Vulnerabilidades críticas y explotación activa — Julio 2026

Incidentes relevantes

Redis y el lote de vulnerabilidades con PoC pública

Redis fue el caso técnico más persistente de julio. El archivo reúne varias piezas que, juntas, dibujan una situación de riesgo transversal para Redis OSS, Redis Software, Redis Cloud y módulos como RedisTimeSeries y RedisBloom. El aviso del CGII de Bolivia fue particularmente relevante para la región porque elevó el problema a una advertencia local, clasificó la peligrosidad como alta y señaló que la explotación puede permitir corrupción de memoria y ejecución remota de código en escenarios donde el atacante dispone de una cuenta autenticada y permisos específicos, sobre todo para usar RESTORE o para operar en contextos de replicación maestro-réplica.

El conjunto de CVEs citado en el material, CVE-2026-25243, CVE-2026-25588, CVE-2026-25589, CVE-2026-23479 y CVE-2026-23631, no es homogéneo. Algunas fallas se asocian a deserialización insegura, otras a use after free y otras a corrupción de memoria en módulos concretos. Eso vuelve más difícil la remediación, porque no basta con identificar una sola versión vulnerable. Hay que revisar rama principal, módulos, políticas de replicación y exposición de comandos administrativos. El aviso boliviano incluso remarca versiones específicas de RedisTimeSeries y RedisBloom, ampliando el alcance más allá del core del producto.

La otra lectura importante es la de la explotación práctica. SecurityLab informó que cadenas de exploits de demostración lograron ejecución remota incluso en versiones ya parcheadas como 6.2.22, 7.4.9 y 8.6.4. The Hacker News y Ingeniería Telemática también señalaron la circulación de PoC autenticadas, mientras Redis respondió con siete lanzamientos de seguridad adicionales en una sola jornada, el 23 de julio. Esa secuencia sugiere que el proceso de corrección inicial no cerró toda la superficie de ataque. Para un CISO, eso significa que aplicar un parche de emergencia no es el final del trabajo, sino el inicio de una verificación más amplia de cobertura y exposición.

En términos operativos, Redis merece una lectura de doble capa. Primero, por su uso frecuente en caches, colas, sesión y datos temporales, que lo convierte en un componente con alta exposición horizontal. Segundo, porque el material muestra que el abuso requiere autenticación en varios escenarios, lo que cambia el perfil del control. No estamos ante una falla de simple escaneo indiscriminado desde internet en todos los casos, sino ante una vulnerabilidad que puede pasar inadvertida si existe cualquier vector previo de acceso o credenciales reutilizadas. Eso eleva la importancia de revisar cuentas de servicio, segmentación y permisos de comandos.

SharePoint y la presión sobre la colaboración interna

SharePoint volvió a estar en el centro de la conversación regional a partir del alerta 65/2026 del CTIR Gov de Brasil. El aviso identifica versiones vulnerables en SharePoint Server 2016, 2019 y Subscription Edition, y agrega que la falla puede impactar confidencialidad, integridad y disponibilidad. También incluye un EPSS de 5,06% y un percentil 91,41%, además de la referencia al catálogo KEV de CISA. Esa combinación de atributos es relevante porque muestra que el problema no fue presentado como una simple vulnerabilidad de laboratorio, sino como un caso con probabilidad de abuso suficiente para justificar remediación inmediata.

Otras fuentes del mismo período agregan profundidad técnica. Se mencionó la posibilidad de robo de machine keys, persistencia y ejecución remota sin autenticación. También se citó la aparición de un proof-of-concept público como factor que acelera la explotación. Todo esto coloca a SharePoint en una zona delicada: no solo es una aplicación de productividad, sino una pieza que suele almacenar contenido sensible, integrar autenticación y funcionar como interfaz entre usuarios, procesos y repositorios internos. Cuando aparece una vulnerabilidad crítica en ese punto, el daño potencial excede el alcance de un único servidor.

