BD Alaris dentro de kits hospitalarios y una falla explotada en soporte remoto
Cardinal Health alerta sobre kits Presource con sets BD Alaris. Además, BeyondTrust confirma la explotación activa de una falla crítica en Remote Support.
Editorial
Esta semana, dos alertas nuevas merecen prioridad. Cardinal Health informó que determinados kits Presource contienen sets de infusión BD Alaris sujetos a corrección o a instrucciones de uso actualizadas. En paralelo, BeyondTrust confirmó que una vulnerabilidad crítica en Remote Support fue explotada como día cero contra instancias alojadas y autogestionadas. La primera alerta exige distinguir productos que parecen iguales, pero tienen acciones diferentes; la segunda obliga a revisar una plataforma que puede tener acceso privilegiado a sistemas hospitalarios. Al final incluimos únicamente los cambios relevantes en StatStrip, Philips Lumify y ChloraPrep, cubiertos en la edición anterior.
[ALERTA] Kits Presource con sets BD Alaris: dos acciones distintas según el producto
BD (Becton Dickinson) y CareFusion 303 actualizaron las acciones aplicables a determinados sets de infusión compatibles con el módulo BD Alaris 8100. Esta semana, Cardinal Health informó que algunos kits Presource, paquetes listos para un procedimiento, contienen sets incluidos en esas comunicaciones. La FDA publicó dos avisos distintos: uno exige corregir determinados kits antes de continuar utilizándolos; el otro actualiza las instrucciones de uso para productos cuyo desempeño puede ser inferior al comunicado previamente.
Los sets de infusión Alaris son componentes desechables que conectan la bomba con el paciente. Se usan en terapia intensiva, quirófano, oncología y otras áreas donde se administran medicamentos o soluciones por vía intravenosa. En ciertos diseños y condiciones, especialmente a flujos inferiores a 1 mL/h o bolos de 5 mL o menos, pueden presentarse subinfusión, sobreinfusión, retrasos en las alarmas de oclusión o imprecisión del bolo.
El problema para las clínicas medianas es doble: primero, los sets pueden estar dispersos en múltiples servicios y en kits ya abiertos. Segundo, si el hospital utiliza los kits Presource de Cardinal Health, es posible que no relacione ese insumo con la alerta original de BD.
Referencias:
Acción sugerida: Identificar los kits Presource y sets BD Alaris afectados utilizando las listas de producto de Cardinal Health y BD. Para los kits sujetos a corrección, ponerlos en cuarentena, colocar la etiqueta de advertencia y retirar y desechar el componente señalado antes de utilizar el resto del kit. Para los productos sujetos a instrucciones actualizadas, revisar las tablas de desempeño y ajustar la selección del set, el flujo, el volumen del bolo y la vigilancia clínica. No asumir que todos los productos tienen la misma acción: confirmar el número de catálogo y el lote con el proveedor.
Toda acción sobre dispositivos médicos activos debe coordinarse con el área biomédica, el fabricante y la dirección médica de la institución antes de ejecutarse.
[ALERTA] Herramienta de soporte remoto BeyondTrust — vulnerabilidad crítica explotada activamente
Esta alerta no involucra un dispositivo médico, sino una herramienta de soporte técnico remoto que puede utilizarse para administrar sistemas hospitalarios. BeyondTrust Remote Support presenta una vulnerabilidad crítica (CVE-2026-102764, CVSS 4.0: 9.3), explotada como día cero desde el 29 de agosto de 2026.
¿Por qué importa en un hospital? La vulnerabilidad permite que un atacante remoto realice operaciones de archivos sobre el appliance afectado. Si la plataforma se utiliza para administrar estaciones clínicas o sistemas conectados, comprometerla puede convertirse en un punto de entrada privilegiado; el alcance hacia otros equipos dependerá de la configuración y de los permisos de la instalación. El fabricante confirmó explotación contra una instancia alojada por BeyondTrust y otra autogestionada.
BeyondTrust aplicó la corrección a sus clientes SaaS el 9 de octubre. Remote Support 26.2.3 y versiones anteriores están afectadas. Las instalaciones autogestionadas entre 24.3.1 y 26.2.3 deben aplicar el parche BT26-05-RS si no reciben actualizaciones automáticas; las versiones anteriores a 24.3.1 deben actualizarse primero.
