CISA ha añadido cuatro nuevas vulnerabilidades al catálogo KEV, todas bajo explotación activa. El plazo para que las agencias federales de EE.UU. parcheen GitLab y ConnectWise ScreenConnect vence hoy, 14 de septiembre, y el de JFrog Artifactory, el 25.
Qué ha entrado hoy en el catálogo KEV
La actualización incluye dos fallos de JFrog Artifactory que abren la puerta al control administrativo (CVE-2026-42016, con CVSS 8.1, y CVE-2026-42018, con CVSS 7.5), uno de ConnectWise ScreenConnect (CVE-2026-84869, CVSS 9.9) y un path traversal en GitLab (CVE-2026-85706, CVSS 10.0).
Empecemos por lo urgente. El fallo de GitLab, CVE-2026-85706, permite a un atacante leer archivos arbitrarios con una única petición HTTP contra la API de commits del repositorio. La lista de datos expuestos incluye claves SSH, credenciales de bases de datos, tokens de despliegue, variables CI/CD y otras configuraciones sensibles.
GitLab ha asignado un CVSS de 10.0. La actualización que corrige el fallo también parchea CVE-2026-87719, una deserialización insegura que puede exponer la configuración de búsqueda avanzada y credenciales. Una única actualización cierra dos rutas de compromiso.
Las versiones afectadas son Community Edition y Enterprise Edition desde 18.7 antes de 19.1.8, 19.2 antes de 19.2.6 y 19.3 antes de 19.3.2. Si usted gestiona una instancia autogestionada expuesta a internet, no espere a mañana.
El caso de Artifactory es más inquietante. CVE-2026-42016 permite saltarse la autorización y escalar privilegios; CVE-2026-42018 expone un token de usuario anónimo interno a atacantes sin autenticar. Encadenados, los dos fallos entregan el control administrativo.
Catalogar un fallo como explotado ya no es una alerta temprana: es la confirmación de que el adversario está dentro.
Anatomía de la explotación: de Artifactory a los backdoors
Los atacantes llevan semanas combinando las dos vulnerabilidades de Artifactory con otro fallo crítico, CVE-2026-82329. La campaña se observó entre el 15 de agosto y el 8 de septiembre. El objetivo, servidores autogestionados.
El resultado no es un simple acceso: los intrusos crearon cuentas de administrador persistentes, desplegaron complementos maliciosos e instalaron puertas traseras. La persistencia instalada sobrevive a un reinicio y a buena parte de las remediaciones superficiales.
En ScreenConnect, CVE-2026-84869 afecta al cliente. Bajo determinadas condiciones, un atacante puede transferir y ejecutar archivos en una sesión remota activa sin autorización del anfitrión. Huntress ha vinculado el fallo a incidentes con payloads VBScript maliciosos entregados a sistemas recién conectados.
ConnectWise recomienda actualizar a ScreenConnect 26.6.5. No es un consejo cosmético: la explotación ya está documentada en incidentes reales.
La señal técnica de GitLab es fácil de detectar si se mira en el lugar correcto. watchTowr está observando sondas en internet contra CVE-2026-85706. La compañía recomienda a los defensores buscar peticiones POST con parámetros file.path en los logs.
El path traversal no es nuevo. Consiste en manipular una ruta para que la aplicación devuelva archivos fuera del directorio previsto. En la API de commits de GitLab, una sola petición malformada convierte un repositorio privado en una fuga de secretos.
La obligación de parchear no es una sugerencia. La Directiva Operativa Vinculante 22-01, Reducing the Significant Risk of Known Exploited Vulnerabilities, obliga a las agencias federales civiles de EE.UU. a corregir los fallos del catálogo KEV en un plazo perentorio. Para las organizaciones privadas, la recomendación es idéntica: revisar el catálogo y parchear sin excusas.
Dossier Moncloa: Ojos en la Sombra
En Moncloa.com, este tipo de actualizaciones del catálogo KEV tiene una lectura específica. No es una nota burocrática de CISA: es el mecanismo formal con el que Washington obliga a sus agencias a moverse antes de que un fallo se convierta en un incidente nacional.
Lo he dicho antes y lo repito: el catálogo de vulnerabilidades explotadas es el indicador más fiable de dónde está trabajando el adversario.
Si CISA incluye un fallo, no es porque sea teórico; es porque alguien ya lo está explotando.
Aquí la lectura confidencial es otra. El vector de amenaza es ciberataque por explotación de vulnerabilidades en software ampliamente desplegado. GitLab y JFrog Artifactory son piezas presentes también en administraciones públicas españolas. El CCN-CERT suele emitir alertas equivalentes cuando el alcance toca infraestructuras críticas españolas.
Las agencias implicadas, en este caso, tienen nombres claros. Quien documenta y responde es CISA, con el respaldo técnico de Huntress y watchTowr. Los proveedores son los defensores naturales: GitLab, JFrog y ConnectWise. Los atacantes operan con paciencia de APT y sin atribución pública.
El precedente que tengo en la cabeza, es SolarWinds. En 2020, un software de gestión corporativa se convirtió en el caballo de Troya de un servicio de inteligencia extranjero. Aquí no hay un proveedor de servicios gestionados comprometido, pero el patrón es similar: un producto legítimo y ampliamente usado se vuelve el punto de entrada.
Tengo que ser honesto con la atribución. CISA no atribuye estos ataques a un Estado concreto, y Huntress y watchTowr tampoco. Sin respaldo técnico cruzado no hay atribución responsable.
El nivel de clasificación estimado es Sin Clasificar pero Sensible. No estamos ante material Top Secret, pero la combinación de credenciales de bases de datos, tokens CI/CD y claves SSH expuestas puede dar acceso a entornos con datos sensibles.
Mi recomendación, si usted administra sistemas en España, es revisar hoy mismo los logs y verificar la versión. El plazo para las agencias federales de EE.UU. vence hoy para GitLab y ScreenConnect; para JFrog, el 25 de septiembre. Las organizaciones privadas harían bien en seguir el mismo calendario.
El próximo hito será el cierre de la campaña de Artifactory y el análisis técnico que publique CISA con la atribución de los incidentes, si es que alguna vez la publica. Mientras tanto, le confieso que esto acaba de empezar.
