RIESGO: CRÍTICO
Infraestructura de gestión, cadena de suministro e identidades privilegiadas bajo explotación confirmada. La semana concentra tres vulnerabilidades en CISA KEV con explotación confirmada: VeloCloud Orchestrator (CVE-2026-114625), Nextcloud Built-in CODE Server (CVE-2026-110447) y Siemens Software Center (CVE-2026-110936). Se suman el compromiso de LiteLLM 1.107.0, con riesgo para los secretos accesibles, y el abuso de identidades de aplicación en Microsoft 365 vinculado a ConnectWise y Storm-0940. En segundo plano: RCE sin autenticación en PHP (CVE-2026-109618 y CVE-2026-109619), Node.js, Okta Access Gateway, eMudhra/Arista y el aviso conjunto sobre SafePay. La prioridad es contener exposición, rotar secretos y preservar trazas, sin confundir actualización con erradicación.
01CríticaExplotación activaSD-WAN / gestión
VeloCloud Orchestrator: CVE-2026-114625 explotada y añadida a CISA KEV
Afecta: organizaciones con VeloCloud Orchestrator (VCO) local; el servicio alojado ya fue corregido, según el fabricante.
Impacto: un usuario autenticado, incluso de solo lectura, puede obtener privilegios de operador. El control del orquestador compromete la administración de toda la red SD-WAN.
Acción: actualizar VCO local a 5.2.3.18, 6.1.3.10 o 6.4.2.12 según la rama, restringir el plano de gestión y revisar registros de actividad antes y después de actualizar.
02CríticaExplotación activaColaboración
Nextcloud Built-in CODE Server: CVE-2026-110447 en CISA KEV
Afecta: instalaciones de Nextcloud con la app richdocumentscode anterior a 26.4.303 cuando el servidor CODE no está ejecutándose. No aplica a todo despliegue de Collabora Online.
Impacto: la inyección de comandos puede comprometer el servidor. CISA confirmó explotación y la incorporó a KEV el 23 de octubre.
Acción: identificar la app integrada, actualizarla a 26.4.303 o posterior y revisar indicios de intrusión previa.
03CríticaExplotación activaEndpoint / software firmado
Siemens Software Center: explotación activa de CVE-2026-110936 mediante carga de DLL
Afecta: equipos con Siemens Software Center anterior a la versión 4.0.9.8.
Impacto: los atacantes distribuyeron una copia auténtica firmada junto a DLL maliciosas. Siemens confirmó explotación el 19 de octubre y CISA la incorporó a KEV el 20; Siemens no informó compromiso de su canal oficial de actualización.
Acción: actualizar a 4.0.9.8 o posterior, buscar ejecuciones fuera de las rutas esperadas e investigar las DLL acompañantes y los indicadores publicados.
04CríticaCadena de suministroSecretos
LiteLLM: compromiso de la versión 1.107.0 y exposición de secretos
Afecta: entornos que instalaron los artefactos de LiteLLM 1.107.0 publicados el 21 de octubre.
Impacto: las versiones contaminadas podían robar credenciales. El análisis del 23 indica que una clave expuesta en mayo y no revocada permitió obtener tokens de GitHub; una firma de publicación no acredita por sí sola una compilación íntegra.
Acción: comprobar versiones y digests contra el aviso, reconstruir los entornos afectados, revocar los secretos accesibles y conservar evidencia antes de limpiar.
05CríticaIdentidades cloudMicrosoft 365
Storm-0940: abuso de identidades de aplicación en Microsoft 365 tras el compromiso de ConnectWise
Afecta: organizaciones con aplicaciones de terceros con acceso a Microsoft 365, en particular las vinculadas a ConnectWise.
Impacto: Microsoft atribuye a Storm-0940 el compromiso y describe el uso de ARTEX desde septiembre. Las identidades de aplicación permiten actuar sin inicio interactivo; una autenticación sospechosa no equivale por sí sola a exfiltración confirmada.
Acción: correlacionar accesos de service principals, cambios de credenciales y operaciones de Microsoft Graph, preservar evidencias y retirar la persistencia confirmada.
