Vulnerabilidades críticas y explotación activa — Septiembre 2026

Amenazas y campañas activas

Ransomware y extorsión

El material de septiembre solo permitió identificar un caso con ransomware o extorsión como eje primario, pero la fuente no precisó si hubo cifrado de activos, exfiltración sin cifrado o mera mención en un leak site. Esa falta de detalle impide elevar el caso a una tipología más fina y obliga a tratarlo como señal incompleta, no como un patrón general del mes.

En términos de lectura operativa, eso importa porque la categoría única de ransomware puede esconder impactos muy distintos. No es lo mismo perder disponibilidad de sistemas que enfrentar una extorsión por datos sin cifrado. Como el corpus no permite separar esos escenarios, el análisis del mes se concentra en vulnerabilidades explotadas y no en una ola de ransomware propiamente dicha.

Fraude y phishing

El corpus registró 9 casos de fraude o phishing documentados, por debajo de los 30 del mes anterior. La baja no implica desaparición del problema, pero sí confirma que en septiembre el centro de gravedad se movió hacia explotación técnica de vulnerabilidades y campañas sobre infraestructura crítica. El caso más visible fue la Recomendación 17/2026 del CTIR Gov sobre SEO poisoning en sitios .gov.br.

Esa campaña merece atención porque no se limitó a phishing clásico. El material describe cloaking contra robots de búsqueda, inyección de enlaces a apuestas y casinos ilegales, y la necesidad de redefinir credenciales de base de datos, API, certificados y paneles administrativos. En otras palabras, el fraude convivió con un componente de intrusión y manipulación de sitios web gubernamentales.

APT, intrusión persistente y abuso de infraestructura

No hubo un caso que el material identifique como APT clásica con atribución sólida a un grupo persistente, pero sí hubo campañas con rasgos de persistencia, abuso de infraestructura y control encubierto. MikroTrick en MikroTik, el SEO poisoning en .gov.br y el abuso de herramientas de acceso remoto como ScreenConnect encajan en esa categoría amplia de campañas que priorizan continuidad operativa del atacante.

También aparece un vector de infraestructura difícil de neutralizar, como la actualización de infraestructura de mando y control de KREMLIN mediante contratos inteligentes de Ethereum. El propio material aclara que KREMLIN no tiene CVE ni entrada en KEV, por lo que no debe confundirse con una vulnerabilidad explotada. Sin embargo, sí sirve como señal de campañas que buscan resiliencia operativa y evasión de bloqueo.

Vulnerabilidades críticas

La siguiente tabla consolida los CVEs y el estado de explotación o priorización que aparece en el material analizado. No incluye los casos sin identificador exacto, aunque sí se mencionan en prosa en las secciones anteriores.

El universo de CVEs críticos no se agotó en estos identificadores. El material también menciona fallas en Cisco Identity Services Engine, Cisco Secure Email Gateway, NGINX, 7-Zip y WSO2, pero sin un listado uniforme de explotación activa comparable al bloque principal anterior. Por eso esta tabla prioriza solo los casos donde la vinculación con explotación, KEV o alerta oficial está explícitamente respaldada.

Regulación y cumplimiento

Septiembre no mostró movimientos regulatorios formales en el sentido estricto de la métrica, pero sí una intensa actividad de respuesta institucional. CTIR Gov y CISC emitieron alertas y boletines, ECUCERT publicó una alerta específica, e INCIBE-CERT difundió avisos sobre GitLab y otras aplicaciones. En la práctica, el mes se pareció más a un ciclo de cumplimiento operativo acelerado que a un cambio normativo.

En Brasil, la respuesta incluyó alertas, boletines y recomendaciones técnicas que bajaron a detalles concretos de remediación. La Recomendação 17/2026 pidió desindexar rutas, redefinir credenciales y reportar actividad anómala. Los alertas sobre Adobe Commerce, Fortinet, SonicWall y Cisco Identity Services Engine remiten a la misma lógica: priorizar remediación, revisar exposición y, en algunos casos, tratar el incidente como compromiso potencial.

Ese tipo de documentos no crea una nueva regla legal, pero sí funciona como estándar de facto para equipos estatales y proveedores que trabajan con gobierno. En América Latina, donde los órganos de respuesta nacional suelen orientar a múltiples sectores, estos avisos tienen peso práctico similar al de una circular de cumplimiento, aunque su naturaleza siga siendo técnica.

