El sitio puede seguir funcionando mientras el panel, el correo o la administración de la red tienen correcciones pendientes. Al cerrar septiembre, la revisión debe incluir los avisos de los días 29 y 30: una actualización hecha la semana anterior puede dejar fuera problemas publicados después.
Este panorama cubre avisos iniciales del 1 de julio al 30 de septiembre de 2026. La revisión editorial es del 1 de octubre. Reúne ocho casos con puntuación verificable de al menos 5.0 y, por separado, tres avisos de cPanel cuya puntuación no pudimos confirmar. Es una selección útil para mantenimiento, no un censo del trimestre ni una clasificación de los fabricantes más inseguros.
Se conservan los seis casos de la primera versión y se incorporan Cisco ISE y SD-WAN Manager. ISE ya tenía un aviso del 16 de septiembre; SD-WAN se anunció el día 30. Los tres avisos adicionales de WHM son del 29. Para quien administra hosting, la consecuencia práctica es revisar tanto la compilación del panel como sus componentes, incluido WP Toolkit.
| CVE y producto | Puntuación publicada | KEV al 30 de septiembre |
|---|---|---|
| CVE-2026-20191 Cisco Catalyst Center | 7.5 · Alta CVSS 3.1 | No incluido; no descarta explotación |
| CVE-2026-20316 Cisco Secure Firewall Management Center | 5.3 · Media CVSS 3.1 | Incluido: 2026-07-29 |
| CVE-2026-67401 cPanel & WHM · EmailTrack | 9.9 · Crítica CVSS 3.0 | No incluido; no descarta explotación |
| CVE-2026-76460 Cisco ISE e ISE-PIC | 10.0 · Crítica CVSS 3.1 | Incluido: 2026-09-16 |
| CVE-2026-87899 cPanel & WHM · CalDAV/CardDAV | 9.4 · Crítica CVSS 4.0 | No incluido; no descarta explotación |
| CVE-2026-68490 cPanel & WHM · permisos de calendarios | 8.2 · Alta CVSS 4.0 | No incluido; no descarta explotación |
| CVE-2026-87900 WP Toolkit para cPanel | 9.4 · Crítica CVSS 4.0 | No incluido; no descarta explotación |
| CVE-2026-76504 Cisco Catalyst SD-WAN Manager | 9.8 · Crítica CVSS 3.1 | Incluido: 2026-09-30 |
Explotación: catálogo KEV de CISA, versión 2026.09.30 (abre en otra pestaña). Consultado el 1 de octubre. Incluye los casos de FMC, ISE y SD-WAN Manager de esta selección. La ausencia de otro identificador no demuestra ausencia de ataques. Los plazos administrativos de CISA no se presentan como obligaciones de tu empresa en México.
Leer archivos no es lo mismo que controlar todo el equipo
CVE-2026-20191 · Cisco Catalyst Center · 7.5 / CVSS 3.1 · aviso inicial 2026-07-01
Cisco documentó lectura arbitraria de archivos sin autenticación dentro de un contenedor restringido de Catalyst Center. El alcance debe conservarse: no afirmamos acceso a cualquier archivo de toda la infraestructura ni ejecución de comandos, porque el aviso describe una exposición de lectura con ese límite.
Las correcciones varían por plataforma. Para la rama 3.1 se identifica 3.1.6 GSMU 200; en VMware ESXi, la rama 2.3.7 tiene 2.3.7.11-VA GSMU 100. La matriz incluye otras variantes. Comprueba si tu despliegue es físico, virtual o de nube antes de seleccionar el paquete.
El aviso no reportaba uso malicioso conocido en la revisión consultada. Como criterio editorial, revisa qué información podría estar dentro del componente y quién puede alcanzar su interfaz de administración. No necesitas demostrar una intrusión para corregir una exposición confirmada, pero tampoco debes anunciar una fuga que no hayas comprobado.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-07-01. CNA: cisco. Se conserva la puntuación publicada, sin recalcularla.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
El 5.3 que muestra por qué no basta ordenar por puntuación
CVE-2026-20316 · Cisco Secure Firewall Management Center · 5.3 / CVSS 3.1 · aviso inicial 2026-07-29
FMC contenía credenciales estáticas de una cuenta de pocos privilegios que permitían acceso a información sensible. Cisco confirmó explotación en julio. Aunque CVSS 3.1 lo sitúa en gravedad media con 5.3, el fabricante lo clasifica alto porque puede combinarse con otras fallas para elevar privilegios. Es una diferencia explícita del aviso, no una valoración inventada por Acinsoft.
