CISA incluye Plex2Shell y fallo de Siemens en su lista

La CISA, agencia de ciberseguridad de Estados Unidos, incluyó seis vulnerabilidades en su catálogo de fallas bajo explotación activa (KEV) el martes (20), según el alerta publicada por la agencia. Cuatro de ellas forman la cadena llamada Plex2Shell, en Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Las otras dos son CVE-2026-110936, en Siemens Software Center, y CVE-2026-106931, en SiteGuard Server Edition, de la japonesa EG Secure Solutions.

La inclusión en el KEV obliga a las agencias civiles del gobierno federal estadounidense a corregir los sistemas dentro de plazos establecidos por la propia CISA, bajo la directiva BOD 22-01. Para el sector privado, la lista opera como una fila de prioridad: la CISA solo registra fallas con evidencia de explotación real, no solo teórica.

Plex2Shell: del servidor doméstico a la red corporativa

Plex es un servidor de medios que millones de personas instalan en sus casas, en NAS o en máquinas Linux, para organizar películas y series. Plex2Shell encadena cuatro fallas que, por sí solas, no otorgarían control sobre el servidor. Combinadas en el orden correcto, llevan de una solicitud sin autenticación hasta la ejecución de un binario elegido por el atacante en el servidor. La cadena comienza robando el token de administrador del propietario del servidor.

El intervalo entre la publicación y el ataque fue de un día. El código de prueba de concepto se hizo público el 16 de octubre, y el primer ataque registrado en honeypot ocurrió el 17 de octubre, según el investigador que opera la trampa. Las cargas instaladas incluían el minero de criptomonedas XMRig y una herramienta de proxy que transforma el servidor comprometido en un punto de salida de tráfico ajeno, utilizando la conexión residencial de la víctima.

La corrección existe desde agosto. Las cuatro vulnerabilidades afectan versiones del Plex Media Server anteriores a la 1.43.3.10861, liberada el 3 de agosto de 2026, y Plex publicó orientación pidiendo a los usuarios que se actualicen. El problema es la base instalada que no se actualiza sola, típica de equipos domésticos.

Para el CISO, el problema es de vecindario: el servidor Plex suele estar en la misma red doméstica que la laptop corporativa del empleado en trabajo remoto. Un servidor comprometido se convierte en un punto de apoyo dentro de esta red y, a través de un proxy, hace que el tráfico del atacante salga por una IP residencial legítima, lo que dificulta el bloqueo por reputación. Las herramientas de acceso condicional que confían en IPs domésticas conocidas de un colaborador comienzan a ver tráfico hostil saliendo de la misma dirección.

Siemens y el abuso de software firmado

La falla de Siemens tiene otro perfil. La CVE-2026-110936 es una vulnerabilidad de carga de DLL en Siemens Software Center, la herramienta que distribuye y actualiza softwares de la empresa en estaciones de ingeniería. Un atacante que logre colocar una DLL maliciosa en un directorio que el programa consulta ejecuta código con los privilegios de la aplicación. Siemens ProductCERT confirmó la explotación activa en un aviso del 19 de octubre.

El vector es conocido y efectivo: usar un ejecutable legítimo, con firma digital válida, para cargar código malicioso. Las soluciones de seguridad que confían en binarios firmados tienden a dejar pasar la ejecución.

SiteGuard, tercer producto de la lista, es un firewall de aplicación web de un fabricante japonés. EG Secure Solutions confirmó la explotación en un aviso del 14 de octubre.

Donde el riesgo cae

En Estados Unidos, el efecto es directo: las agencias federales tienen plazos para corregir, y los proveedores del gobierno suelen seguir el mismo calendario por exigencia contractual. En Alemania, donde la base instalada de software de ingeniería de Siemens es más densa, el aviso afecta fábricas y oficinas de proyectos que mantienen estaciones Windows con amplios permisos para herramientas industriales. En Japón, la falla en SiteGuard expone sitios corporativos y gubernamentales que adoptaron el producto como capa de protección.

En Brasil, el punto de contacto es la cadena industrial: ensambladoras, siderúrgicas y empresas de energía utilizan software Siemens en plantas y centros de ingeniería, muchas veces gestionados por integradoras tercerizadas. El riesgo de Plex2Shell es transversal a todos esos países, porque depende de la política de trabajo remoto, no de un sector.

La lista del martes muestra un patrón que los equipos de seguridad ya conocen, pero raramente se presupuesta: dos de las tres frentes explotadas provienen de software que el departamento de TI no compró ni gestiona. Uno es instalado por empleados en casa; el otro es una herramienta de distribución del propio fabricante, tratada como confiable por definición. Ninguno de los dos aparece en el inventario de activos que alimenta el plan de corrección.