InfraTrust: el nuevo informe que busca responder una de las preguntas más difíciles en ciberseguridad
Eclypsium presentó un nuevo reporte mensual que no solo enumera vulnerabilidades: intenta ayudar a las organizaciones a decidir cuáles corregir primero
Durante años, el problema dejó de ser encontrar vulnerabilidades. Hoy el verdadero desafío es decidir cuáles atender primero.
Cada mes se publican miles de nuevas CVE, decenas de boletines de seguridad y cientos de parches distribuidos por distintos fabricantes. Para muchos equipos de infraestructura, distinguir entre una vulnerabilidad importante y otra que representa un riesgo inmediato se ha convertido en una tarea cada vez más compleja.
Con ese objetivo, la empresa especializada en seguridad de firmware e infraestructura Eclypsium presentó InfraTrust, una nueva base de conocimiento sobre seguridad de infraestructura acompañada por un informe mensual denominado InfraTrust Pulse, diseñado para priorizar las vulnerabilidades que realmente merecen atención inmediata.
Priorizar antes que acumular
A diferencia de muchos resúmenes de vulnerabilidades que simplemente recopilan CVE individuales, InfraTrust analiza los boletines publicados por los propios fabricantes de infraestructura.
La diferencia es significativa.
Un único aviso de seguridad para un sistema operativo de red, un firewall o un controlador de almacenamiento puede incluir decenas o incluso cientos de vulnerabilidades diferentes. Evaluar cada CVE de forma aislada muchas veces hace perder de vista el riesgo real que representa ese producto dentro de una organización.
El informe combina información de los fabricantes con factores como:
posibilidad real de explotación;
criticidad técnica;
exposición a Internet;
explotación activa conocida;
inclusión en el catálogo Known Exploited Vulnerabilities (KEV) de la CISA;
impacto potencial sobre infraestructura crítica.
El resultado es una lista priorizada que busca responder una pregunta sencilla pero fundamental: ¿qué debería parchearse primero?
El primer informe analizó 61 boletines de seguridad
La edición inaugural de julio analizó 61 avisos de seguridad publicados por 14 fabricantes de infraestructura.
Entre ellos identificó:
6 boletines considerados críticos;
26 vulnerabilidades explotables remotamente sin necesidad de autenticación;
múltiples fallas ya incorporadas al catálogo KEV de CISA por existir evidencia de explotación en el mundo real.
En lugar de centrarse únicamente en la gravedad teórica de una vulnerabilidad, el informe destaca aquellas que afectan sistemas expuestos a Internet, pueden comprometer dispositivos críticos o ya están siendo utilizadas por atacantes.
Algunos de los casos más relevantes
Entre las recomendaciones priorizadas aparecen varios fabricantes ampliamente utilizados en entornos empresariales.
SonicWall
Eclypsium destacó las vulnerabilidades CVE-2026-15409 y CVE-2026-15410 en dispositivos SMA1000.
Según el análisis, atacantes lograron instalar malware varias semanas antes de que ambas vulnerabilidades fueran divulgadas públicamente e incorporadas al catálogo KEV de CISA, demostrando que la explotación comenzó incluso antes de que existieran parches ampliamente conocidos.
Fortinet
El informe también prioriza dos vulnerabilidades críticas de ejecución de comandos en FortiSandbox:
CVE-2026-39808
CVE-2026-25089
Ambas fueron divulgadas durante abril y junio de 2026 y posteriormente agregadas al catálogo KEV tras confirmarse su explotación activa.
Dell
Los boletines DSA-2026-240 y DSA-2026-317 corrigen vulnerabilidades críticas en EMC Networking OS10 y SmartFabric Manager.
Eclypsium señala que solamente el aviso correspondiente a OS10 incluye cientos de correcciones, recordando que los sistemas operativos de red actuales son distribuciones Linux completas con una superficie de ataque considerablemente mayor que la de los antiguos equipos dedicados.
F5 BIG-IP
Otro caso destacado corresponde a F5 BIG-IP, donde se corrigieron vulnerabilidades críticas sin autenticación que afectan controladores de entrega de aplicaciones (ADC) y balanceadores de carga conectados directamente a Internet.
Estos dispositivos suelen ubicarse en el perímetro de las redes corporativas, convirtiéndose en objetivos especialmente atractivos para actores maliciosos.
Juniper Networks
Los avisos JSA110083 y JSA110086 corrigen vulnerabilidades en Junos OS que pueden explotarse de forma remota y provocar interrupciones en routers y switches, afectando directamente la disponibilidad de la red.
NVIDIA
El informe también incluye problemas de seguridad en los procesadores BlueField DPU y las tarjetas de red ConnectX SmartNIC, componentes cada vez más utilizados en centros de datos e infraestructura de inteligencia artificial.
El problema silencioso del firmware
Uno de los aspectos más interesantes del informe es que vuelve a poner el foco sobre un área frecuentemente olvidada: el firmware.
Eclypsium advierte que los parches para firmware y hardware suelen llegar mucho después de que el software original haya sido corregido.
La razón es sencilla: entre el fabricante del componente y el cliente final suele existir una cadena de integración que involucra fabricantes OEM, proveedores de hardware y procesos de validación adicionales.
Como consecuencia, una vulnerabilidad puede permanecer expuesta durante meses incluso cuando el desarrollador original ya publicó la solución.
El informe cita como ejemplo un aviso de HP Poly Video, publicado cuatro meses después de que una vulnerabilidad presente en un controlador gráfico de Qualcomm ya estuviera siendo explotada por atacantes.
Infraestructura: el objetivo que suele pasar desapercibido
La aparición de iniciativas como InfraTrust refleja un cambio importante en la gestión de vulnerabilidades.
Durante años, gran parte de los programas de seguridad se concentraron en servidores, estaciones de trabajo y aplicaciones.
Sin embargo, routers, switches, balanceadores de carga, dispositivos VPN, sistemas de almacenamiento, firmware y equipos de red siguen siendo algunos de los activos más críticos de cualquier organización. También son, con frecuencia, los más difíciles de mantener completamente actualizados.
Además, muchos de estos dispositivos permanecen operativos durante años, reciben menos monitoreo que otros sistemas y suelen depender de procesos de actualización más lentos o complejos.
Por ese motivo, una priorización basada únicamente en el puntaje CVSS puede resultar insuficiente. Incorporar contexto sobre explotación activa, exposición a Internet y criticidad operativa permite enfocar los esfuerzos de remediación donde el riesgo es realmente mayor.
En un escenario donde cada mes aparecen miles de nuevas vulnerabilidades, la capacidad de decidir qué corregir primero puede ser tan importante como la capacidad de corregirlas.