Referencias:
Acción sugerida: Confirmar si BeyondTrust Remote Support está en uso y si la instancia es SaaS o autogestionada. En instalaciones propias, verificar la versión y el estado de actualización; aplicar BT26-05-RS de inmediato o actualizar primero si la versión es anterior a 24.3.1. Revisar los registros desde el 29 de agosto y utilizar los indicadores de compromiso publicados por el fabricante para buscar actividad anómala.
Toda actualización de una plataforma de soporte remoto debe ejecutarse conforme al proceso de gestión de cambios del hospital y acompañarse de una revisión de registros e indicadores de compromiso.
Seguimiento de alertas anteriores
StatStrip Gen 2.0: la FDA confirma la remoción
La edición anterior cubrió la corrección de software de Nova Biomedical. La novedad del 20 de octubre es que la FDA confirmó la remoción de los modelos StatStrip Gen 2.0 63685 y 66739 hasta que esté disponible la actualización; StatStrip Gen 1.86 no está incluido. Nova reportó una lesión grave y ninguna muerte. La actualización se distribuirá por etapas a partir de noviembre de 2026.
Acción actualizada: Retirar de uso los equipos Gen 2.0 afectados. En instalaciones con información ADT integrada, confirmar en NovaNet que `Validate Patient ID’s` esté habilitado mientras se coordina la actualización con el fabricante.
Philips Lumify: ahora clasificado como retiro Clase I
La FDA actualizó el estado de Lumify el 19 de octubre y lo clasificó como retiro Clase I. Philips reportó ocho lesiones graves y cuatro muertes. Mientras se desarrolla la actualización, el equipo debe utilizarse donde exista señal Wi-Fi o celular confiable, salvo que haya otro ultrasonido disponible de inmediato.
ChloraPrep: AVID Medical y destrucción del kit completo
A la alerta de Medline cubierta la semana anterior se suma la clasificación Clase I para determinados kits de AVID Medical. La instrucción vigente para los productos identificados es ponerlos en cuarentena y destruir el kit completo después de completar el formulario de respuesta; ya no basta con retirar el aplicador del kit.
En breve
- Sistema de liberación Commander M de Edwards Lifesciences, retiro de los lotes 67718561, 67804014, 67887043 y 67887044, utilizados con el sistema de reemplazo mitral transcatéter SAPIEN M3. El fabricante recibió tres reportes de rotura del balón durante el inflado, asociados con una lesión grave y una muerte. No utilizar los lotes afectados y coordinar su devolución con Edwards. FDA Early Alert, 2026-10-15
- Argatroban inyectable de Par Health y Endo USA, retiro voluntario de 22 lotes de Argatroban Injection 250 mg/2.5 mL por presencia de partículas de celulosa, poliestireno, tereftalato de polietileno, material del tapón y posiblemente acero inoxidable. Farmacia hospitalaria debe suspender de inmediato el uso y la distribución de los lotes incluidos y coordinar su devolución. FDA, 2026-10-14
Para cerrar
Las alertas de esta semana muestran por qué el inventario hospitalario debe incluir algo más que el nombre del fabricante. La diferencia entre retirar un equipo, corregir un kit o actualizar sus instrucciones depende del modelo, el número de catálogo, el lote y la versión de software. Una instrucción general puede ser insuficiente o incluso retirar de servicio un producto que tiene otra medida aplicable.
La prioridad es concreta: separar los kits Presource según la acción indicada por Cardinal Health y confirmar que toda instancia autogestionada de BeyondTrust tenga aplicado BT26-05-RS. Como seguimiento, retire los StatStrip Gen 2.0 afectados, asegure conectividad o un ultrasonido de respaldo para Lumify y destruya los kits ChloraPrep comprendidos en el retiro. En seguridad clínica, identificar exactamente el producto es el primer control.
El contenido de Bisturí Digital tiene fines informativos y de gestión de riesgos. No sustituye las instrucciones del fabricante, las decisiones de la dirección médica ni los procesos internos de ingeniería biomédica, farmacia, epidemiología y tecnologías de información.