Vulnerabilidad · Publicado 26/03/2026 · Actualizado 02/06/2026
CISA ha confirmado la explotación activa de CVE-2026-33634 en Aquasecurity Trivy, herramienta de escaneo de vulnerabilidades ampliamente utilizada en pipelines CI/CD de empresas en LATAM. Aunque no se ha documentado su uso en campañas de ransomware conocidas, el riesgo es elevado dada la naturaleza crítica de Trivy en la cadena de suministro de software. La directiva CISA establece el 9 de abril de 2026 como fecha límite para remediación.
Aquasecurity Trivy contains an embedded malicious code vulnerability that could allow an attacker to gain access to everything in the CI/CD environment, including all tokens, SSH keys, cloud credentials, database passwords, and any sensitive configuration in memory.
Trivy — Aquasecurity
⚠️ Explotación activa confirmada — incluida en el catálogo CISA KEV desde el 2026-03-26.
Aquasecurity Trivy Embedded Malicious Code Vulnerability