CISA añade una vulnerabilidad conocida que ha sido explotada al catálogo

CISA ha añadido una nueva vulnerabilidad a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), basándose en evidencia de explotación activa. CVE-2026-48282 Vulnerabilidad de recorrido de ruta en Adobe ColdFusion Este tipo de vulnerabilidad es un vector de ataque frecuente para actores cibernéticos maliciosos y plantea riesgos significativos para la empresa federal. Directiva de Operaciones (BOD) 26-04: Priorizar las actualizaciones de seguridad en función del riesgo establece los requisitos de gestión de vulnerabilidades para las agencias del Sector Ejecutivo Civil Federal (FCEB). La BOD 26-04 refuerza la importancia del Catálogo KEV y exige que las agencias federales prioricen la rápida remediación de las vulnerabilidades de alto riesgo, específicamente aquellas identificadas por Common Vulnerabilities and Exposures (CVE) enumeradas en el Catálogo KEV de CISA en activos expuestos públicamente que otorgan control total del activo después de la explotación, mientras se pospone la acción para las vulnerabilidades de menor riesgo. La BOD 26-04 también establece expectativas básicas sobre cuándo las agencias deben comprobar si los actores de amenazas han comprometido el sistema antes de aplicar la parche. Aunque la BOD 26-04 se aplica solo a las agencias de FCEB, CISA anima a todas las organizaciones a adoptar la gestión de vulnerabilidades basada en el riesgo y a priorizar la remediación de las vulnerabilidades del Catálogo KEV. CISA continuará añadiendo vulnerabilidades al catálogo que cumplan con los criterios especificados. ¿Conocen una vulnerabilidad explotada que no figura actualmente en el Catálogo KEV? Presentenla para su posible inclusión a través del formulario de nominación KEV de CISA. Las posibles adiciones al Catálogo KEV deben tener un ID de CVE, evidencia de explotación y orientación de mitigación clara.