La revisión del 16 de septiembre recomienda versiones reforzadas como 7.0.10, 7.2.12, 7.4.8, 7.6.6 y otras de su matriz. Sustituye las referencias iniciales a hot fixes por esas rutas. Cisco advierte que los parches previenen explotación futura, pero pueden no resolver un compromiso existente; si hay indicios, corresponde seguir su orientación de recuperación.
No publiques la interfaz administrativa en Internet sin una necesidad y controles revisados. Esa reducción de exposición no sustituye el parche. CISA también incluye este CVE; la explotación confirmada es una razón concreta para adelantar su revisión frente a otros pendientes cuya puntuación sea más alta pero no apliquen a tu entorno.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-07-29. CNA: cisco. Se conserva la puntuación publicada, sin recalcularla.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Una cuenta con correo puede alcanzar el control del servidor
CVE-2026-67401 · cPanel & WHM · EmailTrack · 9.9 / CVSS 3.0 · aviso inicial 2026-09-08
cPanel informó de una inyección SQL en EmailTrack que podía permitir ejecución de código como root desde una cuenta con funciones de correo habilitadas. No es un simple problema de lectura de estadísticas del correo. La separación entre una cuenta de cliente y la administración del servidor es precisamente la frontera que puede romperse.
El fabricante publicó correcciones 11.110.0.143, 11.134.0.55, 11.136.0.39 y 11.138.0.4; WP Squared tiene 11.138.1.9. Son mínimos históricos por rama. Los avisos posteriores de septiembre requieren correcciones adicionales, por lo que conviene evaluar todos los que correspondan antes de fijar una única ventana de actualización.
El registro usa CVSS 3.0 y publica 9.9. Conservamos esa versión en lugar de etiquetarlo como 3.1 o 4.0. No aparece en la copia KEV consultada, lo que no demuestra que nadie lo haya aprovechado. Para un hosting compartido, el requisito de tener una cuenta no es un motivo suficiente para postergar su revisión.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-09-09. CNA: hackerone. Se conserva la puntuación publicada, sin recalcularla.
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
ISE: revisar el acceso y las señales de intrusión
CVE-2026-76460 · Cisco ISE e ISE-PIC · 10.0 / CVSS 3.1 · aviso inicial 2026-09-16
Cisco documenta una omisión de autenticación en una API de ISE e ISE-PIC, con explotación activa y puntuación 10.0 en CVSS 3.1. Afecta al producto con independencia de su configuración. El atacante puede obtener acceso no autorizado; el aviso también advierte que una explotación exitosa puede permitir comandos con privilegios root.
La matriz identifica ISE 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 y 3.5 Patch 4 como primeras correcciones de sus ramas. Cisco recomienda migrar desde 3.0 a una rama soportada. Restringir el tráfico administrativo mediante listas de acceso es una mitigación temporal, no la corrección.
CISA lo incorporó a KEV el 16 de septiembre. Si existe este producto, revisa cada nodo y los registros externos al dispositivo: Cisco advierte que un atacante podría ocultar evidencia local. Ante sospecha de actividad maliciosa, sigue su proceso de recuperación. Este caso se incorpora ahora a la selección; no es un aviso nuevo del último día del trimestre.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-09-16. CNA: cisco. Se conserva la puntuación publicada, sin recalcularla.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Calendarios y contactos también forman parte del servidor
CVE-2026-87899 · cPanel & WHM · CalDAV/CardDAV · 9.4 / CVSS 4.0 · aviso inicial 2026-09-22
El aviso describe una elevación de privilegios desde una cuenta autenticada mediante las funciones CalDAV y CardDAV, utilizadas para calendarios y contactos. El resultado posible es ejecutar código como root. Aunque estas funciones parezcan secundarias frente al sitio web, pertenecen al mismo entorno de administración y deben entrar en el inventario de seguridad.
cPanel señala la familia v120 en adelante hasta sus correcciones por rama: 11.134.0.57, 11.136.0.41 y 11.138.0.8; para WP Squared, 11.138.1.11. No interpretes «v120 en adelante» como que una versión ya parcheada continúa necesariamente afectada. Contrasta la compilación completa con la matriz.