La implicancia regional es fuerte porque SharePoint está presente en gobiernos, educación, servicios financieros y grandes corporaciones latinoamericanas. El alerta brasileño, además, fue acompañado por recomendaciones concretas de inventariar versiones y aplicar correcciones del desarrollador. No hay aquí espacio para una defensa meramente perimetral. Si el sistema se usa como portal de colaboración, la prioridad debe incluir revisión de cuentas, chequeo de indicios de persistencia y búsqueda de anomalías en registros, ya que la explotación descrita permite un acceso que puede sobrevivir al parche si la respuesta se limita a actualizar binarios.

OpenSSH, Ivanti y el perímetro que sigue siendo punto de entrada

Chile aportó varias señales de alto valor operativo. El CSIRT publicó un aviso sobre la vulnerabilidad crítica CVE-2024-6387 en OpenSSH, conocida como regressh, y señaló que existe explotación activa confirmada. También difundió una alerta sobre Ivanti con múltiples CVEs, entre ellas CVE-2023-46805 y CVE-2024-21887, que según la propia notificación fueron utilizadas de forma encadenada para vulnerar dispositivos Ivanti Connect Secure. Esa combinación de mensajes es relevante porque marca dos realidades distintas pero conectadas: acceso remoto expuesto y dispositivos de seguridad convertidos en vectores de intrusión.

El hecho de que Ivanti sea tratado como un objetivo de explotación activa en campañas dirigidas contra dispositivos de seguridad remarca una tendencia persistente en la región, donde equipos instalados para proteger terminan formando parte de la superficie de ataque. No es un detalle menor. Si un VPN o un gateway de acceso queda comprometido, el atacante ya no necesita necesariamente buscar una vía alternativa de entrada. En cambio, puede ampliar alcance, obtener credenciales o moverse lateralmente desde un punto que las organizaciones suelen considerar confiable.

CERT.br complementó esa lectura desde Brasil, al advertir que CVE-2024-24919 en dispositivos Check Point VPN estaba siendo usado para leer información sensible de la memoria de gateways afectados. El aviso remarcó además informes de compromiso en organizaciones brasileñas y la necesidad de aplicar los parches del fabricante de inmediato. Cuando varias autoridades regionales coinciden en que la explotación está ocurriendo y que el vector toca infraestructura de acceso, la prioridad deja de ser teórica. Se vuelve un asunto de continuidad operativa y de gestión de exposición.

Balbooa Forms y el riesgo silencioso de las extensiones web

Balbooa Forms para Joomla concentró una cantidad inusual de cobertura técnica para una extensión de terceros. El registro oficial de CVE-2026-56291 indica que todas las versiones anteriores a 2.4.1 eran vulnerables a una subida arbitraria de archivos sin autenticación que permitía cargar ejecutables y obtener RCE completa. El material técnico agrega detalles más incómodos, como la falta de token CSRF, la ausencia de una lista de extensiones permitidas y la confianza en el nombre de archivo provisto por el usuario. En otras palabras, la falla no fue sutil. Fue una combinación de controles ausentes en un punto de entrada muy expuesto.

El problema crece porque varias fuentes coinciden en que hubo explotación activa. CTI Pilot y SentinelOne describieron el caso como un zero-day ya explotado, mientras Devel Group señaló que CISA lo incorporó al catálogo KEV y recomendó aislamiento, parcheo inmediato y cacería de amenazas en logs HTTP POST hacia rutas de extensiones Joomla. TechConsulting añadió una lectura técnica útil al resumir que el handler de subida del frontend aceptaba archivos sin autenticación y permitía subir .php a un directorio público. La contracara defensiva es clara: cualquier sitio que haya ejecutado la extensión vulnerable debe ser tratado como potencialmente comprometido hasta demostrar lo contrario.

La dimensión regional del hallazgo no depende de una víctima específica. Depende de la masividad de Joomla en portales, intranets y sitios de atención al ciudadano en América Latina, donde las extensiones de terceros suelen instalarse para resolver necesidades de negocio rápidas. El riesgo no está solo en el CMS, sino en la larga cola de componentes adicionales que no siempre pasan por el mismo control de desarrollo seguro que el núcleo. El mes mostró que ese descuido puede terminar en web shells, persistencia y compromiso total del servidor en cuestión de segundos.

