La Agencia de Ciberseguridad de Estados Unidos (CISA) agregó el 22 de septiembre cuatro fallos a su catálogo de vulnerabilidades explotadas (KEV). Tres le importan a cualquier empresa mexicana con sucursales o gente conectada por VPN: dos de Check Point, uno en la VPN de sus firewalls y otro en la consola de gestión, y uno en el orquestador de VeloCloud, la plataforma de SD-WAN que hoy vende Arista. El cuarto es de F5 BIG-IP APM.
Las agencias federales de EE. UU. tienen hasta hoy, 25 de septiembre, para corregirlos. A ti ese plazo no te obliga legalmente, pero te dice algo claro: los atacantes ya los están usando y el margen se acabó.
Qué entró al catálogo
| CVE | Producto | Qué permite | Gravedad |
|---|---|---|---|
| CVE-2026-85102 | Check Point Security Gateway y Spark Firewall | Ejecutar código sin credenciales a través de la VPN | CVSS 9.8 |
| CVE-2026-93616 | Check Point Security Management, Multi-Domain, Log Server y SmartEvent | Subir archivos y ejecutar código en la consola de gestión sin autenticarse | CVSS 9.8 |
| CVE-2026-93952 | Arista VeloCloud Orchestrator (on-premise) | Acceso a funciones privilegiadas del orquestador sin credenciales | CVSS 10.0 (v3.1); 9.5 en v4.0 |
| CVE-2026-94127 | F5 BIG-IP APM | Desbordamiento de memoria | Sin puntaje en el aviso de CISA |
Check Point: la VPN es la puerta
CVE-2026-85102 es el más delicado para una PyME porque vive justo en lo que expones a internet: la VPN. El equipo no valida bien los certificados durante la negociación, y un atacante remoto puede aprovecharlo para ejecutar código en el gateway. Aplica tanto a VPN sitio a sitio como a acceso remoto.
La cronología, según los resúmenes publicados por Rescana, CiberLATAM y Qualys:
- 9 de septiembre: Check Point publica las correcciones.
- 12 de septiembre: empieza una ola de intentos de explotación contra clientes de Spark, la línea para oficinas pequeñas y sucursales.
- 22 de septiembre: CISA lo agrega al KEV.
El segundo fallo, CVE-2026-93616, afecta a la consola de gestión (el servidor desde el que se administran las políticas) y no a los appliances de firewall ni a Smart-1 Cloud. Según Rescana, se observó explotación desde el 23 de julio, cuando todavía no había parche. Si tu consola está alcanzable desde internet, trátala como posiblemente comprometida hasta revisar bitácoras.
Versiones a revisar
Según Rescana, el fallo de la VPN afecta a las ramas R81, R81.10, R81.20, R82 y R82.10; R82.20 no está afectada. Los builds corregidos que reporta son, como mínimo: R82.10 Jumbo Take 44, R82 Take 126, R81.20 Take 166 y R81.10 Take 190, o LivePatch Take 26. Para Spark, builds 2325/4968 en adelante.
Para la consola de gestión: R82.10 Take 45, R82 Take 127, R81.20 Take 170 y R81.10 Take 192.
VeloCloud: el riesgo está en quien administra tu SD-WAN
CVE-2026-93952 está en el VeloCloud Orchestrator, la consola central que configura todos los equipos de SD-WAN de una red. Arista lo reveló el 22 de septiembre como día cero ya explotado, con CVSS 10.0. Solo están expuestos los orquestadores que autentican a sus equipos con certificados.
De acuerdo con The Hacker News, las versiones on-premise 5.2.3.16 y 6.4.2.8 ya traen la corrección, mientras que las ramas 6.1.x y 7.0.x todavía no tienen parche. Los servicios hospedados y dedicados de Arista también estaban afectados y el fabricante dice que ya los corrigió.
En México pocas PyMEs operan su propio orquestador. Lo común es que el SD-WAN venga como servicio administrado del carrier o de un integrador. Eso no te saca del problema: si comprometen el orquestador, pueden cambiar la configuración de todas tus sucursales a la vez. Pide a tu proveedor una respuesta por escrito.
Por qué los firewalls son el blanco favorito
No es casualidad que en las últimas semanas hayan caído en el KEV equipos de borde de varias marcas. Un firewall o un concentrador VPN está expuesto a internet por diseño, casi nunca tiene antivirus propio y rara vez alguien revisa sus bitácoras. Es el mismo patrón que vimos con ScreenConnect y con N-able N-central: herramientas con acceso privilegiado a toda la red que se parchan tarde.
El reporte más reciente de SCILabs (Scitum) contó 290 ataques de ransomware en América Latina en el primer semestre de 2026, 25.5% más que el semestre anterior, con México en segundo lugar con cerca de 18% del total (alrededor de 52 casos). El acceso inicial por VPN y dispositivos de borde es una de las rutas habituales de esos grupos.
Qué hacer hoy
- Inventario rápido. ¿Tienes Check Point (gateway, Spark o consola de gestión)? ¿Tu SD-WAN usa VeloCloud? Anota modelo y versión exacta.
- Parcha primero lo que da a internet. El gateway con VPN activa va antes que todo; después, la consola de gestión.
- Si no puedes parchar hoy, reduce la exposición. Limita la VPN a IP conocidas en UDP 500 y 4500, restringe el acceso a la consola (incluido el puerto TCP 19009) a direcciones internas y activa la restricción de Trusted Clients en SmartConsole.
- Busca huellas. Rescana publicó sujetos de certificado usados en los ataques (por ejemplo,
CN=vpn,OU=users,O=global). Revisa accesos por certificado anómalos en Mobile Access y escaneos internos desde usuarios VPN raros. - Pide constancia a tu proveedor. Si te administran el firewall o el SD-WAN, solicita la versión instalada y la fecha del parche. Si no te lo pueden decir, ese es otro hallazgo.
Si tus servidores también están en la lista de pendientes, esta mañana publicamos los tres fallos del kernel de Linux que entraron al mismo catálogo. Y si tu VPN es vieja y difícil de mantener, vale la pena comparar opciones como WireGuard y OpenVPN para accesos sencillos.
Fuentes: CISA, alerta del 22 de septiembre de 2026; Rescana y Qualys ThreatPROTECT (23 de septiembre); CiberLATAM (25 de septiembre); The Hacker News sobre VeloCloud; SCILabs vía eSemanal y DPL News.
Firewall y VPN
Que tu firewall no sea la puerta que nadie vigila
Auditamos versión, reglas y exposición de tu firewall y VPN, aplicamos parches en ventana controlada y dejamos monitoreo de bitácoras.
