vulnerabilidad
45 artículos con esta etiqueta
SAP Security Patch Day de noviembre de 2026: cuatro fallos con CVSS 10.0. Parchee primero Web Dispatcher e ICM expuestos a internet; cómo comprobar si le afecta y qué hacer hoy
El 10 de noviembre de 2026, el Security Patch Day de SAP publicó 35 notas de seguridad nuevas y 4 avisos de seguridad en GitHub, y actualizó 3 notas anteriores. La lista de SAP marca 9 filas como Critical. Cuatro tienen CVSS 10.0: corrupción de memoria en el Internet Communication Manager (ICM) de NetWeaver AS ABAP (CVE-2026-76964) y en SAP Web Dispatcher (CVE-2026-89126), control de acceso roto en SAP Gateway (CVE-2026-89103) y falta de autenticación en el proveedor de servicios SAML2 de AS ABAP (CVE-2026-120017). Los registros CVE describen los cuatro como sin autenticación, por la red y sin interacción del usuario (CVE-2026-120017 en ciertas configuraciones). Tres tienen CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) y exigen un inicio de sesión con pocos privilegios. La lista de SAP no menciona explotación, y ninguno de los CVE de la página está en el catálogo KEV de CISA (versión del 10 de noviembre, 19:00 UTC). De las valoraciones de CISA asociadas a los registros CVE, las cuatro que pudimos ver dicen exploitation: none. El texto de las SAP Notes exige iniciar sesión y este sitio no lo ha leído. Conclusión de este sitio: parchee primero Web Dispatcher e ICM expuestos a internet, confirme los niveles corregidos en las SAP Notes y planifique la actualización incluido el reinicio.
Corrección urgente de OpenSSH 10.6p2 (CVE-2026-123158): añadido al KEV de CISA; en sshd con musl sin PAM, como Alpine, se puede iniciar sesión sin la contraseña
El 5 de noviembre de 2026 OpenSSH publicó la versión 10.6p2 con una solución alternativa crítica para una elusión de la autenticación por contraseña en sshd en algunos sistemas Linux compilados y ejecutados sin PAM, en particular los que usan musl libc, como Alpine Linux. El CVE es CVE-2026-123158 (puntuación base CVSS 3.1 de 8,1, del registro CVE). El 9 de noviembre CISA lo añadió al catálogo de vulnerabilidades explotadas conocidas (KEV), con plazo del 12 de noviembre para las agencias federales de EE. UU. Una empresa privada de inteligencia de amenazas informa de que vio intentos de ataque menos de nueve horas después de la publicación y un éxito en un entorno señuelo; no se ha comunicado ningún daño en sistemas de producción y no se encontró verificación independiente. Alpine Linux publicó un aviso el 5 de noviembre con paquetes corregidos para todas las ramas. Según Alpine, un equipo está afectado cuando la autenticación por contraseña está activada, una cuenta tiene un asterisco en el campo de contraseña y otra cuenta tiene un hash normal. Las configuraciones con PAM activado, con PasswordAuthentication no, o los contenedores que no ejecutan sshd no están afectados. Conclusión de este sitio: si ejecuta sshd en Alpine u otros sistemas basados en musl, como OpenWrt o Linux integrado, actualice hoy al paquete corregido y reinicie sshd, desactive la autenticación por contraseña hasta entonces y revise los registros de autenticación.
SonicWall SonicOS SSL-VPN CVE-2026-19868: se pueden eludir SAML y su MFA, en el KEV de CISA (actualice Gen7 y Gen8)
CVE-2026-19868 es un fallo en el servicio SSL-VPN de SonicWall SonicOS, el sistema operativo de los cortafuegos de SonicWall. Según el aviso SNWLID-2026-0014 de SonicWall del 6 de noviembre de 2026, en un cortafuegos con SAML activado para los inicios de sesión de SSL-VPN, un usuario con credenciales válidas de un método de autenticación alternativo puede eludir los controles de autenticación SAML y, con ellos, la autenticación multifactor (MFA) que SAML impone. SonicWall dice que su equipo de seguridad investigó un informe que indicaba una posible explotación. CISA añadió el CVE a su catálogo Known Exploited Vulnerabilities (KEV) el 6 de noviembre, con fecha límite del 20 de noviembre. Afectados: cortafuegos Gen7 con SonicOS 7.3.3-7015 y anteriores, y cortafuegos Gen8 con 8.2.2-8015 y anteriores. Corregidas: 7.3.4-7013 y 8.2.3-8015 o posteriores. No hay solución alternativa. El mismo aviso cubre otros seis CVE, entre ellos fallos en la interfaz de gestión y un fallo previo a la autenticación en SSL-VPN que puede detener el servicio. Nuestra conclusión: si ejecuta un cortafuegos SonicWall Gen7 o Gen8, actualícelo ya, use o no SAML, y si confía en SAML y MFA para los inicios de sesión de la VPN, compruebe qué otras cuentas pueden seguir iniciando sesión en SSL-VPN.
