CVE críticos julio 2026: ColdFusion, Ivanti y Fortinet

Julio abre con una prioridad clara: el CVE-2026-48282 de Adobe ColdFusion (CVSS 10.0) ya está bajo explotación activa y con deadline federal cumplido. A eso se suman dos fallas CVSS 10.0/9.9 en Ivanti Sentry, un RCE pre-auth en FortiSandbox y la resaca del récord de 206 parches que Microsoft publicó en junio. Esta semana, Microsoft lanza su Patch Tuesday de julio. Si administras servidores expuestos a internet en Chile, el trabajo empieza hoy, no el martes.

Lo esencial

• El CVE-2026-48282 de Adobe ColdFusion (CVSS 10.0) entró a CISA KEV el 7 de julio de 2026 con explotación activa: es la prioridad número uno para infraestructura empresarial.
• Ivanti Sentry (CVE-2026-10520, CVSS 10.0) y FortiSandbox (CVE-2026-25089, CVSS 9.8) suman RCE pre-autenticación en el perímetro.
• Microsoft rompió su récord histórico con 206 parches en junio de 2026 (39 críticos, 167 importantes, 3 zero-days), según The Hacker News.
• Prioriza combinando CVSS, EPSS, CISA KEV y exposición del activo, no solo el puntaje de severidad.

Para el contexto regulatorio de fondo, revisa la Ley 21.663 y su calendario de obligaciones para Operadores de Importancia Vital.

¿Qué CVE críticos abren julio de 2026 en Chile?

Julio de 2026 arranca con seis vulnerabilidades que concentran el riesgo empresarial. Encabeza la lista el CVE-2026-48282 de Adobe ColdFusion, con CVSS 10.0 y explotación activa confirmada por CISA (CISA, 2026). Le siguen fallas de Ivanti, Fortinet, Microsoft y Chrome que ya tienen parche disponible.

El patrón se repite mes a mes: las vulnerabilidades más peligrosas atacan software de perímetro. Servidores de aplicaciones, gateways de correo móvil y appliances de análisis de amenazas quedan expuestos a internet por diseño. Un atacante que logra ejecución remota de código en esos puntos entra sin credenciales y sin interacción del usuario.

En nuestra experiencia revisando inventarios de infraestructura en Chile, el problema no suele ser la ausencia de parches, sino la falta de visibilidad. Muchas empresas no saben cuántos ColdFusion o appliances Ivanti tienen expuestos hasta que un escaneo externo los encuentra. Sin inventario, la priorización es imposible.

El gráfico siguiente ordena los seis CVE clave por severidad CVSS. Sirve como mapa rápido para decidir dónde mirar primero.

De los seis CVE que abren julio de 2026, el CVE-2026-48282 de Adobe ColdFusion (CVSS 10.0) es el único con explotación activa confirmada y con deadline federal ya vencido en el catálogo CISA KEV, según CISA (2026). Los cinco restantes tienen parche disponible sin evidencia de explotación masiva.

¿Por qué el CVE-2026-48282 de ColdFusion es la prioridad?

El CVE-2026-48282 es la prioridad absoluta porque combina las tres condiciones que elevan cualquier vulnerabilidad al nivel de emergencia: CVSS 10.0, explotación activa e inclusión en CISA KEV. CISA lo añadió el 7 de julio de 2026 con deadline federal el 10 de julio (The Hacker News, 2026). El plazo ya se cumplió.

Técnicamente es un path traversal que escala a ejecución remota de código. Un atacante manipula la ruta de un recurso para salir del directorio permitido, accede a archivos sensibles y termina ejecutando código en el servidor. En ColdFusion, que suele correr aplicaciones web de cara al público, eso significa control del servidor sin autenticación previa.

¿Por qué importa tanto en Chile? ColdFusion sigue vivo en sistemas legados de la administración pública, banca y retail. Son justamente los sectores donde un servidor comprometido puede exponer datos personales y activar obligaciones bajo la Ley 21.719.

Hemos visto que los servidores ColdFusion viven en un punto ciego organizacional. Nadie recuerda quién los instaló, corren una aplicación que “no se puede tocar” y no entran en el ciclo normal de parcheo. Ese olvido es exactamente lo que un exploit CVSS 10.0 necesita.

La instrucción es simple: identifica todo ColdFusion expuesto, aplica el parche del vendor de inmediato y, si no puedes parchar en horas, retira el servicio de internet hasta lograrlo. CISA también sumó ese día fallas de CMS como Joomla (CVE-2026-56290, CVSS 10.0), pero para infraestructura empresarial típica el foco es ColdFusion (CISA, 2026).

