsole (CVE-2026-16232) y una vulnerabilidad de deserialización en Microsoft SharePoint (CVE-2026-50522). Ambas están bajo explotación activa, aunque ni CISA ni ninguno de los dos proveedores ha publicado detalles técnicos o atribución de los ataques todavía.

El fallo de Check Point apunta a SmartConsole, la interfaz de gestión unificada para firewalls y puertas de enlace de seguridad. La autenticación incorrecta significa que un atacante no autenticado podría infiltrarse en el plano administrativo de un entorno Check Point, reconfigurando potencialmente reglas, exfiltrando registros o pivotando más profundamente en la red. SmartConsole se encuentra en una intersección privilegiada, por lo que una explotación exitosa aquí no es solo una intrusión en la red, es acceso administrativo entregado a alguien que no debería tenerlo.

La vulnerabilidad de SharePoint es un problema de deserialización de datos no confiables, una clase de fallo que históricamente ha afectado a la plataforma. Este no es el primer fallo de SharePoint que CISA ha señalado este año: en junio de 2026, la agencia agregó CVE-2026-45659, una vulnerabilidad de ejecución remota de código en el mismo producto, a su catálogo KEV tras una explotación confirmada vinculada al grupo de amenazas Storm-2603 y un segundo actor no identificado. El nuevo CVE-2026-50522 sugiere que los atacantes mantienen el interés en SharePoint como vector, o que la ronda anterior de parches no cerró todas las puertas.

Ambas adiciones se enmarcan en la Directiva Operativa Vinculante 26-04, que CISA publicó a principios de este año para reemplazar los mandatos de parcheo basados en el tiempo más simples de BOD anteriores. La BOD 26-04 exige que las agencias del Poder Ejecutivo Civil Federal traten las vulnerabilidades incluidas en KEV en activos expuestos públicamente como una clase de emergencia, pero con un giro: la directiva ordena a las agencias priorizar la remediación basada en el riesgo, específicamente, las vulnerabilidades que otorgan control total del activo tras la explotación, mientras difieren los CVE de menor riesgo. Más importante aún, agrega una verificación forense antes del parcheo: las agencias deben determinar si los actores de amenazas ya comprometieron el sistema antes de aplicar la corrección.

Este es un cambio significativo. Las directivas anteriores se centraban en la velocidad del parcheo (qué tan rápido, medido en días). La BOD 26-04 añade una obligación de detección (¿ya estabas comprometido?). Para las organizaciones que han estado tratando las alertas KEV como un desencadenante de parcheo en lugar de un desencadenante de respuesta a incidentes, la nueva expectativa cambia el flujo de trabajo operativo.

Ni CVE-2026-16232 ni CVE-2026-50522 tienen código de explotación público disponible al momento de redactar este artículo, pero la explotación activa significa que existe de forma privada una prueba de concepto o una herramienta en circulación. Las agencias federales tienen un plazo de remediación estándar, típicamente dentro de 7 días para entradas KEV críticas, para parchear y realizar la verificación de compromiso previo al parche ordenada. Para las organizaciones no pertenecientes a FCEB, CISA hace la misma recomendación sin la obligación legal: tratar las entradas KEV como urgentes, realizar una evaluación de compromiso, parchear y asumir que el lapso entre la explotación y la detección importa.

La conclusión más amplia no es solo que dos CVE más entraron al catálogo. Es que el gobierno federal ahora distingue formalmente entre gestión de vulnerabilidades (seguimiento de CVE) y gestión de brechas (confirmar la integridad antes del parcheo). Pocos equipos del sector privado tienen actualmente las herramientas o procesos para esto último. Para los CISO que observan este espacio, la BOD 26-04 es una plantilla, no una regulación que se aplica solo al gobierno. La expectativa tiende a fluir aguas abajo.

Las organizaciones que utilizan Check Point SmartConsole deben segmentar de inmediato el acceso administrativo, revisar los registros en busca de actividad no autenticada y aplicar cualquier parche que Check Point publique. Los administradores de SharePoint deben tratar CVE-2026-50522 como una repetición del patrón de junio y acelerar el parcheo. En ambos casos, CISA está pidiendo algo más difícil que parchear: quieren pruebas de que el parche llegó a tiempo.