El 16 de julio de 2026 CISA añadió tres vulnerabilidades explotadas activamente a su catálogo Known Exploited Vulnerabilities: dos inyecciones de comandos en Fortinet FortiSandbox y una deserialización en Microsoft SharePoint. Las tres tienen fecha límite de remediación el 19 de julio. En las tres, el campo KEV sobre uso conocido en campañas de ransomware indica Unknown.
Tres días. Esa es toda la distancia entre la aparición de una vulnerabilidad en el catálogo Known Exploited Vulnerabilities de CISA el 16 de julio de 2026 y la fecha en la que debe estar corregida. En abril, el mismo catálogo concedía catorce.
CISA añadió tres vulnerabilidades explotadas activamente al catálogo KEV el 16 de julio de 2026, todas con fecha límite el 19 de julio. Dos afectan a Fortinet FortiSandbox (CVE-2026-25089 y CVE-2026-39808, ambas inyección de comandos del sistema alcanzables sin autenticación). Una afecta a Microsoft SharePoint (CVE-2026-58644, deserialización de datos no confiables con ejecución remota de código). El catálogo suma ya 1.647 entradas.
Lee los metadatos del KEV antes que los titulares
Para CVE-2026-25089, CVE-2026-39808 y CVE-2026-58644 el campo KEV knownRansomwareCampaignUse indica Unknown. Es el propio catálogo declarando que no tiene evidencia que vincule estos fallos a una campaña de ransomware. Hay que tratarlos por lo que el registro sostiene: ejecución remota de código explotada activamente sobre infraestructura expuesta. Nada en la entrada KEV justifica la etiqueta ransomware, y la ausencia de esa etiqueta no reduce la urgencia de la fecha límite.
Qué publicó CISA el 16 de julio de 2026
Las tres entradas añadidas al catálogo, tal como constan en el JSON del KEV:
- CVE-2026-25089, Fortinet FortiSandbox OS Command Injection Vulnerability. FortiSandbox, FortiSandbox Cloud y FortiSandbox PaaS contienen una inyección de comandos que permite a un atacante no autenticado ejecutar comandos no autorizados mediante peticiones HTTP específicamente construidas. Aviso del fabricante FG-IR-26-141.
- CVE-2026-39808, Fortinet FortiSandbox OS Command Injection Vulnerability. FortiSandbox contiene una inyección de comandos que podría permitir a un atacante no autenticado ejecutar código o comandos no autorizados mediante peticiones HTTP construidas. Aviso del fabricante FG-IR-26-100.
- CVE-2026-58644, Microsoft SharePoint Deserialization of Untrusted Data Vulnerability. SharePoint contiene una deserialización de datos no confiables que permite a un atacante no autorizado ejecutar código a través de la red.
- Las tres se añadieron el 16 de julio de 2026 con fecha límite 19 de julio de 2026.
- La acción requerida para las tres es aplicar las mitigaciones del fabricante conforme a la Binding Operational Directive 26-04 de CISA y a los Forensics Triage Requirements, o dejar de usar el producto si no hay mitigaciones disponibles.
El lote KEV del 16 de julio en cifras
Todas las cifras se leen directamente del catálogo JSON CISA Known Exploited Vulnerabilities, versión 2026.07.16. El catálogo es el registro autoritativo de dateAdded, dueDate, requiredAction y knownRansomwareCampaignUse. Las cifras anteriores no incluyen interpretación de terceros.
Qué exige realmente el catálogo
Aplicar las mitigaciones conforme a las instrucciones del fabricante, garantizando el cumplimiento de la guía BOD 26-04 Prioritizing Security Updates Based on Risk de CISA y de los Forensics Triage Requirements de CISA. Seguir la guía BOD 26-04 aplicable a servicios cloud o dejar de usar el producto si no hay mitigaciones disponibles.
Cómo se cerró la ventana de parcheo
La cifra interesante de este lote no es la puntuación CVSS. Es la distancia entre dateAdded y dueDate, y cómo esa distancia ha cambiado a lo largo de 2026 con el paso de CISA de la BOD 22-01 a la BOD 26-04. Para el patrón general, mira cómo se desarrolla un ataque de ransomware.
