Ir al contenido
Indene
es

Alertas de segurança

CISA confirma explotación de vulnerabilidades en F5, Check Point, WSO2 y Arista

Entre el 22 y el 24 de septiembre de 2026, la CISA incluyó en el catálogo de vulnerabilidades explotadas cinco fallas críticas en VPN, pasarelas de API y acceso corporativo. Todas se encuentran en el perímetro de la red y todas tienen una corrección: lo que falta es aplicarla y demostrar que nadie ingresó antes.

Por Leonardo Araujo IevaAnalista de segurança ofensiva

5 min de lectura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Exploited flaws at the edge of the network.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Exploited flaws at the edge of the network.

La CISA, agencia de ciberseguridad del gobierno de Estados Unidos, incluyó cinco vulnerabilidades críticas en el catálogo de fallas explotadas (KEV) entre el 22 y el 24 de septiembre de 2026. Afectan a F5 BIG-IP APM, pasarelas y servidores de gestión de Check Point, WSO2 API Manager y Arista VeloCloud Orchestrator. Todas se encuentran en el perímetro de la red o en el control de acceso, todas pueden ser explotadas sin autenticación y todas ya tienen una corrección del fabricante.

Lo que se sabe

CVE producto gravedad en KEV desde plazo federal estadounidense
CVE-2026-94127 F5 BIG-IP APM CVSS v3.1 9,8; v4.0 9,3 22 de septiembre 25 de septiembre
CVE-2026-85102 Check Point Security Gateway y Spark (VPN) CVSS v3.1 9,8 22 de septiembre 25 de septiembre
CVE-2026-93616 Check Point Security Management y servidores de registro CVSS v3.1 9,8 22 de septiembre 25 de septiembre
CVE-2026-5430 WSO2 API Manager y productos de la misma línea CVSS v3.1 10,0 (9,8 en instalación de un solo inquilino) 24 de septiembre 27 de septiembre
CVE-2026-93952 Arista VeloCloud Orchestrator instalado en el propio entorno CVSS v3.1 10,0; v4.0 9,5 22 de septiembre 25 de septiembre

Las calificaciones de gravedad son las de los fabricantes, registradas en el NVD. El plazo es válido para las agencias civiles del gobierno estadounidense, pero sirve como referencia para cualquier empresa: la CISA solo incluye en el catálogo fallas con explotación confirmada.

F5 BIG-IP APM. Desbordamiento de memoria que permite ejecutar código sin autenticación. Solo existe cuando el APM actúa como servidor de autorización OAuth, con una política de acceso y un perfil OAuth en el mismo servidor virtual. Afecta a las versiones 21.1.0, 17.5.0 a 17.5.1 y 17.1.0 a 17.1.3. F5 confirmó la explotación y publicó un hotfix para cada rama; quienes no puedan actualizar deben solicitar al soporte una iRule de mitigación. Shadowserver identifica más de 14.700 direcciones IP con firma de BIG-IP APM en internet, según BleepingComputer, sin saber cuántas están corregidas.

Check Point. La CVE-2026-85102 es una validación incorrecta de certificado en la negociación de VPN, que permite ejecutar código en la pasarela. La corrección existe desde el 9 de septiembre, y Check Point observó una ola de intentos contra clientes de Spark a partir del 12 de septiembre. La CVE-2026-93616 se encuentra en el servicio web de gestión (Security Management, Multi-Domain, Log Server y SmartEvent) y permite enviar y ejecutar scripts. Check Point registró pocos ataques puntuales el 23 de julio. Sin la corrección, la recomendación es restringir el puerto TCP 19009 a direcciones confiables.

WSO2. El mecanismo de autenticación JWT acepta tokens firmados con un algoritmo no configurado, lo que permite falsificar el acceso, incluso de administrador. Afecta a API Manager de 4.1.0 a 4.6.0 y a API Control Plane, Traffic Manager y Universal Gateway 4.5.0 y 4.6.0. El aviso del fabricante es del 3 de mayo de 2026. watchTowr capturó el primer token falsificado el 13 de septiembre y afirma que da acceso a todas las API publicadas, con las credenciales, claves y secretos de cada aplicación registrada, según SecurityWeek.

Arista VeloCloud Orchestrator. Falla de validación de entrada en el orquestador de SD-WAN instalado en el propio entorno, que da acceso a funciones privilegiadas del servidor. Afecta a las versiones hasta 5.2.3.15, 6.1.3.7, 6.4.2.7 y 7.0.0.2 de cada rama. La corrección está en 5.2.3.16 y 6.4.2.8; las versiones alojadas por Arista ya han sido corregidas. Sin la corrección, Arista recomienda limitar la interfaz web a redes administrativas confiables.

Por qué es importante para instituciones financieras

Los cuatro productos se encuentran en la ruta de entrada: la VPN del empleado remoto, el servidor que emite el token de acceso, la pasarela que expone API a socios y el orquestador que controla la red de las sucursales. Quien controla uno de ellos no necesita contraseña para acceder al resto. Es el escenario de explotación de activos expuestos a internet, y en el caso de WSO2 y F5 también el de compromiso de cuenta corporativa. WSO2 atiende a bancos, gobiernos, telecomunicaciones y logística, según SecurityWeek.

Actualizar no prueba que nadie haya ingresado. Para BIG-IP, la propia CISA aconseja aplicar primero la iRule, realizar el análisis forense y solo después instalar la corrección definitiva, para no borrar rastros. En WSO2, el riesgo continúa después del parche si las claves de las aplicaciones ya han sido leídas.

Lo mismo ocurre con el tercero: SD-WAN y VPN a menudo son operados por un proveedor de red. La pregunta al proveedor es la misma que se hace al equipo interno.

Qué hacer ahora

  1. Verifique si la institución, o un proveedor que opera la red en su nombre, utiliza alguno de los cuatro productos y si la interfaz de acceso o de gestión está expuesta a internet.
  2. Aplique la corrección indicada en el aviso de cada fabricante: hotfix de F5, SK1000117 y SK1000171 de Check Point, actualización del aviso WSO2-2026-5328 y versión corregida de VeloCloud.
  3. Si no puede corregir hoy, aplique la mitigación oficial: iRule de F5, puerto TCP 19009 de la gestión de Check Point restringido a direcciones confiables, interfaz de VeloCloud solo en la red administrativa.
  4. Busque señales de acceso indebido desde las fechas de explotación conocidas (23 de julio en la gestión de Check Point, 12 de septiembre en la VPN, 13 de septiembre en WSO2) y cambie las claves y los secretos de las aplicaciones publicadas en la pasarela de API.
  5. Registre la corrección y la verificación con fecha y responsable: es la evidencia que la auditoría solicitará.

Referencias

Temas

Sigue leyendo

Todas las noticias