La Agencia de Seguridad Cibernética e Infraestructura de Estados Unidos (CISA) incluyó el 9 de noviembre de 2026 tres vulnerabilidades en su directorio de vulnerabilidades ya explotadas: las de GPUStack, SignalWire FreeSWITCH y IBM Aspera Faspex. Los plazos de respuesta para los tres registros son todos hasta el 12 de noviembre. En la misma actualización también se añadió la vulnerabilidad OpenSSH CVE-2026-123158, la cual ha sido reportada por Global Tech Live y no se incluyen aquí sus detalles técnicos. CISA confirmó que existen evidencias reales de explotación de estas vulnerabilidades, aunque el directorio no revela información sobre los atacantes, víctimas, escala de actividades o fechas específicas de explotación; las tres vulnerabilidades tienen una puntuación CVSS 3.1 base de 9.8, indicando gravedad técnica pero no número de usos ni alcance de impacto.

Problema de confianza en bucle local de GPUStack

La declaración de seguridad oficial de GPUStack indica que las versiones anteriores a la 2.2.0, cuando el valor predeterminado de force_auth_localhost es falso, elevan solicitudes provenientes de direcciones de bucle local a privilegios de administrador incorporados. Existen dos rutas registradas para solicitudes externas que pueden ser malinterpretadas como 127.0.0.1: una proxy inverso en la misma máquina redirigiendo tráfico remoto a GPUStack mediante un par TCP local, o un cliente falsificando el encabezado de solicitud X-GPUStack-Real-IP. La clave del problema no es que los atacantes ya posean credenciales administrativas, sino que el sistema interpreta incorrectamente la fuente de red como señal de autenticación; ambas rutas finalmente hacen que la aplicación trate solicitudes remotas como si fueran solicitudes de administrador local.

El fabricante indica que el uso de cualquiera de estas rutas permite enumerar o modificar usuarios, modelos, nodos de trabajo y configuraciones, crear claves API de administrador válidas a largo plazo y leer credenciales de nodos de trabajo y servicios en la nube; combinado con una función especial de importación del backend dedicada a administradores, permite ejecutar código en los nodos de trabajo. Estos efectos provienen de la declaración de GPUStack y no representan resultados que ocurran necesariamente en todas las implementaciones. La versión 2.2.0 eliminó la ruta automática de administrador de bucle local y fortaleció el manejo de encabezados reenviados, considerando como afectadas todas las versiones anteriores a la 2.2.0. GPUStack también informó haber observado ataques en el campo utilizando esta vulnerabilidad, aunque no reveló el número total de víctimas ni la escala de las actividades.

Ruta de procesamiento de mensajes de FreeSWITCH

La divulgación de SignalWire muestra que el procesamiento de mensajes SIP entrantes en FreeSWITCH se divide en el carácter más en la campo To, tratando el contenido a la izquierda como nombre del protocolo de chat. La interfaz API de chat registrada por mod_dptools pasa posteriormente la dirección a una función de ejecución de comandos, permitiendo así que quien pueda enviar mensajes MESSAGE a un perfil SIP afectado elija los comandos de la API de FreeSWITCH que se ejecutarán en el servidor. Los comandos se ejecutan con los privilegios del proceso FreeSWITCH y pueden provocar divulgación de configuraciones y credenciales, control de llamadas y ejecución de comandos del sistema operativo.

Esta vulnerabilidad afecta a las versiones 1.11.2 e inferiores, siendo considerada como corregida en las versiones 1.11.3 y posteriores. El umbral de autenticación no puede resumirse como que no se requiere cuenta en todos los escenarios: el fabricante indica que en configuraciones comunes afectadas, una sola cuenta de perfil es suficiente, mientras que usuarios del directorio estándar sin materiales de contraseña reducen aún más el umbral. La divulgación también especifica que los perfiles internos y externos por defecto procesan mensajes de chat, a menos que se establezca explícitamente enable-chat=false; el fabricante confirma que este camino ha sido observado en uso en el salvaje.

El aviso de Aspera conserva el conflicto sobre privilegios

El aviso de IBM describe CVE-2026-123218 como una omisión de autorización en Aspera Faspex 5: un atacante puede crear mensajes específicos para obtener privilegios administrativos completos. IBM enumera como afectadas las versiones 5.0.0 a 5.0.19 y señala como versión corregida 5.0.19 PL1 para Linux; también exige verificar que la imagen del contenedor faspex-core corresponda al Fix Pack 1 de 5.0.19. El apartado de mitigación indica que no existe una solución temporal, de modo que la vía pública de corrección del proveedor es actualizar. IBM publicó inicialmente el aviso de seguridad el 7 de noviembre y CISA añadió la vulnerabilidad al catálogo KEV el 9 de noviembre.

El mismo aviso de IBM contiene un conflicto interno no resuelto sobre los requisitos previos para explotar la vulnerabilidad. El resumen y el cuerpo usan respectivamente las expresiones authenticated user y authorized user, lo que apunta a que el atacante ya debe cumplir alguna condición de acceso; sin embargo, el vector CVSS 3.1 de la misma página incluye PR:N, que indica que no se necesitan privilegios previos. Los materiales disponibles no bastan para decidir cuál de las dos descripciones es correcta, por lo que este artículo conserva ambas y no presenta la vulnerabilidad de Aspera como confirmadamente explotable por un atacante remoto sin autenticar.

Plazos de tratamiento y límites de evidencia

CISA ha registrado tres entradas con actividades de ransomware conocidas, todas clasificadas como Unknown, no se puede reescribir como confirmación de existencia o no existencia de utilización de ransomware. Los directorios requieren mitigación según las indicaciones del fabricante, evaluación de exposición a Internet según BOD 26-04, y ejecución de requisitos de derivación forense; en situaciones aplicables, si no hay medidas de mitigación disponibles, se debe dejar de usar el producto según las directrices pertinentes. El 12 de noviembre es la fecha límite establecida por el directorio para este lote de entradas, no es un compromiso del fabricante de que todos los clientes completarán las actualizaciones antes de esa fecha. La misma fecha límite tampoco significa que los tres huecos de seguridad compartan las mismas condiciones de activación o pasos de tratamiento.

Análisis editorial: Los tres huecos de seguridad se encuentran en la gestión de infraestructura de inteligencia artificial, servidores de comunicación y sistemas de transferencia de archivos empresariales, pero el riesgo común radica en la confianza incorrecta en los límites de autenticación, autorización o distribución de mensajes. El estado KEV eleva la prioridad del tratamiento, pero no puede demostrar que cada instancia expuesta haya sido comprometida; después de implementar las versiones corregidas, si es necesario ampliar la investigación aún debe basarse en los requisitos forenses de CISA y en la evidencia local. Los metadatos públicos de SecurityWeek confirmaron independientemente las nuevas entradas de CISA y sus fechas de publicación; las condiciones técnicas, versiones e información de mitigación de este artículo se basan exclusivamente en los materiales de CISA y de tres fabricantes.