Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Escáner Nessus y paquete descargado con integridad comprometida.

Qué se ha confirmado

INCIBE publicó el aviso INCIBE-2026-695 el 2 de octubre de 2026 y lo clasificó con importancia crítica.

El aviso identifica como afectados a Tenable Nessus 10.12.4 y versiones anteriores.

El conjunto comunicado incluye nueve vulnerabilidades: una crítica, cuatro altas, tres medias y una baja.

INCIBE indica que su explotación podría comprometer el sistema, alterar o consultar datos, causar denegación de servicio o exponer información limitada de memoria.

Para CVE-2026-103947, Nessus no verifica suficientemente la integridad de cierto contenido descargado; el escenario descrito requiere un atacante autenticado con privilegios elevados.

INCIBE recomienda actualizar Nessus a la versión 10.12.5.

Análisis de Defensops

La condición de privilegios elevados en el fallo descrito delimita el riesgo: el aviso no establece que un atacante anónimo pueda explotar CVE-2026-103947. En cada instalación conviene valorar quién dispone de esas credenciales y qué procesos consumen el contenido descargado; esos factores determinan la exposición práctica.

El inventario de nueve fallos abarca consecuencias distintas, pero el aviso solo desarrolla el mecanismo de la vulnerabilidad crítica. No permite asignar a cada uno de los otros ocho un vector o un impacto individual. La actualización concentra la respuesta operativa mientras se consultan los detalles técnicos del fabricante.

El aviso marca la explotación como «No» para el CVE detallado. Esto no equivale a una garantía de imposibilidad de ataque ni demuestra una campaña activa. La prioridad inmediata es identificar instalaciones en las versiones afectadas y comprobar que el cambio de versión se haya aplicado realmente.

Prioridades de revisión

Inventariar las instalaciones de Nessus y registrar su versión; identificar las que ejecutan 10.12.4 o una anterior.

Programar la actualización de las instalaciones afectadas a 10.12.5 y verificar la versión instalada después del cambio.

Revisar las cuentas con privilegios elevados en Nessus y confirmar que su acceso siga siendo necesario, dado el requisito descrito para CVE-2026-103947.

Consultar el aviso TNS-2026-26 del fabricante para evaluar por separado los ocho fallos cuyo mecanismo no detalla INCIBE.

Qué no se ha confirmado

El aviso no desglosa los identificadores, vectores ni condiciones de explotación de las otras ocho vulnerabilidades.

No se describen casos de explotación observada de CVE-2026-103947 ni se precisa qué contenido descargado puede manipularse.

Fuente

INCIBE-CERT. Fecha indicada: 2026-10-02.