La CISA (Agencia de Seguridad de la Infraestructura y Ciberseguridad de EE. UU.) emitió una advertencia clara: se están aprovechando vulnerabilidades explotadas en tres productos de uso común en entornos empresariales y de monitorización. Según la agencia, los fallos ya han sido incorporados a su catálogo de Known Exploited Vulnerabilities (KEV), lo que eleva la prioridad de remediación.
En concreto, la CISA señala impactos en IBM Langflow OSS, N-able N-central y Apache Tomcat. Para los equipos responsables de parches, esto implica una necesidad inmediata: revisar exposición, actualizar versiones y verificar que las mitigaciones estén aplicadas antes de la fecha límite indicada por la CISA.
Qué está alertando exactamente la CISA
La advertencia se centra en tres vulnerabilidades que la agencia vincula con actividad real de explotación por parte de actores maliciosos. Dos aspectos destacan en el comunicado: por un lado, el nivel de criticidad de los fallos; por otro, que varias entradas ya aparecen en el catálogo KEV, diseñado para acelerar la respuesta ante amenazas activas.
La CISA insta a las agencias federales a corregir estos problemas con rapidez, alineándose con requisitos operativos internos para la fecha del 7 de agosto. Aunque el mandato se dirige a organismos federales, el mensaje para el resto del sector es igualmente relevante: si hay explotación en curso, la ventana de exposición se reduce drásticamente.
Langflow OSS: encadenamiento de fallos para ejecución remota
La primera vulnerabilidad identificada corresponde a IBM Langflow OSS y está registrada como CVE-2026-9198, con una puntuación CVSS de 9.8, lo que la coloca en el rango más alto de riesgo.
El problema permite que un atacante sin autenticación encadene dos puntos de la interfaz para alcanzar ejecución de código remoto. En otras palabras, no se trata de un único fallo aislado, sino de una combinación que mejora la capacidad del atacante para lograr impacto efectivo.
De acuerdo con IBM, el encadenamiento funciona así: por un lado existe un endpoint sin autenticación capaz de emitir tokens de superusuario a cualquier llamador en red. Por otro lado, hay un endpoint encargado de validar código que, bajo las condiciones del defecto, ejecuta código Python arbitrario.
IBM también describe el flujo de ataque: el adversario primero obtiene el token de superusuario desde un mecanismo de acceso automático, y luego usa ese token para enviar código malicioso al endpoint de validación.
Impacto en despliegues por defecto y respuesta del proveedor
El defecto se divulgó el 17 de julio. Tras esa divulgación, IBM liberó parches para Langflow OSS en la versión 1.10.1. La advertencia del fabricante es especialmente importante para operaciones: todas las configuraciones por defecto estarían afectadas.
Además, aproximadamente una semana después de la publicación pública, apareció un código de prueba de concepto dirigido al defecto. Esto suele aumentar la probabilidad de adopción por parte de atacantes, ya que reduce el tiempo necesario para desarrollar explotación funcional.
Finalmente, el 4 de agosto, la CISA incorporó el CVE-2026-9198 al catálogo KEV. Para equipos de TI, esto es una señal de que el riesgo no es teórico: hay evidencia de explotación activa o al menos un seguimiento estrecho del caso.
N-able N-central: bypass de autenticación y acceso administrativo
La segunda vulnerabilidad marcada como explotada en el aviso corresponde a N-able N-central y está registrada como CVE-2026-18556, con una CVSS de 7.4. El fallo se describe como un bypass de autenticación.
Según N-able, actores de amenazas explotaron esta debilidad como un zero-day para obtener acceso administrativo. Con ese nivel de acceso, los atacantes pueden conectarse y operar sobre sistemas gestionados mediante la plataforma de remote monitoring and management (RMM), es decir, el canal de administración remota que muchos entornos usan para mantener visibilidad y control.
Parche inicial incompleto y nueva corrección
El proveedor indica que la corrección inicial del CVE-2026-18556 resultó incompleta. En consecuencia, los atacantes pudieron eludir el parche.
Cuando la explotación se intensificó hacia finales de julio, N-able implementó un hotfix y emitió un nuevo identificador para el bypass: CVE-2026-18577. Tanto CVE-2026-18556 como CVE-2026-18577 ya aparecen en la lista KEV de la CISA.
