CISA suma cuatro CVE críticas al catálogo KEV

CISA incorporó el 18 de agosto de 2026 cuatro vulnerabilidades explotadas activamente, una en Apple macOS Screen Sharing, una en Microsoft IKE, una en Microsoft SharePoint y una en VMware vCenter, a su catálogo Known Exploited Vulnerabilities. La agencia fijó para el 21 de agosto de 2026 el plazo de remediación para entidades federales de Estados Unidos en los casos que corresponden a esa directiva.

¿Qué vulnerabilidades fueron agregadas al KEV?

CISA añadió CVE-2026-65400, CVE-2026-33824, CVE-2026-55040 y CVE-2026-59310, todas reportadas como explotadas activamente. Según las coberturas técnicas reunidas, la lista incluye un bypass de autenticación en macOS Screen Sharing, una falla de double free en Microsoft Internet Key Exchange Service Extensions, una vulnerabilidad en Microsoft SharePoint y un path traversal crítico en Broadcom VMware vCenter Syslog Server.

En el caso de CVE-2026-33824, Ciberplaneta informó que se trata de una vulnerabilidad crítica de doble liberación que permite ejecución remota de código sin autenticación previa. Penligent también la describió como una falla de ejecución remota de código previa a autenticación en Windows IKE Extensions y confirmó que CISA la agregó al KEV el 18 de agosto de 2026 como vulnerabilidad explotada activamente.

Sobre CVE-2026-59310, f4n6 indicó que es una vulnerabilidad crítica de path traversal con CVSS 9.8 en Broadcom VMware vCenter Syslog Server. SecurityWeek sumó que CISA colocó esa falla, junto con los issues de Microsoft y Apple, en el catálogo KEV y urgió el parcheo inmediato.

¿Qué se sabe del caso de Apple?

CVE-2026-65400 fue tratada como una falla crítica de bypass de autenticación en macOS Screen Sharing, con CVSS 9.8 y explotación activa, y CISA la sumó al KEV el 18 de agosto de 2026. Tanium señaló además que la puntuación CVSS fue revalorizada a 9.8 el 14 de agosto y que el plazo federal de remediación quedó establecido para el 21 de agosto.

El aviso del Canadian Centre for Cyber Security precisó el alcance de parcheo para macOS Tahoe 26.x antes de 26.6.1, macOS Sequoia 15.x antes de 15.7.9 y macOS Sonoma 14.x antes de 14.8.9. Esa misma alerta canadiense confirmó que CISA agregó CVE-2026-65400 a su base KEV.

¿Qué dijeron los organismos de la región?

El Gabinete de Segurança Institucional de Brasil, a través de CTIR.GOV, emitió la alerta 68/2026 sobre una vulnerabilidad en Microsoft Internet Key Exchange Service Extensions. En ese aviso, el organismo recordó que la inclusión en el catálogo KEV se basa en evidencia confiable de explotación activa y en la disponibilidad de correcciones por parte del fabricante.

Esa advertencia regional sirve como referencia operativa para equipos de América Latina que administran entornos con Microsoft, Apple o VMware. El propio material técnico citado por CISA y por medios especializados ubica las cuatro fallas en productos de uso extendido y con parcheo prioritario.