Vulnerabilidades

Fortinet ha confirmado que está trabajando para solucionar completamente una vulnerabilidad de bypass de autenticación de FortiCloud SSO, tras informes de nueva actividad de explotación en firewalls que ya habían sido completamente parcheados. Descubrimiento de Nueva Ruta de Ataque Carl Windsor, CISO de Fortinet, informó que se han identificado casos de explotación en dispositivos que estaban actualizados a la última versión disponible en el momento del ataque. Esto sugiere una nueva ruta de ataque que bypassa los parches implementados anteriormente para abordar CVE-2025-59718 y CVE-2025-59719. ...

Microsoft ha publicado actualizaciones de seguridad de emergencia fuera de banda para parchear una vulnerabilidad de día cero de alta gravedad en Microsoft Office que está siendo activamente explotada en ataques. La vulnerabilidad, rastreada como CVE-2026-21509, es un bypass de característica de seguridad que afecta a múltiples versiones de Office, incluyendo Microsoft Office 2016, Microsoft Office 2019, Microsoft Office LTSC 2021, Microsoft Office LTSC 2024 y Microsoft 365 Apps for Enterprise. ...

Palo Alto Networks ha lanzado una importante actualización de seguridad para abordar una vulnerabilidad de alta gravedad que afecta a su software GlobalProtect Gateway y Portal. La compañía ha confirmado la existencia de un exploit de prueba de concepto (PoC) para esta falla, lo que subraya la urgencia de aplicar los parches. Descripción de la Vulnerabilidad (CVE-2026-0227) La vulnerabilidad, identificada como CVE-2026-0227, presenta una puntuación CVSS de 7.7 y ha sido clasificada como una condición de denegación de servicio (DoS). El problema reside en el software PAN-OS de GlobalProtect y surge de una verificación inadecuada de condiciones excepcionales (CWE-754). ...

Veeam ha lanzado una serie de actualizaciones de seguridad críticas para su software Backup & Replication, abordando múltiples fallos, incluyendo una vulnerabilidad clasificada como “crítica” que podría llevar a la ejecución remota de código (RCE). Vulnerabilidad Crítica de Ejecución Remota de Código (RCE) La vulnerabilidad más destacada es CVE-2025-59470, que ostenta una puntuación CVSS de 9.0. Este fallo permite a un operador de Backup o Tape realizar una ejecución remota de código como el usuario postgres al enviar un parámetro interval u order malicioso. ...

IBM ha revelado detalles sobre una falla de seguridad crítica en su producto API Connect que podría permitir a atacantes remotos obtener acceso no autorizado a la aplicación. Detalles de la Vulnerabilidad La vulnerabilidad, identificada como CVE-2025-13915, ha recibido una puntuación de 9.8 sobre 10.0 en el sistema de calificación CVSS, lo que la clasifica como crítica. Se describe como una falla de omisión de autenticación. IBM ha declarado en un boletín que “IBM API Connect podría permitir que un atacante remoto omita los mecanismos de autenticación y obtenga acceso no autorizado a la aplicación”. ...

Advertencia de Vulnerabilidad Crítica en SmarterTools SmarterMail La Agencia de Ciberseguridad de Singapur (CSA) ha emitido una alerta sobre una falla de seguridad de máxima gravedad en el software de correo electrónico SmarterTools SmarterMail. Esta vulnerabilidad, con una puntuación CVSS de 10.0, podría ser explotada para lograr la ejecución remota de código (RCE) sin necesidad de autenticación. Detalles de la Vulnerabilidad (CVE-2025-52691) La vulnerabilidad, identificada como CVE-2025-52691, es un caso de carga arbitraria de archivos. Esto significa que un atacante no autenticado podría subir archivos de cualquier tipo a cualquier ubicación en el servidor de correo. Si estos archivos maliciosos (como web shells o binarios) son interpretados y ejecutados como código por el entorno de la aplicación, el atacante podría obtener control con los mismos privilegios que el servicio SmarterMail. ...

Una vulnerabilidad de seguridad crítica ha sido revelada en la plataforma de automatización de flujos de trabajo n8n. La falla, si se explota con éxito, podría resultar en la ejecución de código arbitrario bajo ciertas circunstancias. La vulnerabilidad, rastreada como CVE-2025-68613, tiene una puntuación CVSS de 9.9 sobre 10.0, lo que subraya su gravedad. Según las estadísticas de npm, el paquete de n8n registra aproximadamente 57,000 descargas semanales. ...

Hewlett Packard Enterprise (HPE) ha anunciado la resolución de una vulnerabilidad de seguridad de máxima gravedad en su software OneView. La falla, si se explota con éxito, podría permitir la ejecución remota de código. La vulnerabilidad crítica ha sido identificada con el CVE-2025-37164 y tiene una puntuación CVSS de 10.0. HPE OneView es una herramienta de gestión de infraestructura de TI que simplifica las operaciones y permite el control centralizado de todos los sistemas. ...

Una vulnerabilidad de seguridad ha sido identificada en modelos específicos de placas base de fabricantes líderes como ASRock, ASUSTeK Computer, GIGABYTE y MSI. Esta falla deja a los sistemas susceptibles a ataques de Acceso Directo a Memoria (DMA) durante la fase de arranque temprano, afectando arquitecturas que implementan la Interfaz de Firmware Extensible Unificada (UEFI) y la Unidad de Gestión de Memoria de Entrada/Salida (IOMMU). Fallo en la Protección de DMA de Arranque Temprano La vulnerabilidad, descubierta por Nick Peterson y Mohamed Al-Sharifi de Riot Games, reside en la implementación del firmware UEFI. Aunque el IOMMU y UEFI están diseñados para evitar accesos no autorizados a la memoria por parte de periféricos, la falla surge de una discrepancia: el firmware indica que la protección DMA está activa, pero no logra configurar ni habilitar el IOMMU correctamente durante la fase crítica de arranque. ...

WatchGuard ha emitido una alerta de seguridad y lanzado parches para abordar una vulnerabilidad crítica en su sistema operativo Fireware que, según ha confirmado la compañía, ha sido explotada activamente en ataques en el mundo real. La vulnerabilidad, identificada como CVE-2025-14733, afecta a las configuraciones de VPN IKEv2 y tiene una puntuación CVSS de 9.3 (Crítica), permitiendo la ejecución remota de código por parte de atacantes no autenticados. ...