En términos prácticos, esto significa que no basta con “aplicar el parche más reciente” de manera genérica: hay que confirmar qué versión específica fue actualizada y que el hotfix correspondiente está instalado.
Apache Tomcat: bypass en EncryptInterceptor
El tercer caso incluido en el aviso es Apache Tomcat, con la vulnerabilidad registrada como CVE-2026-34486 y una CVSS de 7.5. Aquí el problema se describe como un bypass en EncryptInterceptor.
De acuerdo con la información divulgada, el fallo fue corregido en abril, pero fue introducido en marzo junto con otro cambio asociado a CVE-2026-29146, una cuestión de tipo padding oracle en el componente EncryptInterceptor.
Este interceptor es opcional y se usa para cifrar mensajes que se transmiten entre nodos en clusters de Tomcat. El riesgo surge cuando, debido al defecto, el comportamiento de manejo ante fallos de descifrado no sigue las expectativas de seguridad.
Por qué el fallo afecta a la ejecución remota
Una explicación aportada por StrigaAI señala que el arreglo movió una única línea de código. Sin embargo, ese cambio transformó la capa de cifrado de un modo fail-closed a uno fail-open.
En consecuencia, se abre una vía directa para ejecución de código remota sin autenticación para miembros del cluster. La descripción indica que, en despliegues con EncryptInterceptor configurado, solo los mensajes cifrados con una clave compartida deberían descifrarse y pasar a la capa de deserialización.
Pero por el bypass, cuando el descifrado falla, el código controlado por el atacante puede enviarse a la cadena del interceptor sin modificación, llegando así hasta el procesamiento que permite impacto posterior.
Señales de explotación en el entorno real
Además de la inclusión en el catálogo KEV, el caso de Tomcat ha recibido alertas de terceros sobre explotación. SOCRadar advirtió que el CVE-2026-34486 habría sido aprovechado por un actor de amenazas chino en campañas con la familia de malware Snowlight.
Por su parte, Palo Alto Networks observó el aprovechamiento del fallo por parte de hackers chinos dentro de una campaña de intrusión con componentes descritos como habilitados por inteligencia artificial y orientados a la automatización.
Estas referencias no sustituyen el análisis técnico de impacto, pero refuerzan una idea: cuando se trata de vulnerabilidades explotadas, la respuesta debe ser rápida y coordinada.
Qué deben hacer los equipos de TI y seguridad ahora
Si su organización utiliza cualquiera de estas plataformas, la recomendación es actuar con prioridad. Empiece por identificar exposición: ¿qué instancias están desplegadas, qué versiones están instaladas y qué interfaces de red están accesibles?
- Revisar versiones y aplicar parches: para Langflow OSS, el caso apunta a la corrección en 1.10.1; para N-central y Tomcat, verifique los parches asociados a los CVE mencionados.
- Confirmar remediación real: en N-central, hay evidencia de que el parche inicial fue insuficiente, por lo que debe verificarse que la corrección completa (incluyendo la asociada a CVE-2026-18577) esté instalada.
- Validar configuración: en Tomcat, el riesgo descrito se vincula a despliegues con EncryptInterceptor configurado. Revise si lo están usando en su cluster.
- Priorizar según KEV: dado que los tres fallos aparecen en KEV, deben ocupar un lugar alto en su plan de corrección y control de cambios.
Por último, si cuentan con monitoreo y telemetría, busquen señales asociadas a explotación: patrones de acceso inusuales, intentos repetidos a endpoints relevantes, y actividades que indiquen intentos de ejecución o escalamiento de privilegios.
Conclusión
La advertencia de la CISA pone el foco en vulnerabilidades explotadas en IBM Langflow OSS, N-able N-central y Apache Tomcat. Los tres casos incluyen evidencia de abuso, han sido incorporados al catálogo KEV y requieren acciones de remediación con fecha límite para agencias federales, con un mensaje extensible al resto del ecosistema.
La mejor defensa en este escenario es la combinación de parche oportuno, verificación de versiones y revisión de configuración. Cuanto antes se reduzca la superficie de ataque, menos margen tendrán los actores maliciosos para convertir estas debilidades en incidentes reales.
Fuente: https://www.securityweek.com/cisa-warns-of-exploited-langflow-n-central-and-tomcat-vulnerabilities/
