La nueva lista KEV de CISA señala siete fallos explotados, dos en un mismo dispositivo

Los dispositivos SMA1000 de SonicWall aparecen dos veces entre las siete vulnerabilidades que CISA añadió a su catálogo de Vulnerabilidades Explotadas Conocidas. Una entrada cubre falsificación de petición del lado del servidor, la otra inyección de comandos del sistema operativo, y los dos identificadores aparecen uno junto al otro en la secuencia: CVE-2026-83548 y CVE-2026-83549.

Ese emparejamiento es el detalle más revelador de un lote que CISA dice haber reunido "based on evidence of active exploitation." Un fallo de falsificación de petición permite a un atacante hacer que el dispositivo alcance un lugar al que no debería. Un fallo de inyección de comandos en el mismo dispositivo les da entonces un lugar donde ejecutar. La agencia no describe los dos como una cadena, y no tiene por qué hacerlo. La lista ya muestra la forma de una.

CVE	Producto	Clase de vulnerabilidad
CVE-2026-9586	Sangoma Switchvox	Inyección SQL
CVE-2026-48710	Kludex Starlette	Contrabando de peticiones/respuestas HTTP
CVE-2026-49869	Kestra OSS	Inyección de comandos del sistema operativo
CVE-2026-59822	BerriAI LiteLLM	Autenticación indebida
CVE-2026-82329	JFrog Artifactory	Autenticación indebida
CVE-2026-83548	Dispositivos SonicWall SMA1000	Falsificación de petición del lado del servidor
CVE-2026-83549	Dispositivos SonicWall SMA1000	Inyección de comandos del sistema operativo

Las entradas restantes se reparten entre otros cinco productos y otras tres clases de vulnerabilidad. LiteLLM de BerriAI y Artifactory de JFrog aparecen una vez cada uno, ambos por autenticación indebida.

Dos fallos de autenticación en un mismo lote es el detalle sobre el que conviene detenerse. Los fallos de inyección y de contrabando generalmente necesitan que se entregue una entrada manipulada al componente correcto antes de que ocurra algo. Un bypass de autenticación elimina ese paso, y por eso esa clase tiende a moverse rápido una vez que es pública.

El propio resumen de CISA sobre por qué importan es tajante: "These types of vulnerabilities are a frequent attack vector for malicious cyber actors and pose significant risks to the federal enterprise."

Qué cambia la BOD 26-04 para las agencias federales

La Directiva Operativa Vinculante 26-04 rige cómo las agencias priorizan las actualizaciones de seguridad según el riesgo, y estrecha el criterio en lugar de ampliarlo. Las agencias deben priorizar "rapid remediation of high-risk vulnerabilities, specifically those identified by CVEs listed in CISA's KEV Catalog on publicly exposed assets that grant total control of the asset post-exploitation," mientras difieren la acción sobre las de menor riesgo.

Se trata de una prueba de dos partes. Que un fallo figure en el KEV no lo lleva por sí solo al frente de la cola. El activo afectado tiene que ser accesible desde internet, y la explotación tiene que entregar la máquina al atacante. Los fallos que quedan fuera de esas dos condiciones se tratan como de menor riesgo a la hora de secuenciar.

La directiva también añade un requisito que no tiene nada que ver con la rapidez de los parches. Las agencias deben comprobar si los actores de amenazas comprometieron un sistema antes de que se aplicara el parche. Esa instrucción asume el peor escenario. Un CVE llega al catálogo porque se está explotando ahora, así que una corrección instalada hoy no dice nada sobre si alguien ya estaba dentro.

Qué exige CISA antes de añadir un fallo

El catálogo no acepta nominaciones por sospecha. CISA enumera tres requisitos para todo lo que se envíe a través de su formulario de nominación al KEV: un identificador CVE, evidencia de explotación y una guía de mitigación clara. El del medio es el que filtra. Los errores graves se quedan fuera del catálogo con regularidad porque nadie ha demostrado que se usen.

CISA afirma que seguirá añadiendo vulnerabilidades que cumplan sus criterios, e invita a enviar candidaturas externas para todo lo que se le haya escapado. El listón es el mismo. Ese tercer requisito, la guía de mitigación, es fácil de pasar por alto. Un fallo sin corrección ni solución alternativa es difícil de accionar para una agencia, por muy activamente que se esté explotando.

La BOD 26-04 vincula únicamente a las agencias del Poder Ejecutivo Civil Federal, y CISA lo dice sin rodeos. Su petición al resto es más blanda: adoptar la gestión de vulnerabilidades basada en el riesgo y priorizar las entradas del KEV. Para una organización privada, el valor de la lista es más simple. Estos siete fallos tienen explotación conocida detrás, lo que es un punto de partida distinto al de una puntuación de gravedad asignada antes de que nadie lo intentara.