La CISA ha actualizado oficialmente su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) para incluir nuevas fallas de seguridad que afectan a una popular plataforma de correo web. El 20 de febrero de 2026, la agencia añadió dos vulnerabilidades críticas encontradas en Roundcube Webmail, basándose en pruebas claras de que actores maliciosos las están explotando activamente. 

La CISA ha actualizado oficialmente su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) para incluir nuevas fallas de seguridad que afectan a una popular plataforma de correo web.

El 20 de febrero de 2026, la agencia añadió dos vulnerabilidades críticas encontradas en Roundcube Webmail basándose en evidencia clara de que actores maliciosos las están explotando activamente en la naturaleza.

Esta actualización destaca los riesgos continuos asociados con herramientas de comunicación basadas en la web. Advierte a las organizaciones que aseguren su infraestructura de correo electrónico de inmediato.

Dos vulnerabilidades de Roundcube añadidas

Las nuevas entradas representan brechas de seguridad significativas que permiten a los atacantes comprometer sistemas que ejecutan versiones vulnerables del software.

La primera vulnerabilidad implica la deserialización de datos no confiables. Este tipo de falla ocurre cuando una aplicación procesa incorrectamente datos proporcionados por el usuario, permitiendo que un atacante manipule la lógica de la aplicación o ejecute código arbitrario en el servidor.

El segundo problema es una vulnerabilidad de Cross-Site Scripting (XSS). Las fallas XSS suelen permitir a los adversarios inyectar scripts maliciosos en páginas web vistas por otros usuarios, lo que a menudo conduce al secuestro de sesiones o al robo de credenciales sensibles.

Estas vulnerabilidades se consideran vectores de ataque frecuentes para actores cibernéticos maliciosos porque las interfaces de correo web suelen estar expuestas a internet.

Al explotar estas debilidades, los atacantes pueden obtener acceso no autorizado a cuentas de correo, interceptar comunicaciones sensibles o establecer un punto de apoyo dentro de una red más amplia.

La CISA ha determinado que estas fallas específicas representan un riesgo significativo para la empresa federal, lo que requiere atención inmediata por parte de los equipos de seguridad.

Remediación y directivas federales

La inclusión de estas fallas en el catálogo se enmarca en la Directiva Operativa Vinculante (BOD) 22-01, titulada "Reducción del Riesgo Significativo de Vulnerabilidades Explotadas Conocidas".

Esta directiva estableció el catálogo KEV como una lista viva de CVE que conllevan un riesgo significativo para el gobierno federal.

Bajo este mandato, las agencias de la Rama Ejecutiva Civil Federal (FCEB) están obligadas a remediar las vulnerabilidades identificadas antes de fechas límite específicas para proteger las redes federales contra amenazas activas.

La directiva busca cambiar el enfoque de simplemente gestionar todas las vulnerabilidades a priorizar aquellas que los hackers están utilizando realmente.

Aunque los requisitos de la BOD 22-01 son legalmente vinculantes solo para las agencias FCEB, la CISA insta firmemente a todas las organizaciones a adoptar una urgencia similar.

Se recomienda a las empresas privadas, gobiernos estatales y proveedores de infraestructura crítica priorizar la remediación oportuna de las vulnerabilidades del Catálogo KEV como parte de su práctica estándar de gestión de vulnerabilidades.

Las organizaciones que utilizan Roundcube Webmail deben verificar si hay actualizaciones de seguridad disponibles y aplicar los parches de inmediato para reducir su exposición a estos ciberataques.

La CISA continúa actualizando el catálogo regularmente a medida que nueva evidencia de explotación cumple con sus criterios especificados.