JCE en Brasil y el archivo que confirma explotación activa

El caso de Joomla Content Editor, identificado como CVE-2026-48907, aparece en el archivo con una particularidad editorial: una fuente del gobierno brasileño lo confirmó como alerta sobre explotación activa, pero la fecha asociada quedó sin confirmación en uno de los registros archivados. Aun así, el resto del material del período sitúa el problema con claridad. SonicWall lo describe como RCE remota sin autenticación, IntelSecLab publicó PoC del vector a través de profiles.import, y dbugs, vinculado a Positive Technologies, lo presentó como un fallo de control de acceso inadecuado que permitía a usuarios no autenticados crear perfiles de editor y ejecutar PHP arbitrario.

Lo interesante aquí es la convergencia entre la técnica y la respuesta institucional. No se trata solo de una vulnerabilidad teórica, sino de una falla que ya había motivado alerta pública y actividad de investigación práctica. Para los equipos de seguridad, eso implica revisar no solo la versión del componente, sino la existencia de perfiles creados de manera anómala, archivos PHP extraños y cualquier rastro de abuso en rutas de importación. Cuando el punto vulnerable es un editor de contenido, el compromiso puede pasar desapercibido durante un tiempo si el monitoreo se limita al núcleo del CMS.

Amenazas y campañas activas

Ransomware y extorsión

El archivo del mes incluye cuatro casos donde ransomware o extorsión aparecen como eje primario, pero solo uno permite identificar con claridad cifrado de activos confirmado. En los otros tres, el material no precisa si hubo cifrado, exfiltración sin cifrado o solamente reivindicación en un leak site. Esa distinción no es menor. Para un equipo de respuesta, cambia la prioridad de contención, el tipo de negociación legal y la urgencia de recuperación desde backups.

Una lectura prudente obliga a no forzar homogeneidad donde no la hay. Cuando la fuente no confirma cifrado, el informe debe decirlo así. La ausencia de precisión documental no disminuye el riesgo, pero sí impide convertir una mención genérica en un incidente operativo verificado. En el mes analizado, el valor del material estuvo menos en la narrativa de extorsión y más en los vectores de acceso inicial que, en la práctica, suelen alimentar luego ese tipo de campañas.

Fraude y phishing

El material del período documenta dos casos de fraude o phishing. No hay suficiente detalle para construir una campaña unificada ni para atribuir una metodología común, así que el registro debe mantenerse en ese nivel. La señal es útil, de todos modos, porque convive con el resto de la superficie de riesgo y sugiere que el abuso de credenciales, la suplantación o la ingeniería social siguieron operando como capa complementaria de acceso o monetización.

En un mes tan cargado de vulnerabilidades críticas, el phishing no desaparece. Más bien se vuelve el lubricante de otros ataques, en especial cuando una credencial robada, una cuenta comprometida o una interacción engañosa permite superar controles que la vulnerabilidad sola no habría vencido. Por eso, aunque el material no detalle una campaña mayor, el dato debe leerse como recordatorio de que la exposición técnica y la exposición humana se retroalimentan.

APT y hacktivismo

No hay material suficiente en este archivo para construir una atribución sólida de APT o de hacktivismo como ejes predominantes del mes. Sí hay, en cambio, patrones compatibles con actores que buscan acceso persistente o movimientos laterales a partir de software de perímetro y plataformas de colaboración. La mención de explotación activa en VPNs, SharePoint y OpenSSH encaja con tácticas de acceso inicial de alto valor, pero el material no habilita una atribución a grupos específicos en esta sección.

Vulnerabilidades críticas

La tabla refleja 48 CVEs críticos mencionados en el material, pero no todos aparecen desglosados aquí porque el archivo reúne referencias repetidas y agrupadas por advisory. Lo relevante para la lectura regional es que varios de los CVEs con mayor valor operativo se concentraron en componentes de acceso remoto, colaboración y extensiones web. Eso coincide con un patrón defensivo conocido: los atacantes prefieren las piezas que resuelven autenticación, visibilidad o publicación externa, porque un único fallo en esas capas ofrece rendimientos mucho más altos que un vector aislado en un endpoint interno.

