Tres CVE críticos en cinco días: la ventana de parcheo se mide en horas
Check Point, GitLab y N-able han parcheado tres vulnerabilidades críticas en cinco días. En dos de los casos ya había sondas o explotación activa antes de que llegara el aviso.
En cinco días, tres vulnerabilidades críticas han recibido parche y, en al menos dos casos, ya había sondas o explotación activa antes de que la mayoría de los administradores leyera el aviso. La ventana entre la divulgación pública y el primer ataque se ha comprimido a horas, y eso cambia qué se puede hacer cuando llega el correo de la lista de seguridad.
Check Point y GitLab, el mismo día
El 11 de septiembre Check Point publicó LivePatch Take 24 para CVE-2026-85102 y CVE-2026-85103, dos fallos de ejecución remota de código en sus appliances VPN. El primero afecta al Security Gateway y permite ejecutar código sin credenciales; el segundo alcanza también al Management Server. El NCSC neerlandés avisó de explotación inminente. LivePatch cubre R81.20, R82 y R82.10, y el resto de versiones obliga a subir a R82.20. La recomendación operativa que acompaña al aviso es concreta: restringir los puertos 500, 4500 y 443 solo a pares autorizados.
Ese mismo día GitLab parcheó CVE-2026-85706, un path traversal en la API de commits con CVSS 10,0 que permite leer ficheros del servidor sin autenticarse. watchTowr detectó sondas en producción horas después de la divulgación pública. Las versiones corregidas son 19.3.2, 19.2.6 y 19.1.8.
N-able y lo que sostiene el patrón
El tercer caso es N-able N-central, CVE-2026-86218, un RCE previo a la autenticación con CVSS 10,0. La explotación real lo metió en el catálogo KEV de CISA con plazo de remediación de un día, y Shadowserver contó cerca de 1.500 consolas expuestas. Esa superficie no estaba escondida: estaba en internet y accesible.
La semana anterior ya había dejado una muestra más descarnada. GreyNoise y SecurityWeek documentaron una campaña con cientos de agentes de IA contra servidores PaperCut NG/MF, encadenando CVE-2026-81578 y CVE-2026-82078 sobre un harness de Codex con un modelo DeepSeek. El resultado: unas 440 organizaciones comprometidas en 48 países, casi la mitad del sector educativo. Un centro educativo pasó de acceso inicial a Domain Admin en siete minutos. Lo relevante no es que los fallos se parezcan, sino que el coste de encontrar, probar y desplegar un exploit ha bajado: lo que antes exigía un equipo humano durante días ahora corre en paralelo.
Para quien administra estos sistemas, la conclusión incómoda es que parchear en horas ya no basta para quedarse fuera de la lista de víctimas. La segmentación y el filtrado de salida siguen siendo los controles que marcan la diferencia cuando la exposición se mide en horas. Y hay una lección de inventario: las 1.500 consolas de N-able, los appliances de Check Point y las instancias de GitLab no estaban ocultos, estaban alcanzables. La superficie expuesta es el primer problema; el parche es el segundo. En el caso de GitLab, además, conviene registrar los intentos de acceso a rutas de la API de commits: las sondas llegaron antes que el exploit.
