CISA incorporó el 9 de noviembre cuatro vulnerabilidades a su catálogo de fallos explotados conocidos, KEV. La agencia estadounidense explica que las añade por disponer de evidencias de explotación activa. Los registros corresponden a GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH e IBM Aspera Faspex y señalan el 12 de noviembre de 2026 como fecha límite de actuación federal.
Los identificadores son CVE-2026-102895 para GPUStack, CVE-2026-116779 para FreeSwitch, CVE-2026-123158 para OpenSSH y CVE-2026-123218 para Aspera Faspex. El aviso describe problemas de autenticación, inyección de código, tratamiento de valores de retorno y autorización, respectivamente. La inclusión reúne cuatro entradas bajo una misma decisión de priorización.
A quién se aplica el plazo
El aviso remite a la directiva BOD 26-04, dirigida a las agencias del poder ejecutivo civil federal de Estados Unidos. CISA anima a otras organizaciones a priorizar también los fallos del catálogo, pero esa recomendación no convierte el 12 de noviembre en una obligación general de esa directiva para cualquier empresa o usuario.
El marco exige evaluar la exposición de los activos y priorizar determinadas vulnerabilidades de alto riesgo, incluidas las que afectan a sistemas accesibles públicamente y permiten tomar su control tras la explotación. La actuación aplicable depende de los criterios de la directiva y de cada activo; el nombre de un producto, por sí solo, no describe toda su exposición.
Corregir y comprobar son tareas diferentes
Las cuatro nuevas entradas marcan como requerida la evaluación forense prevista en la BOD 26-04. Su guía distingue entre no hallar evidencia de compromiso, sospecharlo y confirmarlo. Por tanto, instalar una corrección y determinar si hubo una intrusión son comprobaciones distintas.
El catálogo indica que deben aplicarse las mitigaciones conforme a las instrucciones del fabricante y al marco federal correspondiente. También recoge pautas para servicios en la nube o la retirada del producto cuando no haya mitigaciones disponibles.
En los cuatro registros, el uso conocido en campañas de ransomware figura como desconocido. Esa etiqueta no significa que se haya descartado ese uso: es el estado de información publicado por CISA. Tampoco la inclusión en KEV identifica por sí sola a víctimas concretas o demuestra que todas las instalaciones de esos productos estén comprometidas.
