CISA agrega CVE-2026-41709 y CVE-2026-46300 al KEV

CISA incorporó al catálogo Known Exploited Vulnerabilities, KEV, dos fallas con evidencia de explotación activa: CVE-2026-41709, una vulnerabilidad de logging insuficiente en Broadcom VMware ESX, y CVE-2026-46300, una vulnerabilidad del kernel de Linux asociada a la falta de inicialización de una variable. En paralelo, el organismo fijó plazos de remediación para agencias federales civiles de Estados Unidos y agregó requisitos de respuesta para CVE-2026-41709.

¿Qué exige CISA para CVE-2026-41709?

CISA estableció como fecha de remediación el 11 de noviembre de 2026 para las agencias federales civiles de Estados Unidos. Además, el registro oficial vincula esta CVE con la aplicación de mitigaciones según las instrucciones del fabricante, la evaluación de exposición a Internet de cada activo y el cumplimiento de las directrices BOD 26-04 y de triaje forense.

Aviatrix describió CVE-2026-41709 como una falla que permite a un actor malicioso con privilegios administrativos realizar determinadas operaciones en ESX sin que se generen entradas de auditoría. La misma cobertura atribuyó su explotación a Warp Panda, un grupo vinculado a China, y dijo que fue usada como zero-day para reducir la visibilidad de los registros de auditoría. Esa atribución debe leerse como reportada por Aviatrix, no como confirmación independiente.

Rescana, por su parte, la caracterizó como una vulnerabilidad de baja severidad, que requiere acceso administrativo previo y no implica ejecución de código no autenticada. Esa descripción encaja con el tipo de control que rompe la trazabilidad del entorno, más que con un compromiso remoto directo.

¿Qué se sabe de CVE-2026-46300?

CISA fijó el 31 de octubre de 2026 como fecha límite de remediación para CVE-2026-46300 en las agencias federales civiles de Estados Unidos. La entrada en KEV la describe como una falla del kernel de Linux vinculada al manejo de fragmentos compartidos en buffers de sockets, y señala que, bajo condiciones específicas, el procesamiento de entradas ESP puede modificar datos respaldados por la caché de páginas.

Help Net Security la identificó como "Fragnesia" y señaló que fue divulgada en mayo de 2026. Esa cobertura también la relacionó con los requisitos de triaje forense bajo BOD 26-04, en línea con el tratamiento que CISA le dio en KEV.

Brandefense agregó contexto técnico al indicar que la explotación de CVE-2026-46300 puede integrarse con vulnerabilidades PHP2Shell para alcanzar ejecución de comandos como root y desplegar webshells PHP. Esa relación, tal como la reportó la fuente, debe entenderse como un escenario de encadenamiento técnico y no como un alcance universal de la vulnerabilidad.

¿Hay un ángulo regional confirmado?

No hay un impacto regional latinoamericano confirmado en el material revisado. La cobertura disponible se concentra en el registro de CISA, las fechas de remediación para agencias federales de Estados Unidos y el contexto técnico sobre explotación activa de ambas CVE.