CISA prioriza cuatro fallas explotadas en Chrome, Cisco, Citrix y Fortinet

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) añadió el 9 de septiembre cuatro vulnerabilidades a su catálogo de fallas conocidas y explotadas: CVE-2025-25249 en productos Fortinet, CVE-2026-19490 en Citrix NetScaler, CVE-2026-87491 en Chromium V8 y CVE-2026-20079 en Cisco Secure Firewall Management Center.

La inclusión en KEV confirma evidencia de explotación real, aunque CISA no atribuyó todas las campañas ni describió sus víctimas. Para equipos defensivos, el cambio convierte fallas con fechas de divulgación distintas en una misma prioridad operativa: localizar activos expuestos, aplicar las correcciones del fabricante y comprobar si hubo actividad anterior al parche.

Google corrigió CVE-2026-87491, una escritura fuera de límites en el motor V8, en Chrome 153.0.8010.36 para Linux y 153.0.8010.36/.37 para Windows y macOS. La explotación requiere que la víctima procese contenido web preparado y puede permitir ejecución de código dentro del entorno aislado del navegador; otros navegadores basados en Chromium deben revisarse según su propio calendario de actualización.

CVE-2026-20079 tiene CVSS 10.0 y permite a un atacante remoto no autenticado eludir el acceso de Cisco Secure FMC y ejecutar comandos con privilegios de root. Cisco Talos documentó explotación que terminó en webshells, robo de credenciales, herramientas de túnel y, en uno de los grupos analizados, despliegue de ransomware. Cisco publicó hotfixes y señala que no existe una solución alternativa equivalente al parche.

CVE-2026-19490 afecta configuraciones de NetScaler ADC y Gateway que utilizan funciones Gateway o AAA y, en determinadas ramas, acciones SAML. La falla permite eludir autenticación mediante una ruta alternativa. Citrix corrigió el problema en versiones actualizadas de las ramas 14.1 y 13.1 y no ofrece una mitigación que sustituya la actualización.

CVE-2025-25249 es un desbordamiento de búfer en el heap que afecta FortiOS, FortiSwitchManager y determinados despliegues de FortiSASE. Un atacante remoto no autenticado puede enviar tráfico especialmente diseñado y llegar a ejecutar código. Las versiones corregidas varían por rama, por lo que el inventario debe compararse directamente con el aviso PSIRT de Fortinet.

La prioridad debe basarse en exposición y consecuencia: interfaces administrativas publicadas, navegadores sin actualización forzada y equipos de borde sin soporte merecen atención inmediata. El parche cierra la vía conocida, pero no elimina persistencia implantada antes de la corrección.