El aviso es del 22 de septiembre y el registro CVE se publicó el 23. Su puntuación 9.4 corresponde a CVSS 4.0. La fuente no basta para afirmar que tu servidor fue atacado; sí justifica comprobar de inmediato si la versión instalada está cubierta por la corrección.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-09-23. CNA: hackerone. Se conserva la puntuación publicada, sin recalcularla.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Mismo componente, una consecuencia diferente
CVE-2026-68490 · cPanel & WHM · permisos de calendarios · 8.2 / CVSS 4.0 · aviso inicial 2026-09-22
Este segundo aviso de calendarios y contactos trata permisos incorrectos: un usuario local podía leer datos de otras cuentas en el mismo servidor. cPanel aclara que esta falla no permite modificar esos datos ni obtener acceso root. Mantener ese límite evita que dos avisos cercanos se conviertan en una sola alarma exagerada.
Las versiones corregidas son 11.134.0.57, 11.136.0.41 y 11.138.0.8; WP Squared 11.138.1.11. La actualización ajusta los permisos para almacenamiento nuevo y repara los de las cuentas existentes. El responsable debe comprobar que se completó, no limitarse a observar que el servicio continúa respondiendo.
La gravedad publicada es alta: 8.2 en CVSS 4.0. En un alojamiento con varias cuentas, la confidencialidad de agendas y directorios merece atención aunque el sitio no se caiga. La prioridad concreta depende de las cuentas, los accesos locales y los datos presentes, no de imaginar una consecuencia que el fabricante descartó para este CVE.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-09-23. CNA: hackerone. Se conserva la puntuación publicada, sin recalcularla.
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
Actualizar WordPress no actualiza necesariamente su herramienta de administración
CVE-2026-87900 · WP Toolkit para cPanel · 9.4 / CVSS 4.0 · aviso inicial 2026-09-22
WP Toolkit es una herramienta para administrar instalaciones de WordPress; no es el núcleo de WordPress. El registro describe inyección de argumentos que permite a usuarios autenticados leer archivos o ejecutar código entre cuentas de clientes. El aviso de cPanel sitúa el problema en la creación de bases de datos. Por eso, un WordPress al día no demuestra que su herramienta de administración también esté corregida.
Las versiones afectadas llegan hasta WP Toolkit 6.11.2-10794. El fabricante pide actualizar a 6.11.3 o posterior; el registro identifica la compilación corregida 6.11.3-10850. Verifica por separado la versión de WP Toolkit y la del panel. No asumimos que cualquier actualización de uno haya actualizado automáticamente el otro.
El aviso inicial es del 22 de septiembre y el registro CVE se publicó el 23. Conservamos 9.4 en CVSS 4.0, declarado por el CNA. La revisión debe comprobar por separado el aislamiento entre cuentas y la actualización de WP Toolkit; estos datos no demuestran una intrusión en tu servidor.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-09-23. CNA: hackerone. Se conserva la puntuación publicada, sin recalcularla.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
El cierre del trimestre también trajo una falla explotada
CVE-2026-76504 · Cisco Catalyst SD-WAN Manager · 9.8 / CVSS 3.1 · aviso inicial 2026-09-30
El 30 de septiembre, Cisco publicó CVE-2026-76504: una falla en la autenticación de la API de SD-WAN Manager permite acceso remoto sin autenticación previa con privilegios de administrador. Tiene 9.8 en CVSS 3.1 y explotación activa confirmada por Cisco. CISA lo incorporó a KEV ese mismo día.
Las primeras versiones corregidas son 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 y 26.2.1, según la rama; las anteriores a 20.9 requieren migración. Cisco no ofrece una solución temporal que corrija la falla. Restringir el acceso a equipos de confianza reduce exposición mientras se aplica la actualización.
Para Cisco SD-WAN Cloud administrado por Cisco, el aviso identifica la corrección 20.15.605 y señala que no se requiere intervención del usuario. Confirma la modalidad del servicio antes de asignar una tarea. En instalaciones propias, revisa también los indicadores del aviso: actualizar no acredita por sí solo que no hubo acceso previo.