Jenkins 2.588 y LTS 2.580.2 corrigen 15 fallos (CVE-2026-117612 a 117626): compruebe su versión y qué revisar tras actualizar
El 28 de octubre de 2026 el proyecto Jenkins publicó un aviso de seguridad que corrige 15 vulnerabilidades del núcleo de Jenkins (CVE-2026-117612 a CVE-2026-117626) en la versión semanal 2.588 y en LTS 2.580.2. Están afectadas la semanal 2.587 y anteriores y LTS 2.580.1 y anteriores. El aviso califica 13 como altas y 2 como medias. La mayoría exige algún permiso, como Overall/Read o Item/Configure (algunas configuraciones dan Overall/Read a usuarios anónimos). La excepción es CVE-2026-117618, una condición de carrera en el asistente de configuración que permite a un usuario no autenticado crear una cuenta de administrador durante la configuración inicial, lo que sube la prioridad de las instalaciones nuevas de Jenkins expuestas a internet. Las únicas mitigaciones que indica el aviso son ajustes para desactivar las nuevas comprobaciones si la actualización causa problemas y la aplicación obligatoria de la Política de Seguridad de Contenido, que limita el impacto conocido de tres fallos XSS; la solución es actualizar. Este sitio no encontró ningún informe creíble de explotación a fecha del 3 de noviembre, y ninguno de los 15 figura en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA. La conclusión de este sitio: confirme su versión de Jenkins, actualice a la 2.588 (LTS 2.580.2), mantenga Jenkins fuera de internet y a los usuarios anónimos sin permisos, y revise usuarios, administradores y agentes tras actualizar.
Ataques de ransomware a Synology DSM: versiones desactualizadas atacadas mediante un fallo corregido en diciembre de 2024, qué actualizar y comprobar hoy (SA-24:20)
El 29 de octubre de 2026, Synology dijo que había identificado a actores de amenazas que explotan una vulnerabilidad corregida en diciembre de 2024 para atacar dispositivos con versiones desactualizadas de DSM, con el fin de cifrar datos y exigir un rescate. Insta encarecidamente a todos los que tengan versiones vulnerables a actualizar DSM de inmediato y recomienda activar las actualizaciones automáticas. Remite a Synology-SA-24:20, cuyas versiones corregidas son 7.2.2-72806-1 o superior para DSM 7.2.2, 7.2.1-69057-6 para 7.2.1, 7.2-64570-4 para 7.2, 7.1.1-42962-7 para 7.1 y 6.2.4-25556-8 para 6.2. El aviso enumera tres CVE y Synology no dice cuál de ellos se está explotando. No ha publicado el número de víctimas ni el nombre de ningún atacante. Conclusión de este sitio: compruebe hoy la versión de su DSM, actualice a la versión corregida o posterior y no exponga la interfaz de administración de DSM a internet. Mantenga una copia de seguridad separada del NAS y que este no pueda sobrescribir.