Regulación y cumplimiento

No se registraron movimientos regulatorios documentados en el material del mes. Eso no significa que no haya actividad de cumplimiento en curso, sino que no hubo hechos verificables en el archivo que permitan describir nuevos marcos normativos, sanciones o obligaciones regulatorias específicas para julio de 2026.

Aun sin cambios regulatorios formales, sí hay implicancias de cumplimiento operativo. Los avisos de CTIR Gov en Brasil, CERT.br y CSIRT Chile actúan como señales de urgencia para entidades públicas y privadas que administran infraestructura crítica o servicios esenciales. En la práctica, estos comunicados suelen traducirse en requerimientos internos de revisión, inventario, evidencia de parcheo y, en algunos casos, notificación a terceros o contratistas. El punto no es normativo en sentido estricto, sino de gobernanza de riesgo.

Países más afectados en América Latina

Brasil

Brasil fue el país con mayor densidad de hechos verificables del período. El CTIR Gov publicó el alerta 65/2026 sobre Microsoft SharePoint, incluyendo versiones afectadas, EPSS y referencia a KEV. CERT.br emitió una alerta sobre explotación activa en VPNs empresariales, con foco en CVE-2024-24919 y compromiso real en organizaciones brasileñas. Además, medios locales reportaron incidentes asociados a Check Point y se registró la alerta de Ivanti por parte del CSIRT de Chile, que también tiene relevancia para entornos con operación regional compartida desde Brasil.

El caso brasileño muestra una combinación muy típica del riesgo latinoamericano: mucha dependencia de suites corporativas y dispositivos de perímetro, más una capa de urgencia institucional que llega justo cuando el parche ya circula en el ecosistema global. La calidad del material oficial es alta y permite inferir una presión defensiva importante sobre empresas de servicios, infraestructura crítica y organismos públicos. La lectura práctica es que Brasil concentró tanto la producción de alerta como la amplificación mediática regional.

Chile

Chile aparece como segundo polo documental del mes por la actuación de su CSIRT. El organismo publicó una alerta sobre OpenSSH con explotación activa confirmada, otra sobre vulnerabilidades en Ivanti y una referencia a dispositivos perimetrales explotados activamente. La presencia de Chile en el archivo es valiosa porque muestra una autoridad nacional tratando vulnerabilidades de acceso remoto y periferia con una mirada operativa, no solo informativa.

La señal chilena es clara: priorización de exposición externa, revisión de dispositivos de acceso y parches inmediatos. Eso sugiere un entorno donde las fallas de perímetro siguen siendo una preocupación real para organizaciones con operación distribuida, proveedores conectados y usuarios remotos. La ausencia de otras menciones no debe interpretarse como menor riesgo, sino como menor densidad de hechos verificables en el material archivado.

Bolivia

Bolivia aporta uno de los avisos técnicos más detallados del mes a través del CGII. El organismo emitió una advertencia sobre un lote de vulnerabilidades en Redis, con clasificación de peligrosidad alta, versiones afectadas y explicación técnica de los mecanismos de explotación. Además de ser un aviso local, el documento tiene valor regional porque aterriza un problema global en una recomendación concreta para administradores de la zona.

El aporte boliviano demuestra que las alertas nacionales pueden ser tan útiles como los advisories del vendor, sobre todo cuando especifican módulos, versiones y medidas de mitigación. En entornos donde Redis se usa como servicio interno de alto rendimiento, el riesgo no está solo en la exposición pública sino en la persistencia de configuraciones de replicación o permisos excesivamente amplios. Bolivia fue, en ese sentido, un buen ejemplo de traducción operativa del riesgo.

Colombia

Colombia no registró incidentes con impacto confirmado en el eje de este informe, pero sí aportó telemetría agregada a través de ColCERT. La alerta sobre la red CHARLIE/ORB3/SPACEHOP reportó al menos 16 nodos confirmados realizando escaneos y fuerza bruta masiva contra SSH, PostgreSQL y Apache Tomcat. Ese dato no se incorpora al conteo de incidentes, pero sí ayuda a recordar que las organizaciones colombianas operan en un entorno con presión automatizada constante.

