a CISA añadió cinco vulnerabilidades críticas de JFrog Artifactory, ConnectWise ScreenConnect y MikroTik RouterOS a su catálogo de fallos explotados activamente. Estos errores permiten a los atacantes escalar privilegios, ejecutar código malicioso y tomar control administrativo de los sistemas afectados. Se insta a las organizaciones a aplicar los parches de seguridad urgentes para evitar intrusiones y despliegues de puertas traseras.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido cinco fallos de seguridad que afectan a JFrog Artifactory, ConnectWise ScreenConnect [] y MikroTik RouterOS [] a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV []), tras informes de explotación activa en entornos reales.

Los detalles de las vulnerabilidades son los siguientes -

* CVE-2026-42016 (puntuación CVSS: 8.1) - Una vulnerabilidad de autorización incorrecta en JFrog Artifactory que podría conducir a una escalada de privilegios debido a una comprobación de validación de la firma/emisor del token y no del alcance del mismo.
* CVE-2026-42018 (puntuación CVSS: 7.5) - Una vulnerabilidad de autenticación inadecuada en JFrog Artifactory que podría devolver un token de usuario anónimo interno a un llamador no autenticado cuando el acceso anónimo está desactivado, filtrando potencialmente recursos sensibles.
* CVE-2026-84869 (puntuación CVSS: 9.9) - Una vulnerabilidad de gestión de privilegios inadecuada y falta de autorización en ConnectWise ScreenConnect que podría permitir a un atacante transferir archivos y ejecutar comandos a través de una sesión remota activa sin autorización ni confirmación del host.
* CVE-2026-67277 (puntuación CVSS: 8.8) - Una vulnerabilidad de falta de autenticación para una función crítica en MikroTik RouterOS que podría permitir la divulgación de memoria del kernel y la denegación de servicio en el servicio btest.
* CVE-2026-86060 (puntuación CVSS: 9.2) - Una vulnerabilidad de neutralización inadecuada de delimitadores de argumentos en un comando en MikroTik RouterOS que podría permitir a un atacante cambiar la máscara de política de RouterOS confiable y lograr una escalada de privilegios.

Detalles sobre las explotaciones

Como se informó anteriormente, los atacantes han sido observados encadenando los dos errores de Artifactory junto con el CVE-2026-82329 (puntuación CVSS: 9.8) para tomar el control de administrador de servidores autoalojados y desplegar puertas traseras entre el 15 de agosto y el 8 de septiembre de 2026. El CVE-2026-82329 fue añadido al catálogo KEV de CISA a principios de este mes.

"Los atacantes están encadenando estas vulnerabilidades para evadir la autenticación, escalar privilegios y obtener el control administrativo sobre instancias vulnerables de Artifactory", afirmó Wiz, propiedad de Google. "La actividad de post-explotación observada incluye la creación de cuentas de administrador persistentes, el despliegue de plugins de Groovy maliciosos para la ejecución de código y la instalación de puertas traseras basadas en Rust para establecer persistencia".

La explotación del CVE-2026-84869, por otro lado, ha sido vinculada a un conjunto de tres incidentes no relacionados documentados por Huntress, en los cuales los actores de amenazas abusaron de ScreenConnect para distribuir una carga útil maliciosa de Visual Basic Script (VBScript) a sistemas recién conectados.

ConnectWise ha descrito [] el fallo como una "condición" en el cliente ScreenConnect que "podría permitir que los archivos se transfieran y ejecuten a través de una sesión remota activa sin autorización ni confirmación del Host en ciertas circunstancias". El problema no afecta a los servidores de ScreenConnect.

"Bajo ciertas circunstancias, esto podría permitir que se transfieran y ejecuten archivos en el sistema cliente Host, incluyendo acciones de ejecución elevadas", dijo Huntress [] en una actualización, instando a las organizaciones a actualizar a la versión 26.6.5 de ScreenConnect.

La adición por parte de CISA del CVE-2026-67277 y el CVE-2026-86060 sigue a un informe de CERT Polska de la semana pasada en el que decía haber observado a actores de amenazas desconocidos explotando dos fallos en MikroTik RouterOS para tomar el control de dispositivos vulnerables sin autenticación. La agencia de ciberseguridad denominó la cadena de exploits como MikroTrick.

Las agencias de la Rama Ejecutiva Civil Federal (FCEB) deben parchear los fallos de RouterOS antes del 13 de septiembre de 2026, el fallo de ScreenConnect antes del 14 de septiembre de 2026 y los fallos de Artifactory antes del 25 de septiembre de 2026.

Fuente:
THN