Fallo de WordPress 7.1.4 CVE-2026-119977: se corrige una condición de carrera en la actualización del núcleo que puede llevar a la ejecución remota de código; compruebe su versión y las actualizaciones automáticas
El 28 de octubre de 2026, el proyecto WordPress publicó la versión de seguridad 7.1.4, que corrige un fallo en el proceso de actualización del núcleo que puede llevar a la ejecución remota de código. Según el aviso de seguridad de WordPress en GitHub, durante una actualización del núcleo con un paquete completo, WordPress extraía los archivos nuevos en un directorio predecible dentro de la carpeta de actualización accesible desde la web, y un atacante sin autenticar que gane una carrera contra esa extracción podría lograr la ejecución remota de código (RCE). La corrección llega en 7.1.4 y se ha retroportado a todas las ramas hasta la 4.7 (7.0.8, 6.9.11, 6.8.12, etc.). Wordfence, como CNA, publicó CVE-2026-119977 el 31 de octubre, con una puntuación CVSS v3.1 de 8,1 (alta) y complejidad de ataque alta; el aviso de WordPress la califica como baja y no da puntuación. Según SecurityWeek, un proveedor de seguridad para WordPress vio la primera coincidencia de su nueva regla de firewall nueve minutos después de desplegarla y registró más de 18.500 peticiones dirigidas a ubicaciones temporales de actualización en las primeras 21 horas; el proveedor no ha informado de ningún compromiso exitoso. CISA añadió el CVE a su catálogo Known Exploited Vulnerabilities (KEV) el 3 de noviembre (la ficha de KEV da a las agencias federales de EE. UU. como fecha límite el 6 de noviembre, y CISA les exige, además de parchear, un triaje forense según BOD 26-04). Los sitios con actualizaciones automáticas en segundo plano deberían actualizarse solos; los que las tienen desactivadas deben actualizar manualmente desde la pantalla Actualizaciones. La conclusión de este sitio: trátelo como explotado, actualice hoy y, si su actualización fue tardía, compruebe si hay señales de compromiso (consejo de este sitio).
CVE-2026-98432 del kernel de Linux: un use-after-free de TCP activable por red (CVSS 9.8); instale el kernel corregido, reinicie y revise MPTCP
CVE-2026-98432 es un use-after-free en el código TCP IPv4 del kernel de Linux, publicado el 15 de octubre de 2026. La CNA del proyecto del kernel lo puntúa con CVSS v3.1 9.8 (red, sin privilegios, sin interacción del usuario). Según se informa, investigadores de una empresa de IA demostraron, en laboratorio y según su propio informe, la ejecución remota de código como root contra un servidor con un oyente Multipath TCP (MPTCP). BleepingComputer dice que no se ha demostrado públicamente la ejecución remota de código en servidores TCP normales y que no se ha confirmado ninguna explotación activa, y este sitio no encontró el CVE en el catálogo KEV de CISA el 1 de noviembre. Las correcciones upstream están en 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 y 7.2.10 y posteriores. A 1 de noviembre, Debian tiene kernels corregidos, SUSE tiene algunos, y Ubuntu y Red Hat indican las correcciones como en curso. Desactivar solo MPTCP no es una solución completa. Conclusión de este sitio: actualice los servidores Linux expuestos a internet a medida que lleguen las correcciones, reinicie y use una medida provisional del proveedor solo hasta entonces.
Qué comprobar tras una actualización urgente de PHP: PHP web frente a PHP de línea de comandos, set -e y códigos de salida de diff, y una revisión de intrusión
Durante la respuesta de octubre de 2026 a las vulnerabilidades críticas de PHP, un sitio que gestiona el operador de este sitio había actualizado el PHP web, pero el PHP de línea de comandos que usaba cron seguía apuntando a una versión antigua. Compruebe por separado el web y la CLI. Con set -e, diff y grep devuelven el estado de salida 1 para «diferencias encontradas» o «sin coincidencias», lo que detiene el script; gestione por separado los códigos 0, 1 y 2. Tras el parche, ejecute la misma lista de revisión de intrusión en todos los servidores, y resuelva una entrada de registro sospechosa comparando los archivos activos con la copia desplegada de referencia.
Ciberataques y filtraciones de datos de octubre de 2026: 36 vulnerabilidades explotadas y filtraciones masivas
En octubre de 2026, CISA añadió 36 vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), siete menos que las 43 de septiembre. Once eran productos perimetrales y de acceso remoto, como dispositivos VPN y cortafuegos; cinco eran fallos antiguos publicados entre 2015 y 2023 (todos añadidos el 8 de octubre); diez eran de Plex, PHP, Ahsay y Zammad, y diez de otros productos. Este sitio publicó 115 primeros avisos sobre incidentes y vulnerabilidades en octubre (65 incidentes en Japón, 28 en el extranjero, 4 globales y 18 vulnerabilidades); es un recuento de los artículos de este sitio, no estadísticas nacionales. En Japón siguieron las filtraciones de bases de datos de miembros y de aplicaciones. Las mayores cifras anunciadas fueron ShopServe (unos 23,356 millones de personas), la app de MUJI (hasta unos 27,26 millones de registros, posible), Club Tourism (unos 4,32 millones de registros, posible) y Hana Cupid (hasta 4.238.242 registros). También continuaron las filtraciones en proveedores de servicios y SaaS, los robos en casas de cambio de criptomonedas y los incidentes en plataformas para desarrolladores de IA. Nuestra conclusión para noviembre: actualice primero los dispositivos perimetrales que llegaron a KEV, inventaríe los servicios externos que guardan sus listas de clientes y prepárese para el phishing que se hace pasar por una empresa afectada.