Días entre la inclusión en el KEV y la fecha límite
La ventana de remediación se estrechó de catorce días a tres
Catálogo JSON CISA KEV, versión 2026.07.16
Controles que encajan con estas entradas concretas
Los controles siguientes se corresponden con lo que las entradas KEV describen realmente, es decir ejecución remota de código sin autenticación contra un appliance de seguridad y un servidor de colaboración. No son una lista de hardening genérica.
| Control | Por qué importa en este lote KEV | Brecha que cierra |
|---|---|---|
| Inventario de appliances expuestos a internet | Ambas entradas de FortiSandbox describen a un atacante no autenticado alcanzando el producto mediante peticiones HTTP | Appliances sin responsable asignado por considerarse herramienta de seguridad |
| SLA de parcheo de tres días para entradas KEV | La acción requerida vincula la remediación a los plazos de la BOD 26-04, que en este lote es el 19 de julio | Ciclos de parche medidos en semanas frente a un catálogo medido en días |
| Suscripción a los avisos del fabricante | Las notas del KEV remiten a FG-IR-26-141 y FG-IR-26-100 para el detalle de mitigación | Esperar a la cobertura de prensa en lugar del aviso del PSIRT |
| Preparación para triaje forense | La acción requerida cita expresamente los Forensics Triage Requirements de CISA junto al parcheo | Parchear una máquina explotada y destruir la evidencia |
| Vía de retirada del producto | La acción requerida permite dejar de usar el producto si no hay mitigaciones disponibles | No tener plan para un appliance que no se puede corregir a tiempo |
Dónde falla esto en la práctica
Los modos de fallo siguientes no son riesgos hipotéticos. Se derivan directamente de la estructura de las entradas KEV de este lote.
- ⛔ Tratar un appliance de seguridad como infraestructura que protege en vez de infraestructura expuesta. FortiSandbox es alcanzable por HTTP en ambas entradas.
- ⛔ Leer una inclusión en el KEV como una alerta de ransomware. El catálogo registra Unknown sobre uso en campañas de ransomware en las tres entradas, e inventar ese vínculo es un error de reporte, no una precaución.
- ⛔ Planificar la remediación en ciclo mensual cuando el catálogo emite plazos de tres días.
- ⛔ Parchear primero y no hacer nunca triaje, cuando la acción requerida incluye el triaje forense en la obligación.
- ⛔ Dar por hecho que el plazo solo vincula a las agencias federales, e ignorar por tanto que ese plazo existe porque la explotación ya está confirmada.
El parche no te dice si ya te alcanzaron
Una entrada KEV significa que la explotación se ha observado en algún lugar, antes de que se fijara el plazo. Aplicar la corrección del fabricante cierra la puerta pero no dice nada sobre quién la cruzó primero. Por eso precisamente la acción requerida de estas tres entradas acompaña la mitigación con los Forensics Triage Requirements de CISA en lugar de limitarse al parcheo.
Qué hacer antes del 19 de julio
Nada de lo siguiente necesita una nueva partida presupuestaria. Se deriva de la acción requerida registrada en las propias entradas KEV, en el orden que reduce la exposición más rápido. Para la lista completa, consulta la guía sobre cómo prevenir un ataque de ransomware.
- ✅ Confirmar si FortiSandbox, FortiSandbox Cloud o FortiSandbox PaaS están desplegados en algún punto del parque, incluidas las instancias a cargo del equipo de seguridad y no de IT.
- ✅ Aplicar las mitigaciones de los avisos de Fortinet FG-IR-26-141 y FG-IR-26-100, y la entrada de la update guide de Microsoft para CVE-2026-58644.
- ✅ Comprobar si las entradas de SharePoint añadidas el 1 y el 14 de julio, CVE-2026-45659 y CVE-2026-56164, siguen abiertas. Sus plazos ya han vencido.
- ✅ Ejecutar triaje forense en cualquier instancia que fuera alcanzable desde internet antes de la corrección, en vez de dar el parche por terminado el trabajo.
- ✅ Cuando un producto no pueda mitigarse a tiempo, usar la vía de retirada que la acción requerida permite expresamente.
El catálogo es legible por máquina, así que úsalo así
CISA publica el KEV como feed JSON, de modo que dateAdded, dueDate, requiredAction y knownRansomwareCampaignUse pueden contrastarse automáticamente con un inventario de activos en lugar de leerse en una noticia. En España esta misma lógica de priorización basada en riesgo encaja con los avisos de seguridad publicados por INCIBE-CERT y por el CCN-CERT. Es también el punto de partida para recuperar archivos encriptados si el triaje detecta una intrusión.
Fuentes
Juan Ricardo Palacio
Cofundador y CEO para las Américas, HelpRansomware
Juan Ricardo Palacio es ingeniero electrónico, empresario y especialista en telecomunicaciones, ciberseguridad y análisis forense digital, con más de 25 años de experiencia profesional. Como cofundador de HelpRansomware, trabaja en resiliencia cibernética, respuesta ante incidentes de ransomware, recuperación de datos, criptografía e ingeniería inversa, apoyando a empresas y organizaciones en incidentes digitales de alta criticidad.
📰 Mencionado y citado en Forbes Georgia, Business Insider Africa, LA Weekly e Il Sole 24 Ore.
📅 Última actualización: 17 de julio de 2026