¿Qué riesgo traen Ivanti Sentry y FortiSandbox?

Ivanti y Fortinet aportan tres fallas críticas en appliances de perímetro. El CVE-2026-10520 de Ivanti Sentry (CVSS 10.0) es una inyección de comandos pre-autenticación que da RCE como root por el puerto 8443. Su gemelo, el CVE-2026-10523 (CVSS 9.9), es un bypass de autenticación que permite crear un administrador (SecurityWeek, 2026).

Ninguna de las dos tenía explotación reportada al momento del parche. Eso no baja la urgencia. Ivanti Sentry gestiona el acceso móvil corporativo, así que un compromiso abre la puerta a la infraestructura interna. Las versiones afectadas son 10.5.2, 10.6.2, 10.7.1 y anteriores. Actualiza a la versión corregida sin esperar.

El caso de FortiSandbox

El CVE-2026-25089 afecta a FortiSandbox y FortiSandbox Cloud con CVSS 9.8. Es una inyección de comandos pre-autenticación vía HTTP que deriva en ejecución remota de código, según SecurityWeek (2026). Fortinet publicó los parches en las versiones 5.0.6 y 4.4.9. No hay evidencia de explotación in-the-wild, pero un appliance de análisis de amenazas comprometido es un objetivo especialmente valioso.

La ironía es evidente: FortiSandbox existe para detonar y analizar malware de forma segura. Si el propio sandbox se vuelve vulnerable, el atacante convierte tu herramienta de defensa en un punto de entrada. Por eso los appliances de seguridad merecen la misma disciplina de parcheo que cualquier servidor de producción.

Ivanti Sentry acumula dos fallas críticas en julio de 2026: CVE-2026-10520 (CVSS 10.0), una inyección de comandos pre-autenticación que otorga RCE como root por el puerto 8443, y CVE-2026-10523 (CVSS 9.9), un bypass de autenticación que permite crear un administrador, según SecurityWeek (2026). Ambas afectan las versiones 10.7.1 y anteriores.

¿Qué dejó el récord de 206 parches de junio?

Junio de 2026 dejó una marca histórica: Microsoft parchó 206 fallos en un solo Patch Tuesday, el mayor de su historia. La distribución fue de 39 vulnerabilidades críticas y 167 importantes, con 3 zero-days incluidos y predominio de ejecución remota de código (The Hacker News, 2026). El volumen tensiona cualquier equipo de operaciones.

Dos de esos parches merecen atención directa. El CVE-2026-47291 en Windows HTTP.sys es un integer overflow que habilita RCE remoto no autenticado, con CVSS 9.8. El CVE-2026-44815 en el cliente DHCP de Windows es un stack buffer overflow que también llega a RCE, con CVSS 9.8 (The Hacker News, 2026). Ambos golpean componentes de red presentes en casi todo servidor Windows.

El navegador tampoco se salvó. Google parchó el CVE-2026-11645, un zero-day en el motor V8 de Chrome bajo explotación activa, el quinto zero-day de Chrome en 2026. La versión estable corregida es la 149.0.7827.102/.103, publicada el 8 de junio de 2026 (The Hacker News, 2026). Con CVSS 8.8, exige actualizar el navegador en toda la flota.

¿Y julio? Help Net Security proyecta una normalización hacia 100-140 CVEs en el Patch Tuesday de esta semana (Help Net Security, 2026). Un volumen menor, pero suficiente para no bajar la guardia.

¿Cómo priorizar qué parchar primero?

Con cientos de CVE por mes, parchar todo a la vez es imposible. La priorización efectiva combina cuatro señales: el puntaje CVSS de NIST, la probabilidad de explotación EPSS de FIRST, la inclusión en el catálogo CISA KEV y la exposición real del activo. Esa suma convierte el ruido en una cola ordenada.

El CVSS mide severidad técnica, pero no probabilidad. Una falla CVSS 10.0 en un servidor interno sin acceso externo es menos urgente que una CVSS 8.0 expuesta a internet y ya explotada. El EPSS aporta esa dimensión: estima la probabilidad de explotación en los próximos 30 días. El KEV confirma que la explotación ya ocurre.

La lección de julio es clara. El CVE-2026-48282 de ColdFusion tiene el mismo CVSS 10.0 que el de Ivanti Sentry, pero solo el primero está en KEV con explotación activa. Ese detalle, invisible si miras solo el CVSS, es lo que decide qué parchas en horas y qué parchas en días.

