La agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) actualizó el 5 de agosto de 2026 su catálogo Known Exploited Vulnerabilities (KEV) con tres vulnerabilidades, señalando que existe evidencia de explotación activa en el mundo real. En la práctica, esto significa que organizaciones con sistemas expuestos deben actuar con prioridad, porque los atacantes ya están aprovechando fallas para comprometer entornos.
En este artículo repasamos qué fallas entraron en la lista, por qué son relevantes y qué pasos deberían tomar los equipos de TI y seguridad para reducir el riesgo.
Qué significa que una falla esté “activamente explotada”
Cuando una vulnerabilidad aparece en el catálogo KEV, CISA indica que hay razones para creer que se está explotando. Para las agencias y organizaciones afectadas, el mensaje es claro: no basta con monitorear; hay que corregir, mitigar o compensar el riesgo lo antes posible.
En este caso, CISA informó además que las entidades del Gobierno Federal del Poder Ejecutivo Civil (FCEB) tienen hasta el 7 de agosto de 2026 para aplicar las correcciones necesarias.
Langflow: inyección de código que puede terminar en RCE
La primera vulnerabilidad incluida es CVE-2026-9198, con una puntuación CVSS de 9.8. Se trata de un problema de inyección de código en Langflow que permitiría a atacantes sin autenticación alcanzar ejecución remota de código (RCE) en despliegues por defecto.
Según el informe, el parche estuvo disponible en julio de 2026 y se identifica en la versión 1.10.1. Para los equipos que usan esta plataforma, el foco debe ser verificar la versión instalada, validar la exposición desde Internet y actualizar siguiendo el procedimiento del proveedor.
Apache Tomcat: cifrado faltante para proteger mensajes del clúster
La segunda entrada del catálogo KEV es CVE-2026-34486, con CVSS 7.5. Aquí la preocupación principal es una falta de cifrado de datos sensibles en Apache Tomcat.
El problema permitiría evitar EncryptInterceptor, un componente del clúster diseñado para añadir cifrado con claves precompartidas a los mensajes intercambiados entre nodos del clúster. En entornos donde hay tráfico interno entre nodos, perder esa protección puede facilitar espionaje o manipulación.
El parche se publicó en abril de 2026 con versiones corregidas: 11.0.21, 10.1.54 y 9.0.117. Para mitigar el riesgo, conviene revisar el inventario de Tomcat por versión y asegurar que el clúster esté operando con la corrección aplicada.
N-central: bypass de autenticación y un arreglo actualizado
Además de las dos fallas anteriores, CISA añadió CVE-2026-18556 (con CVSS 8.2), una vulnerabilidad de bypass de autenticación en N-able N-central.
El reporte destaca un punto operativo importante: hubo un arreglo incompleto inicialmente, lo que llevó a N-able a emitir un parche nuevo, rastreado como CVE-2026-18577 (también con CVSS 8.2).
Para las organizaciones usuarias, la recomendación práctica es doble: confirmar si ya se aplicó alguna corrección y, sobre todo, validar que el entorno esté actualizado con la versión asociada a la CVE-2026-18577.
Qué se sabe de los ataques: Langflow sin detalles, Tomcat con atribución
En el caso de Langflow (CVE-2026-9198), el informe indica que no se cuentan detalles específicos sobre cómo se está explotando la falla. Aun así, se menciona que los defectos en plataformas de desarrollo de IA de código abierto han sido aprovechados repetidamente por actores maliciosos en meses recientes.
Para Apache Tomcat (CVE-2026-34486), en cambio, sí hay más contexto. La explotación se atribuye a una campaña de intrusión impulsada por IA y orientada a objetivos en Internet, ejecutada por un actor de habla china bajo los alias knaithe y KnYuan.
De acuerdo con lo reportado, el actor estaría basado en Zhuhai, China y habría utilizado DeepSeek mediante el framework Hermes Agent como componente ofensivo para seleccionar objetivos.
De intentos fallidos a búsqueda autónoma de “valor”
El informe señala que los primeros intentos de explotar una falla distinta en Langflow, CVE-2026-33017 (también con CVSS 9.8), fracasaron por restricciones del entorno del blanco. Ante ese bloqueo, el agente de IA habría realizado investigación autónoma para encontrar otras vulnerabilidades con mejor probabilidad y mayor impacto, incluyendo fallas en n8n, como ruta para avanzar.
Operación manual y combinación de técnicas
De manera separada, se describe actividad del mismo adversario con operaciones manuales usando vulnerabilidades conocidas en varios productos y superficies de ataque. Entre los objetivos mencionados aparecen Citrix NetScaler (CVE-2026-3055), Marimo (CVE-2026-39987), Apache Tomcat (CVE-2026-34486) e IKE VPN (CVE-2026-33824).
Según una cita atribuida a Palo Alto Networks Unit 42, el actor intentó explotar más de 460 objetivos usando una combinación de técnicas autónomas y manuales. También se señala que el sistema parecía permitir que DeepSeek redujera el alcance de los objetivos para conservar recursos de cómputo.
El mismo análisis destaca un patrón: el proceso de identificación de objetivos, muestreo y ajuste de enfoque habría requerido cientos de horas de trabajo de análisis manual, pero el sistema lo ejecutó en minutos, gestionando además sus propios recursos.
Qué deberían hacer las organizaciones ahora
Dado que estas fallas activamente explotadas afectan componentes que pueden ser accesibles desde Internet (por ejemplo, aplicaciones y servicios web), la prioridad debe ser reducir superficie y eliminar vectores conocidos.
Estas acciones suelen ser las más efectivas en las primeras 48–72 horas:
- Inventariar instalaciones de Langflow, Apache Tomcat y N-able N-central, con atención especial a versiones.
- Aplicar parches según las versiones corregidas: Langflow 1.10.1; Tomcat 11.0.21 / 10.1.54 / 9.0.117; y revisar especialmente la actualización asociada a CVE-2026-18577.
- Validar exposición: revisar si hay instancias accesibles públicamente y, si es posible, restringir acceso por red.
- Revisar controles: para Tomcat, confirmar que los componentes de clúster con cifrado estén funcionando correctamente después del cambio.
- Monitorear señales de compromiso (intentos de autenticación anómalos, actividad inesperada de procesos, y tráfico entre nodos del clúster).
Conclusión: actuar antes de que el riesgo escale
La actualización de CISA al catálogo KEV deja una idea central: las fallas activamente explotadas no son teoría ni riesgo hipotético. Con evidencia de abuso en el terreno, el tiempo para corregir se vuelve un factor crítico.
Si sus sistemas incluyen Langflow, Apache Tomcat o N-able N-central, revise de inmediato versiones y aplique las correcciones correspondientes. Además, refuerce la exposición de red y el monitoreo para detectar intentos de explotación y reducir la probabilidad de impacto.
Fuente: https://thehackernews.com/2026/08/cisa-flags-langflow-rce-tomcat-and-n.html