Aviso oficial y correcciones (abre en otra pestaña) · Registro oficial CVE y puntuación (abre en otra pestaña)
Consultar fecha del registro, emisor y vector técnico
Registro CVE publicado: 2026-09-30. CNA: cisco. Se conserva la puntuación publicada, sin recalcularla.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Tres avisos del 29 de septiembre que cambian la revisión del hosting
cPanel publicó estos tres avisos con impacto y versiones corregidas. Sus registros no estuvieron disponibles en la API oficial CVE durante esta consulta; los avisos tampoco muestran una puntuación CVSS. Por eso se presentan aparte de los ocho casos puntuados, sin asignarles gravedad numérica ni afirmar que cumplen el umbral de 5.0.
CVE-2026-93698 · Multilang adminbin: ejecución como root
cPanel describe validación insuficiente en Multilang adminbin que permite ejecutar comandos y alcanzar privilegios root. El impacto abarca el servidor y sus cuentas. El aviso leído no precisa todos los requisitos de acceso del atacante; no lo presentamos como ataque remoto sin autenticación.
Aviso oficial de cPanel · 29 de septiembre (abre en otra pestaña)
CVE-2026-93697 · Modificación de cuentas: scripts en la sesión de WHM
El XSS almacenado en las interfaces de modificación de cuentas permite a una cuenta sin privilegios administrativos introducir un script que se ejecute en la sesión de un administrador de WHM. Puede realizar acciones como ese usuario; no equivale a afirmar ejecución directa de comandos root sin interacción.
Aviso oficial de cPanel · 29 de septiembre (abre en otra pestaña)
CVE-2026-93029 · Manage SSL Hosts: otra interfaz con XSS almacenado
Este aviso afecta a Manage SSL Hosts y describe scripts ejecutados en el contexto de la sesión del administrador de WHM desde una cuenta sin privilegios. Comparte el tipo de impacto y las versiones corregidas con el caso anterior, pero afecta a otra interfaz y conserva su propio identificador.
Aviso oficial de cPanel · 29 de septiembre (abre en otra pestaña)
Los tres avisos identifican las mismas primeras correcciones: 11.110.0.148, 11.134.0.61, 11.136.0.45 y 11.138.0.11; para WP Squared, 11.138.1.13. Comprueba la rama y la compilación completa. Estos mínimos son posteriores a los de los avisos del 8 y 22 de septiembre: haber instalado aquellos parches no basta para dar por atendidos los del 29.
Ninguno de estos tres identificadores aparece en KEV 2026.09.30. Eso no demuestra que no existan ataques. Tampoco la falta de una puntuación confirmada justifica omitir un aviso del fabricante que sí identifica una corrección aplicable.
Si actualizaste WHM el 22 de septiembre, ¿puedes cerrar el mantenimiento del trimestre?
Ver la respuesta explicada
No sólo con esa fecha. Los avisos del 29 requieren compilaciones posteriores. Verifica la versión instalada y cada aviso aplicable; comprueba WP Toolkit por separado. Si existen indicios de intrusión, una actualización no sustituye la revisión del incidente.
Cómo convertir el cierre trimestral en trabajo verificable
Cruza la selección con tu inventario. Anota producto, rama, compilación, exposición, responsable y aviso aplicable. Si no existe el producto, registra que no aplica. Si falta acceso administrativo, pide al proveedor evidencia de la versión y del alcance de su revisión; una captura del sitio funcionando no demuestra que el panel esté corregido.
Distingue tres resultados: actualización instalada, exposición reducida e incidente investigado. Cada uno necesita su propia evidencia. Los casos explotados de Cisco merecen revisar las indicaciones del fabricante sobre recuperación; los avisos de WHM requieren confirmar las compilaciones posteriores y las funciones afectadas. Conserva respaldo y pruebas de servicio conforme al procedimiento del responsable del entorno.
Si tu sitio, correo y aplicaciones dependen de varios componentes, Acinsoft puede ayudarte a revisar tu hosting e infraestructura (abre en otra pestaña) y delimitar qué administración necesita el entorno. El primer paso es identificar servicios, responsables y versiones; el alcance se acuerda a partir de esa revisión.
Metodología: el trimestre corresponde a la fecha inicial del aviso del fabricante, no al año del identificador ni a una actualización posterior. Las puntuaciones pertenecen a sus emisores y no se promedian. Las versiones citadas son primeras correcciones históricas por rama: antes de intervenir, consulta el aviso vigente y la ruta soportada. No se escanearon sistemas de clientes ni se afirma que alguno haya sido atacado.
