CISA añade cuatro vulnerabilidades conocidas explotadas a su catálogo

CISA ha añadido cuatro nuevas vulnerabilidades a su Catálogo de Vulnerabilidades Activamente Explotadas (KEV), basándose en pruebas de explotación activa. CVE-2026-15409 Vulnerabilidad de falsificación de solicitud del lado del servidor en los dispositivos SonicWall SMA1000 CVE-2026-15410 Vulnerabilidad de inyección de código en los dispositivos SonicWall SMA1000 CVE-2026-56155 Vulnerabilidad de control de acceso insuficiente en los servicios de Federación de Active Directory de Microsoft CVE-2026-56164 Vulnerabilidad de falta de autenticación en el servidor de Microsoft SharePoint Estas vulnerabilidades son un vector de ataque frecuente para actores cibernéticos maliciosos y representan riesgos significativos para la empresa federal. Directiva Operacional (BOD) 26-04: Priorización de actualizaciones de seguridad en función del riesgo, establece los requisitos de gestión de vulnerabilidades para las agencias de la Rama Ejecutiva Federal Civil (FCEB). La BOD 26-04 refuerza la importancia del Catálogo KEV y exige que las agencias federales prioricen la rápida remediación de vulnerabilidades de alto riesgo, específicamente aquellas identificadas en el Catálogo KEV de Common Vulnerabilities and Exposures (CVEs) en activos expuestos públicamente que otorgan control total del activo después de la explotación, mientras que se retrasa la acción para las vulnerabilidades de menor riesgo. La BOD 26-04 también establece las expectativas básicas sobre cuándo las agencias deben comprobar si los actores de amenazas comprometieron el sistema antes de aplicar la parche. Si bien la BOD 26-04 solo se aplica a las agencias de la FCEB, CISA anima a todas las organizaciones a adoptar una gestión de vulnerabilidades basada en el riesgo y a priorizar la remediación de las vulnerabilidades del Catálogo KEV. CISA continuará añadiendo vulnerabilidades al catálogo que cumplan con los criterios especificados. ¿Conocen una vulnerabilidad explotada que no figura actualmente en el Catálogo KEV? Presentenla para su posible inclusión a través del formulario de nominación KEV de CISA. Las posibles adiciones al KEV deben tener un ID de CVE, evidencia de explotación y orientación clara de mitigación.