Cisco Catalyst SD-WAN Manager CVE-2026-76504: acceso de administrador sin iniciar sesión, explotada (actualice a una versión corregida)
CVE-2026-76504 es un fallo en la autenticación de sesiones de la API de Cisco Catalyst SD-WAN Manager (antes vManage), el sistema de gestión de la SD-WAN de Cisco. Según el aviso de Cisco del 30 de septiembre de 2026, un manejo incorrecto de la codificación URI en una solicitud HTTP permite a un atacante remoto sin autenticación eludir una regla de autenticación y llegar a la API con los privilegios del usuario admin. Afecta al producto sea cual sea su configuración y tiene CVSS 9.8. Cisco dice que su equipo de seguridad tuvo conocimiento de explotación activa en septiembre de 2026. No hay solución alternativa; la corrección es actualizar a la primera versión corregida de su rama (20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 o 26.2.1). El servicio en la nube gestionado por Cisco ya está corregido. CISA lo añadió al catálogo KEV el 30 de septiembre con fecha límite del 3 de octubre. Nuestra conclusión: si ejecuta SD-WAN Manager en sus instalaciones, actualice ya, mantenga sus interfaces de gestión fuera de internet y revise sus registros con las comprobaciones del aviso de Cisco, porque puede haber estado expuesto durante semanas.
Drupal Commerce Core CVE-2026-118539: omisión de acceso sin autenticación, explotada activamente (actualice a 8.x-2.41 o 3.3.13)
El 28 de octubre de 2026, el Equipo de Seguridad de Drupal publicó SA-CONTRIB-2026-254 para el módulo Commerce Core (CVE-2026-118539). El módulo no protege lo suficiente ciertas rutas y campos de entidad, lo que permite una omisión de acceso que puede tener un impacto financiero para el dueño de la tienda. Drupal la clasifica como Muy crítica (21/25), sin requerir autenticación, y afirma que se está explotando activamente en la práctica. Las versiones afectadas son las anteriores a 8.x-2.41 y de 3.0.0 hasta 3.3.13 sin incluir; las versiones corregidas son 8.x-2.41 y 3.3.13. El registro de NVD muestra una puntuación CVSS v3.1 más baja, de 6,5, añadida por el ADP de CISA, y sigue pendiente de análisis. A fecha del 31 de octubre no figura en el catálogo KEV de CISA. Nuestra conclusión: si gestiona una tienda online en Drupal Commerce, actualice ya y audite los pedidos y pagos recientes por si hay algo incoherente.