Un SLA práctico ordena la respuesta:

• KEV + expuesto a internet: parchar en 24 a 72 horas.
• CVSS mayor o igual a 9 + EPSS mayor o igual a 0.5: parchar dentro de 7 días.
• Resto: integrar al ciclo mensual de mantenimiento.

Aplicado a julio, ColdFusion cae en la primera fila y exige acción inmediata. Ivanti Sentry y FortiSandbox entran en la segunda por su CVSS alto pese a no estar en KEV. Los parches de Windows de junio, si aún no se aplicaron, no pueden seguir esperando.

¿Qué exige la Ley 21.663 ANCI sobre patch management?

La Ley 21.663 obliga a los Operadores de Importancia Vital a mantener un programa formal de gestión de vulnerabilidades, no un parcheo improvisado. Además, exige notificar incidentes de ciberseguridad a la ANCI en dos plazos: una alerta temprana en 3 horas y un reporte más completo en 72 horas. Un parche crítico sin aplicar que derive en incidente activa ambas obligaciones.

Esto cambia el cálculo de riesgo. Antes, un servidor sin parchar era un problema técnico. Ahora es también una exposición legal y regulatoria. Si un atacante explota una falla conocida como el CVE-2026-48282 y el operador no puede demostrar un proceso de gestión documentado, la organización enfrenta escrutinio de la autoridad además del daño operativo.

El programa formal implica inventario de activos, escaneo continuo, priorización basada en riesgo y evidencia de la aplicación de parches. No basta con instalar actualizaciones: hay que poder demostrar cuándo, cómo y sobre qué activos se hizo. Los detalles de implementación están en las Instrucciones Generales ANCI.

La Ley 21.663 obliga a los Operadores de Importancia Vital en Chile a mantener un programa formal de gestión de vulnerabilidades y a notificar incidentes a la ANCI en dos plazos: una alerta temprana dentro de 3 horas y un reporte dentro de 72 horas. Un CVE crítico sin parchar que derive en incidente activa ambas obligaciones de notificación.

¿Qué hacer en las próximas 72 horas?

En las próximas 72 horas, el objetivo es cerrar la ventana de mayor riesgo. La acción número uno es parchar todo Adobe ColdFusion expuesto a internet, dado que el CVE-2026-48282 (CVSS 10.0) ya está bajo explotación activa según CISA (2026). El resto sigue por orden de exposición y severidad.

Un checklist accionable para este ciclo:

• Hoy: inventaria y parcha todo ColdFusion expuesto. Si no puedes parchar, retíralo de internet.
• 24 a 48 horas: actualiza Ivanti Sentry a la versión corregida y FortiSandbox a 5.0.6 o 4.4.9.
• Esta semana: aplica el Patch Tuesday de julio de Microsoft apenas se publique el martes 14.
• Verifica junio: confirma que HTTP.sys, DHCP Client y Chrome ya recibieron sus parches.
• Documenta: registra qué activos parchaste y cuándo, como evidencia para ANCI.

¿Tu equipo tiene la visibilidad para ejecutar esto sin adivinar? Si la respuesta no es un sí rotundo, el primer paso no es parchar, es inventariar. Nadie protege lo que no sabe que tiene expuesto. Revisa también la edición previa de esta serie, CVE críticos de mayo, para ver cómo evolucionan los patrones de explotación mes a mes.

Cierre y próximos pasos

Julio de 2026 confirma una constante: las vulnerabilidades críticas atacan el perímetro y explotan la falta de visibilidad. El CVE-2026-48282 de ColdFusion encabeza la urgencia con CVSS 10.0 y explotación activa, seguido por Ivanti Sentry y FortiSandbox. El récord de 206 parches de junio, con sus fallas de HTTP.sys, DHCP y el zero-day de Chrome, sigue pendiente en muchas flotas.

La diferencia entre reaccionar y anticipar está en el proceso. Un programa que combina CVSS, EPSS, KEV y exposición convierte el caos mensual de CVE en una cola priorizada y defendible ante la ANCI. Eso es lo que la Ley 21.663 exige y lo que evita que un parche olvidado se transforme en un incidente reportable.

En Elite Center diseñamos programas de vulnerability management alineados a la Ley 21.663 ANCI, con inventario, priorización por riesgo y evidencia auditable. Si necesitas ordenar tu patch management antes del próximo CVE crítico, conversemos.

---

Serie CVE críticos: ← CVE críticos de mayo 2026