CISA suma CVE de Citrix, SQL Server

CISA sumó durante agosto de 2026 varias vulnerabilidades explotadas a su catálogo Known Exploited Vulnerabilities, con impacto en productos corporativos de amplio uso como Citrix NetScaler ADC y Gateway, Microsoft SQL Server, Microsoft Windows IKE Service Extensions, Apple macOS, Microsoft SharePoint y Broadcom VMware vCenter. La incorporación al KEV confirma explotación activa y, en el caso de Citrix, activó una fecha límite federal especialmente corta para remediación.

¿Qué vulnerabilidades añadió CISA al KEV en agosto?

CISA incorporó CVE-2026-8452 en Citrix NetScaler, CVE-2019-1068 en Microsoft SQL Server, CVE-2026-33824 en Windows IKE, CVE-2026-65400 en macOS, CVE-2026-55040 en SharePoint, CVE-2026-59310 en VMware vCenter y CVE-2025-62593 en Ray. La lista también fue ampliada con otras entradas explotadas en el mismo período, según los resúmenes citados por Security Online, CyberSecureFox, FireCompass y Mallory.ai.

La cobertura de Security Online indicó que CISA publicó seis nuevas entradas explotadas el 26 de agosto, entre ellas Citrix NetScaler, Microsoft SQL Server, Red Hat y Ajax.NET. Por su parte, CyberSecureFox había informado el 18 de agosto la inclusión de cuatro vulnerabilidades críticas adicionales, entre ellas Windows IKE, macOS, SharePoint y vCenter.

En el caso de CVE-2026-8452, la presión regulatoria fue inmediata. OpenVPN Blog señaló que el catálogo KEV fijó para las agencias civiles federales de EE.UU. una remediación obligatoria hasta el 29 de agosto de 2026, apenas tres días después de su incorporación. netVigilance también la marcó como crítica y explotada en el mundo real, alineada con la Binding Operational Directive 26-04.

¿Por qué Citrix NetScaler quedó en el centro de la alerta?

Porque CVE-2026-8452 afecta appliances configuradas con Gateway VPN o servidores virtuales AAA, dos componentes que dan acceso remoto, portales SSO y autenticación corporativa. BleepingComputer detalló que el impacto alcanza infraestructura usada por organizaciones para el acceso de empleados y terceros, lo que convierte a la falla en un problema directo para perímetros expuestos a Internet.

RedLegg precisó que la vulnerabilidad está siendo usada activamente con fines de explotación y que existe proof of concept confirmado. También publicó los rangos de versiones afectadas, NetScaler ADC y Gateway 14.1 antes de 14.1-72.61 y 13.1 antes de 13.1-63.18, datos que permiten dimensionar el parque potencialmente vulnerable en entornos corporativos y de proveedores de servicios gestionados.

Mallory.ai agregó contexto operativo y sostuvo que CVE-2026-8452 se usa para desplegar web shells y realizar reconocimiento. Esa misma cobertura ubicó a NetScaler y a SQL Server como objetivos de alto valor en campañas recientes, y recomendó a empresas privadas de EE.UU. priorizar el parcheo según exposición a Internet, criticidad del activo y riesgo de impacto de negocio.

¿Qué lectura deja la tanda de agosto?

La secuencia muestra a CISA escalonando la presión sobre infraestructura empresarial crítica, con fechas de remediación y prioridades diferenciadas según el nivel de explotación detectado. FireCompass documentó que los CVEs incorporados en agosto, entre ellos vCenter y Zimbra, llegaron en bloque con plazos distintos, lo que refuerza una estrategia de priorización sobre plataformas corporativas que concentran servicios sensibles.

En paralelo, HackerStorm indicó que CVE-2026-59310 en VMware vCenter corresponde a una debilidad de path traversal que permite ejecución arbitraria de código a un atacante con acceso de red. Tech-Insider añadió que el fallo fue observado en infraestructuras de decenas de países, con foco en entornos corporativos y proveedores cloud, y que en el lote de cuatro vulnerabilidades críticas de fines de agosto tres recibieron CVSS 9.8.

Boerse Express también vinculó la decisión de CISA con la Binding Operational Directive 26-04 y con la explotación activa en Internet, en línea con la lectura de que NetScaler ocupa un lugar prioritario por su presencia en redes corporativas y organismos públicos estadounidenses.