Ivanti Connect Secure CVE-2026-111357 y CVE-2026-118527: dos fallos más añadidos al KEV de CISA (qué hacer ante los ataques de octubre)
El 30 de octubre de 2026, CISA añadió dos vulnerabilidades de Ivanti Connect Secure a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV): CVE-2026-111357, una escalada local de privilegios a root, y CVE-2026-118527, un fallo de identificadores predecibles que permite a un atacante remoto autenticado colocar archivos con contenido controlado por el atacante en una ubicación conocida. CISA dice que ambas pueden encadenarse con CVE-2026-104935, la omisión de autenticación añadida al KEV el 13 de octubre. El 2 de noviembre una empresa de investigación estadounidense informó de que Ivanti actualizó su aviso el 29 de octubre para añadir los dos CVE y publicó correcciones (no pudimos leer el aviso de Ivanti en sí, así que esto se basa en la cita de la empresa): 25.1.1.3 para 25.1.1.2 y anteriores, y 22.8R2.6 para 22.8R2.5 y anteriores. Las correcciones del 13 de octubre (25.1.1.2 y 22.8R2.5) no corrigen estos dos. Ivanti recomienda pasar de 22.8.x a 25.1.1.3 o posterior, o aplicar 22.8R2.6 si eso no es posible de inmediato. Ivanti dice que la explotación anterior a la divulgación afectó a un número limitado de clientes, encadenada con CVE-2026-104935. La fecha límite para las agencias federales de EE. UU. es el 2 de noviembre para CVE-2026-111357 y el 13 de noviembre para CVE-2026-118527. Otra empresa de investigación informa de explotación desde el 3 de octubre, robo de credenciales y consultas a Active Directory para obtener contraseñas de Windows LAPS y claves de recuperación de BitLocker. CISA y la empresa advierten de que la herramienta Integrity Checker de Ivanti puede no detectar la explotación. Nuestra conclusión: aplique los parches ya y, incluso después, considere posiblemente comprometido cualquier appliance accesible desde internet desde principios de octubre hasta que un análisis forense diga lo contrario. Conserve la memoria y los registros antes de cualquier reinicio o restablecimiento, y rote las credenciales, incluidas las contraseñas de administrador local gestionadas por LAPS y las claves de recuperación de BitLocker. Confirme los números de versión en el aviso de Ivanti.
Orkes Conductor CVE-2026-58138: ejecución de comandos del sistema sin autenticación, con intentos de ataque observados (actualice a 3.30.2 o posterior)
CVE-2026-58138 es una vulnerabilidad de Conductor, el motor de flujos de trabajo de código abierto del proyecto conductor-oss, al que el registro CVE llama Orkes Conductor. En las versiones desde 3.21.21 hasta antes de 3.30.2, un atacante remoto puede ejecutar comandos del sistema operativo sin autenticación enviando a la API de flujos de trabajo una definición de flujo que contenga expresiones de JavaScript o Python, porque los evaluadores de scripts no estaban aislados. El CVE se publicó el 30 de junio de 2026 con CVSS 9.8 (v3.1) y 9.3 (v4.0). La corrección está en la versión 3.30.2 del 3 de junio, cuyas notas solo la describen como una restricción mayor del motor de JavaScript. Una empresa de seguridad de redes informó en septiembre de que su servicio de prevención de intrusiones bloqueó 1.290 intentos de ataque en un día y 6.696 en siete días. Son intentos bloqueados, no compromisos confirmados. A 31 de octubre, el CVE no figura en el catálogo KEV de CISA y NVD no lo ha analizado (estado Deferred). Nuestra conclusión: si ejecuta Conductor por su cuenta, pase ya a 3.30.2 o posterior, mantenga su API fuera de internet y, si una versión afectada era accesible, revísela como posiblemente comprometida.
Plex2Shell: cuatro CVE de Plex Media Server explotadas activamente (actualice a 1.43.3.10861 o posterior)
Plex2Shell es el nombre que un investigador de seguridad dio a cuatro fallos de Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Según Plex, encadenados permiten a un atacante remoto sin autenticación ejecutar código con los privilegios del proceso de Plex Media Server. Los cuatro están corregidos en 1.43.3.10861, publicada para todos el 4 de agosto de 2026. El 19 de octubre (UTC), Plex escribió que los fallos se están explotando de forma activa y amplia tras la aparición de una prueba de concepto pública el 16 de octubre, y que servidores comprometidos se han usado para ejecutar mineros de criptomonedas y software de proxy. CISA añadió los cuatro a su catálogo Known Exploited Vulnerabilities (KEV) el 20 de octubre, con fechas límite del 23 de octubre y el 3 de noviembre. Por separado, cada CVE solo puntúa entre 4.3 y 7.2 (CVSS v3.1). El 6 de noviembre, QNAP dijo que algunos usuarios habían informado de que Plex Media Server en su NAS parecía haber sido comprometido; dice que sus propios sistemas operativos, QTS y QuTS hero, no están afectados, y pide a los propietarios cuyo Plex era accesible desde internet que traten el NAS como posiblemente comprometido. Nuestra conclusión: si ejecuta Plex Media Server, compruebe hoy que está en 1.43.3.10861 o posterior, deje de exponer directamente el puerto 32400 salvo que necesite el acceso remoto y, si una versión anterior era accesible desde internet, siga las comprobaciones de compromiso de Plex y reconstruya el servidor si tiene dudas (en un NAS de QNAP, siga las preguntas frecuentes de QNAP).