Países más afectados en América Latina

Brasil

Brasil concentró la mayor cantidad de señal verificable del mes. El CTIR Gov emitió alertas sobre SonicWall SMA1000, Adobe Commerce y Magento, Fortinet, Cisco Identity Services Engine y GitLab, además de una recomendación sobre SEO poisoning en sitios .gov.br. CISC, a su vez, publicó boletines con vulnerabilidades de Microsoft, Fortinet, Commvault, Check Point, NGINX y 7-Zip.

La lectura brasileña tiene dos capas. La primera es de priorización técnica, porque buena parte del material está orientado a patching y a catálogos KEV. La segunda es de superficie expuesta, porque varios hechos tocan servicios cloud, repositorios automáticos, administración remota y sitios gubernamentales públicos. El resultado es una señal de alto riesgo para organismos, proveedores y empresas con infraestructura híbrida.

Ecuador

Ecuador aportó un aviso específico y de gran valor operativo sobre MikroTik RouterOS explotado activamente. La ECUCERT no solo nombró los CVEs, sino que encuadró el problema como explotación activa, lo que obliga a tratar routers expuestos como activos en posible compromiso y no como simples equipos a actualizar cuando se pueda.

Esto es especialmente relevante para proveedores de conectividad, pymes y redes de borde. En entornos donde MikroTik cumple funciones de router, firewall o concentrador de acceso, la explotación activa puede abrir paso a persistencia, redirección de tráfico o salto hacia segmentos internos. La alerta ecuatoriana se alinea con el resto del ecosistema técnico internacional y refuerza la urgencia de revisión.

México

México aparece en el material sobre todo por el ángulo de aplicaciones web, cloud y exposición de servicios. La cobertura de Ciberseguridad LATAM menciona que en Brasil y México sectores como pagos digitales y salud digital operan aplicaciones integradas con AWS, Azure y Google Cloud, con repositorios GitHub o GitLab configurados para despliegue automático sin revisión manual. Eso no es un incidente mexicano concreto, pero sí un marco útil para leer el riesgo local.

Para este informe, México también figura por referencias a empresas y servicios del mercado regional donde la superficie de ataque depende de integraciones automatizadas y repositorios conectados a producción. El material disponible no permite afirmar una concentración de incidentes en el país, pero sí sugiere una exposición comparable a la de otros mercados de la región que dependen de DevOps y cloud.

Colombia

Colombia entra en el corpus principalmente por los hechos sin tipificar y los casos de incidentes en servicios digitales, aunque el material analizado no aporta un caso de vulnerabilidad crítica explotada allí con la misma densidad que en Brasil o Ecuador. La falta de señal fuerte no debe leerse como ausencia de riesgo, sino como límite del corpus disponible para el mes.

El caso de ICETEX, aunque fuera de esta vertical temática por ser un incidente de seguridad de un proveedor, refuerza la idea de dependencia regional de terceros y servicios externos. En una lectura de vulnerabilidades críticas, eso importa porque muchas explotaciones terminan impactando organizaciones que no controlan directamente la infraestructura comprometida.

Paraguay

Paraguay aparece sobre todo por la actividad de CERT.PY y por el contexto de boletines regionales. En el material provisto hay avisos sobre MISP y complementos de WordPress, pero sin fecha confirmada, por lo que no entran en los indicadores del mes. Aun así, muestran interés institucional por superficies comunes de ataque que suelen ser relevantes para organizaciones de tamaño medio.

En la comparativa regional, Paraguay no concentra incidentes verificables de la misma magnitud que Brasil o Ecuador. Eso no reduce la utilidad de sus avisos, pero sí limita la capacidad de trazar una narrativa de explotación activa con volumen suficiente para este informe. La señal es de vigilancia, no de prevalencia.

Argentina

No hubo hechos verificables suficientes en el material para construir una lectura específica por Argentina dentro de esta vertical. Eso no implica ausencia de exposición a vulnerabilidades críticas, sino simplemente que el corpus de septiembre no aportó un caso con fecha confirmada y alcance comparable a los de Brasil o Ecuador.

Chile

Tampoco se registraron hechos verificables suficientes para Chile en el corpus analizado de septiembre dentro de esta temática. El material disponible no permite afirmar una tendencia país, aunque eso no excluye exposición a los mismos productos y cadenas de explotación observadas en otros mercados de la región.

Perú

No hubo hechos verificables suficientes para Perú en el período analizado. El informe no atribuye esa ausencia a un menor riesgo real, solo a la cobertura concreta del material recibido.

