CISA añade vulnerabilidades críticas de Broadcom y Commvault a su catálogo KEV
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) ha incluido dos vulnerabilidades de alta severidad en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV, por sus siglas en inglés). Estas fallas afectan a Broadcom Brocade Fabric OS y Commvault Web Server, y existen evidencias de que están siendo explotadas activamente en entornos reales. Fuente original
Detalles técnicos de las vulnerabilidades
Las vulnerabilidades identificadas son:
- CVE-2025-1976 (CVSS 8.6): Una vulnerabilidad de inyección de código en Broadcom Brocade Fabric OS que podría permitir a un atacante ejecutar comandos arbitrarios en el sistema afectado.
- Otra vulnerabilidad no especificada en Commvault Web Server que también está siendo explotada activamente.
El hecho de que estas vulnerabilidades hayan sido añadidas al catálogo KEV indica que CISA considera que representan un riesgo significativo para las infraestructuras críticas federales y privadas.
Implicaciones de seguridad
La inclusión en el catálogo KEV conlleva importantes implicaciones:
- Las agencias federales estadounidenses tienen ahora un plazo obligatorio para aplicar parches o implementar medidas de mitigación.
- Para organizaciones del sector privado, sirve como una alerta temprana sobre amenazas activas que requieren atención inmediata.
- La naturaleza de estas vulnerabilidades (especialmente la inyección de código) sugiere que los atacantes podrían estar obteniendo acceso privilegiado a sistemas críticos.
Recomendaciones de mitigación
Para proteger los sistemas afectados, se recomienda:
- Aplicar inmediatamente los parches de seguridad proporcionados por los fabricantes.
- Implementar controles de acceso estrictos para limitar la exposición de estos sistemas a redes externas.
- Monitorizar los registros de actividad en busca de intentos de explotación.
- Considerar la segmentación de red para aislar sistemas que ejecuten versiones vulnerables hasta que puedan ser actualizados.
Contexto más amplio
Esta acción de CISA se enmarca en su estrategia de compartir información proactiva sobre amenazas. El catálogo KEV se ha convertido en una herramienta valiosa para priorizar esfuerzos de remediación basados en amenazas reales y activas, no solo en puntuaciones CVSS teóricas.
Organizaciones de todos los sectores deberían monitorear regularmente las actualizaciones del catálogo KEV e integrar esta información en sus procesos de gestión de vulnerabilidades.
