CISA suma 6 fallos explotados al KEV y advierte: la IA ya automatiza los ataques
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incorporó este 26 de agosto de 2026 seis nuevas vulnerabilidades a su catálogo de Known Exploited Vulnerabilities (KEV), tras confirmar que están siendo explotadas activamente. El anuncio llegó acompañado de una advertencia de fondo que marca el pulso del año: los atacantes están usando inteligencia artificial para automatizar la explotación de fallos conocidos a una escala sin precedentes.
Para los equipos de seguridad en Chile y la región, el mensaje es claro: no basta con parchear rápido; hay que priorizar por estado de explotación real, no solo por la severidad teórica del CVE.
Las seis vulnerabilidades añadidas al catálogo KEV
La actualización mezcla fallos recientes con vulnerabilidades de hace varios años que siguen siendo un vector de entrada rentable para los atacantes:
- CVE-2026-8452 — Fallo de restricción indebida de operaciones en memoria en Citrix NetScaler ADC y NetScaler Gateway que puede provocar denegación de servicio. Es el más urgente del lote por su exposición perimetral.
- CVE-2019-1068 — Ejecución remota de código en Microsoft SQL Server, que permitiría ejecutar código en el contexto de la cuenta del motor de base de datos.
- CVE-2022-0995 — Escritura fuera de límites en el kernel de Linux que habilita escalamiento de privilegios o denegación de servicio para usuarios locales.
- CVE-2015-5287 — Escalamiento de privilegios en ABRT de Red Hat mediante un ataque de symlink sobre un archivo con nombre predecible.
- CVE-2015-3246 — Condición de carrera en libuser de Red Hat que permite corromper
/etc/passwdpara escalar privilegios o causar una caída del sistema. - CVE-2021-23758 — Deserialización de datos no confiables en Ajax.NET Professional (AjaxPro) que abre la puerta a ejecución remota de código.
Citrix NetScaler: explotación en curso con web shells
El caso más caliente es CVE-2026-8452. Las firmas Defused Cyber y Previdian (antes KEVIntel) alertaron de intentos de explotación activos contra appliances NetScaler expuestos. Según Previdian, los atacantes estaban desplegando web shells con nombres como x.php y z.php, y ejecutando comandos de reconocimiento como id y echo para tantear el terreno.
La telemetría reportada es contundente: 36 intentos de explotación en 12 días desde 12 direcciones IP únicas de atacantes en Suiza, Alemania, Hong Kong, Japón, Países Bajos, Rusia, Singapur, Turquía, Estados Unidos y Vietnam. Es un patrón de campaña distribuida, no un incidente aislado.
La IA como acelerador de la explotación
La lectura estratégica del anuncio es que la inteligencia artificial ya no es solo defensa: es también ofensiva a escala. Cuatro de los seis CVEs (los de Linux, Red Hat y AjaxPro) se sumaron al KEV tras un informe de Cisco Talos sobre UAT-10147, un grupo de cibercrimen de origen chino que ataca servidores web Windows y Linux a nivel global en sectores de educación, medios, tecnología y videojuegos, desplegando el implante SPECTRE con evasión de EDR y un rootkit de Linux.
CISA lo dice sin rodeos: los actores de amenaza están explotando vulnerabilidades simples y conocidas que persisten en activos expuestos, y usan IA para automatizar la explotación. En su nueva revisión de vulnerabilidades, la agencia señala que las debilidades de inyección dominaron el panorama con 21.019 CVEs en 2025 (frente a 7.701 en 2024), y que los problemas de seguridad de memoria y validación de entrada aparecen de forma desproporcionada entre los fallos realmente explotados.
Plazos de remediación de CISA
La directiva para las agencias federales de EE.UU. (FCEB) fija dos fechas límite, útiles como referencia de urgencia para cualquier organización:
- 29 de agosto de 2026 — para CVE-2026-8452 (Citrix NetScaler) y CVE-2019-1068 (SQL Server).
- 9 de septiembre de 2026 — para los cuatro CVEs restantes (Linux, Red Hat y AjaxPro).
Recomendaciones para tu organización
- Prioriza por explotación real: cruza tu inventario contra el catálogo KEV de CISA y atiende primero lo que está siendo explotado, no solo lo etiquetado como "crítico".
- Parcha NetScaler de inmediato si expones ADC o Gateway al perímetro, y busca indicadores de compromiso: web shells
x.php/z.phpy comandos de reconocimiento anómalos. - No descuides los fallos antiguos: cuatro de estos CVEs tienen entre 3 y 11 años. La deuda de parcheo es el terreno donde la IA ofensiva rinde más.
- Refuerza la visibilidad en servidores web Linux y Windows expuestos, con detección de rootkits y monitoreo de integridad de
/etc/passwdy binarios del sistema. - Asume automatización del adversario: el tiempo entre publicación de un fallo y su explotación masiva se ha comprimido; acorta tus ventanas de parcheo en consecuencia.