Bolivia

No se registraron hechos verificables suficientes para Bolivia en el material de septiembre. La señal regional que sí aparece, sobre todo en appliances perimetrales y software de administración, es igualmente relevante para entornos bolivianos, pero no puede documentarse aquí con un caso local concreto.

Estados Unidos

Aunque no forma parte de América Latina, aparece como referencia de fondo en casi todos los procesos de priorización por CISA KEV. Las fechas de vencimiento para organismos federales estadounidenses, como el 14 o el 27 de septiembre, ayudaron a marcar la urgencia de remediación para vendors y CERTs regionales. En el informe se lo usa solo como marco comparativo de explotación activa y remediación.

Tendencias y señales a monitorear

La comparación con el mes anterior muestra una caída fuerte del volumen total, de 344 a 177 hechos verificados, y una reducción de 83 a 43 CVEs críticos mencionados. Sin embargo, la señal operativa no se suavizó en la misma proporción, porque la amenaza predominante siguió siendo vulnerabilidades y varios casos fueron confirmados como explotación activa por múltiples fuentes.

El mes anterior, agosto, estuvo cargado por un volumen mayor y por múltiples casos de alto impacto en infraestructura. Septiembre tuvo menos ruido, pero una calidad de señal más enfocada en remediación urgente y priorización de activos expuestos. Eso suele pasar cuando el ecosistema pasa de un ciclo de divulgación masiva a otro de explotación confirmada y respuesta institucional.

La primera señal a monitorear es la persistencia de cadenas multi-CVE en equipos perimetrales. SonicWall SMA1000 y MikroTik RouterOS muestran que los atacantes siguen buscando combinación de bypass, SSRF, inyección de comandos y escalado de privilegios. Cuando esas fallas se combinan, el atacante no necesita un vector sofisticado adicional para pasar de acceso inicial a control del equipo.

La segunda señal es la presión sobre plataformas de desarrollo y despliegue. GitLab dejó claro que los entornos self-managed siguen siendo un objetivo de alto valor, porque allí conviven secretos, pipelines, credenciales de servicio y automatización. En la región, donde muchas empresas y organismos usan GitLab como columna vertebral de entrega, eso obliga a revisar no solo versiones sino también exposición, permisos y trazabilidad de imports o CI/CD.

La tercera señal es que los boletines regionales ya no se limitan a software on-prem. Fortinet, Commvault Cloud, FortiSandbox Cloud, Microsoft y otros ejemplos muestran un giro hacia servicios cloud e híbridos. Eso exige que los equipos latinoamericanos integren remediación local con control de identidad, credenciales, pipelines y sesiones. Si se analiza solo el appliance, se pierde parte del riesgo.

Recomendaciones para equipos de seguridad

Primero, priorizar parches y revisión de compromiso en los activos que aparecieron en KEV o en alertas oficiales durante el mes. Eso incluye SonicWall SMA1000, GitLab self-managed, ConnectWise ScreenConnect, Adobe Commerce y Magento, MikroTik RouterOS y los productos Fortinet mencionados en boletines oficiales. En estos casos no alcanza con aplicar la actualización, porque varias fuentes pidieron revisión de cuentas, agentes, sesiones y trazas forenses.

Segundo, revisar exposición directa a internet de herramientas de administración, repositorios y portales de soporte. Si GitLab, ScreenConnect, appliances de acceso remoto o interfaces de administración están expuestos, la prioridad debe subir de inmediato. El riesgo no está solo en la vulnerabilidad, sino en la combinación entre accesibilidad pública, credenciales reutilizadas y automatización de despliegues o soporte.

Tercero, reforzar monitoreo sobre credenciales y secretos. La explotación de GitLab, el SEO poisoning en .gov.br y el abuso de herramientas remotas muestran que una intrusión puede terminar en robo de tokens, claves de API, certificados y contraseñas de paneles administrativos. Rotar credenciales sin revisar el alcance de exposición puede dejar persistencia viva.

Cuarto, incorporar búsqueda de compromiso posterior al parcheo. En SonicWall, ConnectWise y Fortinet el material insiste en que el parche no cierra automáticamente el incidente. Hay que revisar logs, cambios de configuración, sesiones activas, cuentas ocultas, reglas de acceso y artefactos de persistencia. Eso vale especialmente para dispositivos perimetrales y plataformas de soporte remoto.

Quinto, tratar los appliances de red y seguridad como activos de alta criticidad operativa. MikroTik y SonicWall muestran que el borde de red sigue siendo un objetivo principal, y que un router o gateway comprometido puede tener un efecto más amplio que una estación de trabajo aislada. El plan de respuesta debe incluir reinicio seguro, restauración desde configuración conocida y validación de integridad.

