CISA confirma ataques reales a usuarios de JoomShaper y Langflow; su sitio ya podría estar comprometido
Instalar un parche de seguridad ya no es suficiente.
Cuando una vulnerabilidad pasa de una descripción técnica a ataques reales, el tiempo para corregirla se reduce drásticamente, y la Agencia de Ciberseguridad y Protección de Infraestructura de Estados Unidos (CISA) añadió al catálogo de vulnerabilidades explotadas conocidas KEV tres nuevas entradas a la vez.
CISA recibió confirmación de que los atacantes ya están explotando fallos en JoomShaper SP Page Builder, Langflow y Joomlack Page Builder. El catálogo KEV incluye vulnerabilidades cuya explotación se ha observado en la práctica, no solo demostrada en entornos de prueba.
La vulnerabilidad CVE-2026-48908 (9.8 según la escala CVSS 3.1) en JoomShaper SP Page Builder permite cargar archivos de tipos peligrosos sin las restricciones necesarias. CVE-2026-55255 (8.4 según la escala CVSS 3.1) en Langflow ayuda a eludir la autorización mediante una clave gestionada por el usuario. CVE-2026-56290 (9.8 según la escala CVSS 3.1) en Joomlack Page Builder está relacionada con un control de acceso incorrecto y abre funciones que deberían ser inaccesibles para terceros.
Ese tipo de fallos permiten a los atacantes acceder a sistemas de acceso público y, en los casos más peligrosos, obtener el control total sobre ellos. CISA no reveló información sobre ataques concretos, las organizaciones afectadas ni las herramientas utilizadas por los atacantes.
Las agencias federales de Estados Unidos deben corregir las vulnerabilidades de acuerdo con la directiva BOD 26-04. El documento exige proteger en primer lugar los sistemas accesibles desde internet cuya captura permita controlar completamente el recurso. Antes de instalar actualizaciones, las agencias también deben comprobar si los atacantes ya han comprometido la infraestructura.
CISA recomienda a todas las organizaciones adoptar el mismo enfoque, corregir con rapidez las vulnerabilidades del catálogo KEV y revisar los sistemas en busca de señales de intrusión antes de instalar actualizaciones.