ejecución remota de código
3 artículos con esta etiqueta
Orkes Conductor CVE-2026-58138: ejecución de comandos del sistema sin autenticación, con intentos de ataque observados (actualice a 3.30.2 o posterior)
CVE-2026-58138 es una vulnerabilidad de Conductor, el motor de flujos de trabajo de código abierto del proyecto conductor-oss, al que el registro CVE llama Orkes Conductor. En las versiones desde 3.21.21 hasta antes de 3.30.2, un atacante remoto puede ejecutar comandos del sistema operativo sin autenticación enviando a la API de flujos de trabajo una definición de flujo que contenga expresiones de JavaScript o Python, porque los evaluadores de scripts no estaban aislados. El CVE se publicó el 30 de junio de 2026 con CVSS 9.8 (v3.1) y 9.3 (v4.0). La corrección está en la versión 3.30.2 del 3 de junio, cuyas notas solo la describen como una restricción mayor del motor de JavaScript. Una empresa de seguridad de redes informó en septiembre de que su servicio de prevención de intrusiones bloqueó 1.290 intentos de ataque en un día y 6.696 en siete días. Son intentos bloqueados, no compromisos confirmados. A 31 de octubre, el CVE no figura en el catálogo KEV de CISA y NVD no lo ha analizado (estado Deferred). Nuestra conclusión: si ejecuta Conductor por su cuenta, pase ya a 3.30.2 o posterior, mantenga su API fuera de internet y, si una versión afectada era accesible, revísela como posiblemente comprometida.
Plex2Shell: cuatro CVE de Plex Media Server explotadas activamente (actualice a 1.43.3.10861 o posterior)
Plex2Shell es el nombre que un investigador de seguridad dio a cuatro fallos de Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Según Plex, encadenados permiten a un atacante remoto sin autenticación ejecutar código con los privilegios del proceso de Plex Media Server. Los cuatro están corregidos en 1.43.3.10861, publicada para todos el 4 de agosto de 2026. El 19 de octubre (UTC), Plex escribió que los fallos se están explotando de forma activa y amplia tras la aparición de una prueba de concepto pública el 16 de octubre, y que servidores comprometidos se han usado para ejecutar mineros de criptomonedas y software de proxy. CISA añadió los cuatro a su catálogo Known Exploited Vulnerabilities (KEV) el 20 de octubre, con fechas límite del 23 de octubre y el 3 de noviembre. Por separado, cada CVE solo puntúa entre 4.3 y 7.2 (CVSS v3.1). Nuestra conclusión: si ejecuta Plex Media Server, compruebe hoy que está en 1.43.3.10861 o posterior, deje de exponer directamente el puerto 32400 salvo que necesite el acceso remoto y, si una versión anterior era accesible desde internet, siga las comprobaciones de compromiso de Plex y reconstruya el servidor si tiene dudas.
SharePoint Server CVE-2026-65660: ejecución de código por un usuario con sesión iniciada, explotada (instale las actualizaciones de agosto de 2026)
CVE-2026-65660 es un fallo de inyección de código en Microsoft SharePoint Server local (Subscription Edition, 2019 y Enterprise 2016). Según Microsoft, un atacante autenticado con acceso de bajo nivel puede enviar una solicitud especialmente diseñada para ejecutar código en el servidor, sin interacción del usuario. Tiene CVSS 8.8. La corrección llegó con las actualizaciones de seguridad del 11 de agosto de 2026. Microsoft lo publicó primero como un fallo de suplantación y lo cambió a ejecución remota de código el 27 de agosto. El 25 de septiembre, Microsoft añadió que tenía pruebas fiables de ataques observados, y CISA lo añadió al catálogo KEV ese mismo día con fecha límite del 28 de septiembre. Una empresa de seguridad informó el 24 de septiembre de que intentos de ataque contra un honeypot combinaban este fallo con un problema distinto, del que se informa que se corrigió en junio de 2026, que permite que la solicitud llegue sin iniciar sesión en sitios que admiten la visualización anónima. Nuestra conclusión: si ejecuta SharePoint Server, confirme que cada servidor está en la compilación corregida o superior, asegúrese de que también están instaladas las actualizaciones de junio de 2026, revise el acceso anónimo y busque señales de compromiso en los servidores que iban retrasados en actualizaciones.