Sexto, alinear la priorización regional con boletines de CERT y CSIRT oficiales. En América Latina, CTIR Gov, CISC y ECUCERT actuaron como amplificadores de urgencia y contextualización local. Cuando esos organismos emiten alertas sobre un CVE, la organización debería traducirlo a una acción interna con responsable, fecha y evidencia de cierre. De lo contrario, la alerta queda como lectura informativa y no como control.

Preguntas frecuentes

¿Qué países concentraron la señal más fuerte del mes y por qué?

Brasil y Ecuador concentraron la señal más clara. Brasil acumuló alertas oficiales sobre SonicWall, Adobe, Fortinet, GitLab y campañas activas sobre sitios .gov.br. Ecuador, por su parte, emitió una alerta específica sobre MikroTik RouterOS explotado activamente. El resto de los países tuvo cobertura más dispersa o sin fecha confirmada.

¿Qué diferencia hay entre el material de Brasil y el de Ecuador?

Brasil combinó boletines, recomendaciones y campañas activas con varios vendors, además de alertas sobre SEO poisoning y cloud. Ecuador tuvo un caso más focalizado, pero muy nítido, sobre MikroTik RouterOS con explotación activa confirmada. La diferencia es de amplitud en Brasil y de precisión operativa en Ecuador.

¿Qué cambió entre agosto y septiembre en vulnerabilidades críticas?

Bajó el volumen total de hechos verificados y también el número de CVEs críticos mencionados. Aun así, la amenaza principal siguió siendo vulnerabilidades y varios casos siguieron confirmados como explotación activa. En agosto hubo más ruido; en septiembre, menos volumen pero más concentración en remediación y priorización.

¿Qué productos deberían revisar primero los equipos latinoamericanos?

Deberían revisar primero SonicWall SMA1000, GitLab self-managed, ConnectWise ScreenConnect, Adobe Commerce y Magento, Fortinet, MikroTik RouterOS y, donde aplique, Cisco Identity Services Engine. La prioridad surge de la combinación entre explotación activa, presencia en KEV y uso extendido en infraestructura regional.

¿El informe registró ransomware como tendencia principal?

No. Solo apareció un caso con ransomware o extorsión como eje primario, pero el material no precisó si hubo cifrado, exfiltración sin cifrado o mera mención en un leak site. La tendencia principal del mes fue claramente vulnerabilidades, no extorsión. La sección de amenazas y campañas activas lo detalla con más precisión.

¿Qué alertas oficiales deberían leer primero los equipos de gobierno?

En Brasil, las alertas del CTIR Gov sobre SonicWall, Adobe Commerce, Fortinet, GitLab y la Recomendação 17/2026 sobre SEO poisoning. En Ecuador, la alerta de ECUCERT sobre MikroTik RouterOS. Esos documentos cruzan explotación activa, impacto operativo y acciones concretas de mitigación.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para septiembre de 2026 y con el marco comparativo de meses anteriores incluido en el archivo. No hubo acceso a internet ni a fuentes fuera de la lista autorizada. Por eso, varias menciones técnicas quedan limitadas a lo que cada fuente describió y no a una verificación independiente adicional.

La ventana temporal de los indicadores se basó en 178 hechos con fecha en septiembre de 2026, 13 hechos de meses anteriores usados solo como marco comparativo y 2 hechos sin fecha confirmada excluidos de los indicadores. Los hechos sin fecha confirmada, como los avisos de CERT.gov.py sobre MISP y complementos de WordPress, pueden usarse como contexto cualitativo, pero no forman parte del volumen del mes.

Un indicador en cero significa que no apareció en el material analizado de septiembre, no que el fenómeno no haya ocurrido en la región. Esto aplica en particular a movimientos regulatorios y al desglose de algunas categorías. También aplica a CVEs: si el material no registra cierto caso, eso no elimina la posibilidad de que existiera fuera del corpus disponible.

La telemetría agregada se trató aparte y no se sumó a incidentes. En este informe solo se menciona como referencia puntual cuando la fuente aclara que son intentos o bloqueos automatizados y no intrusiones confirmadas. Tampoco se usaron como evidencia de tendencia contenido patrocinado, redes sociales de consumo ni publicaciones fuera de la lista de fuentes disponibles.

Los países sin hechos verificables suficientes, o con material insuficiente para sostener una lectura local, se dejaron fuera de afirmaciones de volumen. Eso no equivale a ausencia de riesgo, solo a una limitación de cobertura documental en el período.