VULNERABILIDAD
CISA suma fallas del kernel de Linux y de VMware ESX a su catálogo de vulnerabilidades explotadas
La agencia estadounidense incluyó dos fallas en su catálogo de explotación conocida: una de VMware ESX usada como zero-day y otra del kernel de Linux que permite obtener root local.
La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) incorporó dos vulnerabilidades a su catálogo de vulnerabilidades explotadas conocidas: CVE-2026-41709, de Broadcom VMware ESX, y CVE-2026-46300, del kernel de Linux, también conocida como Fragnesia.
La falla de VMware ESX, con una puntuación CVSS de 7.6, se debe a un registro insuficiente: un usuario con privilegios de administrador puede ejecutar ciertas operaciones sin que queden asentadas en los registros. Broadcom publicó parches en julio de 2026.
Según el informe de CrowdStrike sobre el panorama de amenazas legales de 2026, el grupo vinculado a China Warp Panda explotó CVE-2026-41709 como zero-day a comienzos de 2026 para reducir la visibilidad de sus actividades en los registros de auditoría.
La segunda falla, CVE-2026-46300, afecta al subsistema XFRM ESP-in-TCP y podría permitir a atacantes locales obtener acceso root mediante la corrupción de la caché de páginas del kernel. CISA fijó el 11 de noviembre de 2026 como plazo para la primera y el 31 de octubre de 2026 para la segunda.
Cómo ocurrió
- Confirmado
- Warp PandaGrupo vinculado a ChinaConfirmado.
- CVE-2026-41709Registro insuficiente en VMware ESXConfirmado.
- Zero-dayExplotado a comienzos de 2026Confirmado.
- Dispositivos de bordeObjetivo del grupoConfirmado.
- VMware ESXActividad encubierta en registrosConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- CISA agregó CVE-2026-41709 y CVE-2026-46300 a su catálogo de vulnerabilidades explotadas conocidas.
- Broadcom publicó parches para CVE-2026-41709 en julio de 2026.
- CrowdStrike atribuye la explotación de CVE-2026-41709 como zero-day al grupo Warp Panda.
- CISA fijó plazos de remediación para agencias federales: 11 de noviembre de 2026 y 31 de octubre de 2026.
SIN VERIFICAR O ABIERTO
- No se detalló qué organismos o redes concretas fueron comprometidas mediante CVE-2026-41709.
- No hay reportes públicos de ataques en curso que exploten CVE-2026-46300.
- No se precisó el alcance total de la campaña de Warp Panda ni la cantidad de víctimas.
Contexto
Warp Panda, también identificado como Armory Castle, UNC5221, Clay Typhoon y VerdantBamboo, apunta a dispositivos de borde expuestos a internet mediante la explotación de vulnerabilidades zero-day y el despliegue de malware personalizado para mantener acceso persistente y encubierto.
El grupo también intenta evadir la detección eludiendo el registro de auditoría, robando tokens de sesión en la nube y registrando dispositivos de autenticación multifactor no autorizados.
La directiva operativa vinculante BOD 22-01 obliga a las agencias federales a remediar las vulnerabilidades del catálogo en los plazos fijados, y los especialistas recomiendan a las organizaciones privadas revisar el listado y atender las fallas en su infraestructura.
Qué hacer
- Revisar el catálogo KEV Verificar si la infraestructura propia incluye las versiones afectadas de VMware ESX o del kernel de Linux y priorizar la remediación según los plazos indicados.
- Auditar registros de VMware Revisar la configuración de registro en entornos ESX y detectar operaciones administrativas que no hayan quedado asentadas, ya que esa es la debilidad que explota la falla.
- Controlar accesos privilegiados Restringir y monitorear las cuentas con privilegios de administrador en plataformas de virtualización, y revisar dispositivos MFA registrados en servicios en la nube.
- Aplicar parches del kernel Actualizar el kernel de Linux a las versiones corregidas por el proveedor de la distribución y verificar si el subsistema XFRM ESP-in-TCP está en uso.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
