RIESGO: CRÍTICO
Acceso remoto e identidades de terceros bajo explotación confirmada. La semana concentra explotación confirmada en Ivanti Connect Secure (CVE-2026-104935, en CISA KEV), explotación limitada en la interfaz de gestión de Palo Alto PAN-OS (CVE-2026-0322) y en Cisco Secure Email Gateway (CVE-2026-76519, también en KEV), el compromiso de identidades de aplicación de ConnectWise Cloud Backup en Microsoft 365 con accesos no autorizados observados en 173 tenants, y un fallo crítico en BeyondTrust Remote Support (CVE-2026-102764). En segundo plano: Windows Shell (CVE-2026-96951) explotado en el ciclo de parches de Microsoft, FortiSIEM y FortiSandbox, Atlassian incorporada a KEV y AOMEI Backupper. La prioridad es contener exposición, auditar identidades privilegiadas y preservar trazas, sin confundir actualización con erradicación.
01CríticaCadena de suministro / SaaSMicrosoft 365
ConnectWise Cloud Backup: compromiso de identidades de aplicación en Microsoft 365
Afecta: organizaciones que usan ConnectWise Cloud Backup (ex SkyKick) y sus apps asociadas en Microsoft 365; Huntress observó accesos no autorizados en 173 tenants de clientes o partners.
Impacto: la identidad OAuth del proveedor tenía permisos amplios sobre correo, Teams, OneDrive y SharePoint. La suspensión del servicio afecta respaldos y restauración; no equivale a confirmar filtración de archivos de respaldo.
Acción: inventariar el uso de Cloud Backup y apps asociadas, revisar inicios de sesión de service principals, concesiones OAuth y nuevos secretos, y coordinar contención y continuidad con el proveedor.
02CríticaExplotación activaVPN / acceso remoto
Ivanti Connect Secure: CVE-2026-104935 explotada en accesos remotos
Afecta: dispositivos Ivanti Connect Secure sin la corrección publicada por el fabricante.
Impacto: el fallo permite ejecución de comandos sin autenticación. CISA la incorporó a KEV el 13 de octubre; la explotación del gateway puede preceder robo de credenciales y movimiento lateral.
Acción: determinar la versión exacta, instalar la corrección del fabricante y realizar triage forense retrospectivo; no asumir que el parche elimina una intrusión anterior.
03CríticaExplotación activaFirewall / administración
Palo Alto PAN-OS: explotación limitada de CVE-2026-0322 en la interfaz de gestión
Afecta: PAN-OS en PA-Series, VM-Series y Panorama afectados, para un atacante autenticado con acceso a la interfaz de gestión.
Impacto: ejecución remota como root; un compromiso administrativo del firewall puede afectar el control del perímetro. El riesgo aumenta si la gestión es accesible desde redes no confiables. El fabricante observó explotación muy limitada.
Acción: actualizar PAN-OS, restringir la gestión a IP internas o un bastión y revisar los indicadores publicados.
04CríticaSoporte remotoAcceso privilegiado
BeyondTrust Remote Support: fallo crítico CVE-2026-102764
Afecta: instalaciones locales de BeyondTrust Remote Support hasta la versión 26.2.3; en SaaS la corrección estaba aplicada desde el 9 de octubre.
Impacto: la validación insuficiente de origen en un componente interno puede permitir operaciones de archivos sobre el appliance, un activo privilegiado por su acceso transversal a sistemas empresariales.
Acción: comprobar versiones, aplicar BT26-05-RS en instalaciones autogestionadas y revisar telemetría y accesos de soporte.
05CríticaExplotación activaPasarela de correo
Cisco Secure Email Gateway: CVE-2026-76519 incorporada a CISA KEV
Afecta: Cisco Secure Email Gateway en versiones AsyncOS afectadas.
Impacto: Cisco confirmó explotación y CISA la añadió a KEV el 14 de octubre; la manipulación de archivos en la pasarela puede comprometer un control centralizado de entrada y procesamiento de adjuntos.
Acción: identificar gateways y versiones afectadas, aplicar versiones corregidas y revisar logs de procesamiento de correo y procesos inesperados.
