Actualizado el
En octubre de 2025 CISA añadió cinco vulnerabilidades explotadas, con Oracle EBS al frente; meses después llegó otro fallo crítico en EBS.
El 20 de octubre de 2025, la agencia estadounidense CISA añadió cinco vulnerabilidades a su catálogo de vulnerabilidades explotadas conocidas (KEV). Los fallos afectaban a Oracle E-Business Suite, al cliente SMB de Windows, a Kentico Xperience y, según el texto de algunas fuentes, a JavaScriptCore de Apple.
Conviene ordenar la lista, porque las fuentes no coinciden del todo. Security Affairs reproduce el listado con CVE-2022-48503 (Apple), CVE-2025-2746 y CVE-2025-2747 (Kentico), CVE-2025-33073 y CVE-2025-61884. Aquí nos quedamos con lo que todas respaldan: Oracle, Windows, Kentico y, probablemente, Apple.
El caso más delicado es Oracle EBS. CVE-2025-61884 (CVSS 7.5) es una falsificación de peticiones del lado del servidor, explotable de forma remota sin autenticación, y afecta a las versiones 12.2.3 a 12.2.14. Oracle lo parcheó el 11 de octubre. Como cuenta SecurityWeek, su boletín no decía que se estuviera explotando; fue CISA quien lo confirmó nueve días después. Se había creído que coincidía con CVE-2025-61882, pero parece un fallo distinto.
Ese otro, CVE-2025-61882 (CVSS 9.8), permite ejecutar código sin autenticación. Google Threat Intelligence y Mandiant detectaron decenas de organizaciones vulneradas y atribuyeron parte de la actividad a actores que probablemente operan hoy bajo la marca de extorsión Cl0p. Entre las víctimas de la campaña más amplia, SecurityWeek menciona a Harvard y American Airlines, y recoge que una prueba de concepto se filtró poco después de hacerse pública la campaña.
Los otros tres son más antiguos de lo que sugiere el titular. El de Windows SMB, CVE-2025-33073 (CVSS 8.8), una escalada de privilegios, tenía parche desde junio de 2025. Los dos de Kentico, CVE-2025-2746 y CVE-2025-2747, saltos de autenticación en el servidor de sincronización de Staging con CVSS 9.8 cada uno, se corrigieron en marzo de 2025. Es decir: meses entre parche y explotación confirmada, justo la ventana en la que más se gana parcheando.
¿Y después? Un año más tarde, la historia se repite. Según BleepingComputer, otro fallo crítico de EBS, CVE-2026-46817 (CVSS 9.8, en el componente de transmisión de ficheros de Oracle Payments), parcheado en mayo de 2026, empezó a explotarse hacia el 30 de junio de 2026, según la firma Defused. Shadowserver contaba unas 950 instancias EBS expuestas en internet, sin datos sobre cuántas estaban ya parcheadas.
Nuestra lectura: Oracle EBS se ha convertido en un objetivo recurrente porque guarda datos valiosos y a menudo está expuesto a internet. El catálogo KEV sirve de lista de prioridades incluso fuera del sector público: si usas EBS, SMB o Kentico, lo razonable es parchear sin esperar a una alerta, y no tener la aplicación expuesta si no hace falta.
Artículos relacionados de LaRebelión
GLM-5.3, el modelo abierto chino que se acerca a Mythos en exploits
Fallo crítico en FortiMail explotado: CISA lo añade al catálogo KEV
GitLab corrige un fallo crítico 9.9 en su AI Gateway autoalojadoFuente original: The Hacker News
Elaborado con apoyo de IA y revisado por la redacción
Comentarios
Publicar un comentario