La lectura de Colombia en julio es, entonces, la de una superficie expuesta a ruido masivo más que a un caso singular. El valor editorial del dato es contextual y no debe confundirse con impacto confirmado. Aun así, la presencia de escaneos de esta escala indica que los controles de acceso y la exposición de servicios siguen siendo una prioridad de higiene básica.

México

No hubo hechos verificables en el material del mes que permitan asignar a México un incidente o alerta concreta dentro de este eje. Eso no reduce el riesgo del país, pero sí limita la afirmación documental. El archivo no incluye una alerta mexicana equivalente a las de Brasil, Chile o Bolivia para julio de 2026.

Argentina

No se registraron hechos verificables del período para Argentina en este eje. La ausencia de material no debe interpretarse como ausencia de exposición, sino como falta de casos documentados dentro del archivo disponible.

Perú

No se registraron hechos verificables del período para Perú en este eje. El material analizado no aporta una alerta o incidente concreto con fecha de julio 2026.

Paraguay

No se registraron hechos verificables del período para Paraguay en este eje. Tampoco hay en el archivo un aviso comparable que permita construir una lectura país específica.

Estados Unidos

Aunque este informe prioriza América Latina, varios hechos del período enmarcan la exposición regional porque involucran vendors globales y catálogos de explotación conocidos. En particular, CISA añadió SharePoint a KEV y también aparece la referencia al caso de Balbooa Forms. No son incidentes latinoamericanos por sí mismos, pero sí determinan la velocidad con que los equipos de la región deben responder.

Tendencias y señales a monitorear

No hay baseline comparativo del mes anterior en este formato archivado para América Latina, así que no corresponde inventar variaciones porcentuales ni una tendencia mes contra mes cuantificada. Sí puede decirse que julio consolidó una línea clara de presión sobre tres frentes: exposición de perímetro, colaboración interna y extensiones web. Redis, SharePoint, VPNs, OpenSSH, Ivanti, JCE y Balbooa Forms forman una cadena de software que mezcla acceso, autenticación, publicación y administración. Ese conjunto tiene alto valor para intrusos porque permite saltar de una falla externa a la persistencia o al movimiento lateral con un costo relativamente bajo.

Una segunda señal a monitorear es la aceleración entre PoC y mitigación efectiva. El material muestra casos donde ya había explotación pública, catálogos KEV, avisos de CERTs regionales y múltiples rondas de parches del fabricante. Cuando eso ocurre, la pregunta no es si la vulnerabilidad es grave, sino si la organización logró cerrar la brecha antes de que fuera explotada en su entorno. Ese cambio de pregunta, de criticidad abstracta a velocidad de remediación, es probablemente la tendencia más importante del mes.

La tercera señal es la persistencia de vulnerabilidades en productos que suelen ser administrados por equipos distintos. Redis puede vivir con plataformas de datos; SharePoint con equipos de workplace o colaboración; VPNs y gateways con infra o seguridad; Joomla con web o marketing; Ivanti con operaciones o seguridad. El riesgo aparece cuando nadie tiene la foto completa. Julio dejó la impresión de que la fragmentación de responsabilidades sigue siendo una debilidad regional más seria que la falta de parches en sí misma.

Recomendaciones para equipos de seguridad

Primero, construir o actualizar un inventario de exposición que no se limite al software núcleo. En este mes quedó demostrado que módulos de Redis, extensiones de Joomla y complementos como Balbooa Forms pueden tener un impacto tan alto como una vulnerabilidad en el producto principal. El inventario debe incluir ramas, plugins, módulos, versiones menores y puntos de administración expuestos.

Segundo, priorizar la validación de parcheo con verificación real, no solo con tickets cerrados. Varios casos del mes muestran que una corrección inicial no necesariamente cerró toda la superficie de ataque. Conviene revisar versiones, comportamiento del endpoint y evidencia de explotación, especialmente en Redis, SharePoint, VPNs y Joomla. Si el fabricante publicó varias rondas de seguridad en pocos días, hay que asumir que la primera remediación pudo ser incompleta o insuficiente para la instalación local.

