CISA añade tres vulnerabilidades conocidas que han sido explotadas a su catálogo

La CISA ha agregado tres nuevas vulnerabilidades a su Catálogo de Vulnerabilidades Activamente Aprovechadas (KEV), basándose en evidencia de explotación activa. CVE-2026-25089 Vulnerabilidad de inyección de comandos del sistema operativo Fortinet FortiSandbox CVE-2026-39808 Vulnerabilidad de inyección de comandos del sistema operativo Fortinet FortiSandbox CVE-2026-58644 Vulnerabilidad de deserialización de datos no confiables de Microsoft SharePoint. Estos tipos de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y plantean riesgos significativos para la empresa federal. Directiva de Operación 26-04: Priorización de actualizaciones de seguridad basadas en el riesgo establece los requisitos de gestión de vulnerabilidades para las agencias del Departamento Ejecutivo Civil Federal (FCEB). La Directiva 26-04 refuerza la importancia del Catálogo KEV y requiere que las agencias federales prioricen la rápida remediación de vulnerabilidades de alto riesgo, específicamente aquellas identificadas por las Common Vulnerabilities and Exposures (CVE) enumeradas en el Catálogo KEV de la CISA en activos expuestos públicamente que otorgan control total del activo después de la explotación, mientras se pospone la acción para las vulnerabilidades de menor riesgo. La Directiva 26-04 también establece las expectativas básicas sobre cuándo las agencias deben verificar si los actores de amenaza comprometieron el sistema antes de la aplicación del parche. Si bien la Directiva 26-04 solo se aplica a las agencias del FCEB, la CISA alienta a todas las organizaciones a adoptar la gestión de vulnerabilidades basada en el riesgo y a priorizar la remediación de las vulnerabilidades del Catálogo KEV. La CISA continuará agregando vulnerabilidades al catálogo que cumplan con los criterios especificados. ¿Está al tanto de una vulnerabilidad explotada que no está actualmente listada en el Catálogo KEV? Presente para una posible inclusión a través del formulario de nominación KEV de la CISA. Las posibles adiciones al KEV deben tener un ID de CVE, evidencia de explotación y orientación de mitigación clara.