Tercero, revisar con urgencia servicios de acceso remoto y dispositivos perimetrales. OpenSSH, Ivanti y Check Point quedaron bajo explotación activa confirmada. Eso obliga a buscar anomalías en autenticaciones, sesiones persistentes, cuentas nuevas, reglas alteradas y cualquier indicio de movimiento lateral posterior al primer ingreso. En dispositivos de seguridad, además, la auditoría debe incluir configuración, logs y posibilidad de compromiso previo al parche.

Cuarto, tratar SharePoint y otras plataformas de colaboración como activos de alta sensibilidad. La exposición de machine keys, la posibilidad de persistencia y el impacto sobre confidencialidad e integridad requieren más que un parche. Hace falta revisar credenciales, llaves, servicios asociados y rastros de abuso. Si la plataforma sirve como portal de negocio o intranet, el daño potencial se amplía a procesos enteros.

Quinto, aplicar hardening específico en aplicaciones web y extensiones CMS. El caso Balbooa Forms es un ejemplo directo de por qué los formularios, handlers de subida y endpoints de importación deben estar blindados. Desactivar temporalmente componentes críticos, restringir por IP donde sea posible, bloquear ejecución de PHP en directorios de upload y revisar logs HTTP POST son medidas razonables cuando el tiempo entre divulgación y abuso es corto.

Sexto, asumir compromiso cuando el escenario lo amerita. Si un sitio Joomla ejecutó Balbooa Forms vulnerable, o si un SharePoint quedó expuesto con la CVE de julio, no alcanza con actualizar. Hay que revisar cuentas, buscar web shells, rotar credenciales, validar backups y analizar eventos previos a la remediación. La lógica de julio no fue la del parche aislado, sino la de la cacería de persistencia.

Séptimo, coordinar seguridad, infraestructura y dueños de aplicación. Este mes dejó en evidencia que la fragmentación organizativa empeora el riesgo. Redis, SharePoint, VPNs y CMS suelen tener responsables distintos, pero el atacante no respeta esas fronteras. La priorización debe ser transversal y con plazos cortos.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para julio de 2026, sin acceso a internet y sin incorporar fuentes fuera de la lista habilitada. El alcance es América Latina, aunque varios hechos de vendors globales o organismos externos se usaron solo cuando ayudaban a contextualizar riesgos que sí tuvieron impacto o alerta regional.

La ventana temporal de los indicadores es la declarada al inicio: 189 hechos con fecha en julio 2026, 14 de meses anteriores como marco comparativo y 1 hecho sin fecha confirmada, excluido de los indicadores. Los hechos de meses anteriores no cuentan como volumen del período y solo pueden citarse si se explicita su mes. El registro sin fecha confirmada también queda fuera de los conteos; cuando se lo usa como contexto, debe decirse que la fecha no está confirmada.

El indicador de CVEs críticos mencionados no debe confundirse con ausencia de vulnerabilidades en la región si alguna sección apareciera en cero en otro período. En este mes, el material sí registró CVEs críticos, pero el principio metodológico sigue siendo el mismo: un valor en cero significaría únicamente que no apareció en el material analizado, no que no haya existido actividad real en la región.

Tampoco se sumó telemetría agregada a los incidentes. Los registros de ColCERT y Semana se citan solo como intentos, bloqueos o mediciones de volumen, no como intrusiones con impacto confirmado. Del mismo modo, los casos de ransomware o extorsión se mantuvieron diferenciados según la evidencia disponible, y cuando la fuente no permitió determinar si hubo cifrado de activos se lo indicó expresamente. No se usaron redes sociales ni contenido excluido, ni se apoyaron tendencias en material promocional.

Finalmente, algunas piezas del archivo presentan fechas inconsistentes o registros sin confirmación temporal completa. En esos casos, se priorizó no forzar una cronología artificial. El objetivo fue preservar trazabilidad y evitar que un dato técnicamente interesante se convirtiera, por exceso de interpretación, en una afirmación que el material no sostenía.