SharePoint Server CVE-2026-65660: ejecución de código por un usuario con sesión iniciada, explotada (instale las actualizaciones de agosto de 2026)
CVE-2026-65660 es un fallo de inyección de código en Microsoft SharePoint Server local (Subscription Edition, 2019 y Enterprise 2016). Según Microsoft, un atacante autenticado con acceso de bajo nivel puede enviar una solicitud especialmente diseñada para ejecutar código en el servidor, sin interacción del usuario. Tiene CVSS 8.8. La corrección llegó con las actualizaciones de seguridad del 11 de agosto de 2026. Microsoft lo publicó primero como un fallo de suplantación y lo cambió a ejecución remota de código el 27 de agosto. El 25 de septiembre, Microsoft añadió que tenía pruebas fiables de ataques observados, y CISA lo añadió al catálogo KEV ese mismo día con fecha límite del 28 de septiembre. Una empresa de seguridad informó el 24 de septiembre de que intentos de ataque contra un honeypot combinaban este fallo con un problema distinto, del que se informa que se corrigió en junio de 2026, que permite que la solicitud llegue sin iniciar sesión en sitios que admiten la visualización anónima. Nuestra conclusión: si ejecuta SharePoint Server, confirme que cada servidor está en la compilación corregida o superior, asegúrese de que también están instaladas las actualizaciones de junio de 2026, revise el acceso anónimo y busque señales de compromiso en los servidores que iban retrasados en actualizaciones.
VMware ESX CVE-2026-41709 (CVSS 2.7): CISA incluye como explotado este fallo de registro de baja gravedad; aplique todo VMSA-2026-0006 y revise sus hosts
CVE-2026-41709 es un fallo de registro insuficiente en VMware ESX (CVSS 2.7, bajo): un atacante que ya tiene acceso de administrador puede realizar ciertas operaciones sin que queden registradas en los logs. Broadcom lo corrigió en el aviso VMSA-2026-0006 el 29 de julio de 2026, sin solución alternativa. El 28 de octubre de 2026 (hora de EE. UU.) CISA lo añadió a su catálogo de vulnerabilidades explotadas conocidas (KEV), con fecha límite del 11 de noviembre para las agencias federales de EE. UU. El informe de amenazas de una empresa de seguridad dice que un grupo vinculado a China lo usó como día cero en varias intrusiones en organizaciones de EE. UU., hasta principios de 2026, y SecurityWeek describe la finalidad como reducir la visibilidad del rastro de auditoría; este sitio no ha verificado ese informe de forma independiente. El fallo no da entrada por sí solo, pero significa que los registros de un host afectado pueden no mostrar lo que hizo un intruso. El mismo aviso incluye dos fallos de vCenter con 9,8, uno de los cuales (CVE-2026-59310) CISA incluyó como explotado el 18 de agosto, de modo que aplicar solo la corrección del fallo de ESX deja abiertas las vías de entrada. Conclusión de este sitio: actualice ESX y vCenter a las compilaciones corregidas de todo el aviso, envíe los registros de los hosts a un servidor aparte y busque señales de compromiso en lugar de fiarse solo de los registros.
Falla de VPN en Cisco ASA y FTD CVE-2026-76418: un atacante sin autenticar puede reiniciar el dispositivo (cómo comprobarlo, versiones corregidas)
El 28 de octubre de 2026 (UTC), Cisco divulgó CVE-2026-76418 (CVSS v3.1 8.6) en el servicio de VPN SSL de acceso remoto de Cisco Secure Firewall ASA y Secure Firewall Threat Defense (FTD). Un atacante remoto sin autenticar puede hacer que el dispositivo se reinicie inesperadamente, causando una denegación de servicio. La causa es un error de lógica cuando hay autenticación secundaria configurada en un grupo de túnel (un perfil de conexión VPN), activado por una solicitud manipulada al conectarse a la VPN SSL. El aviso no describe ejecución de código ni filtración de datos. No hay solución alternativa, y Cisco recomienda encarecidamente actualizar. Cisco PSIRT dice que tuvo conocimiento de explotación en octubre de 2026, pero no da detalles. CISA la añadió a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 29 de octubre, con fecha límite del 1 de noviembre para las agencias federales de EE. UU. Nuestra conclusión: si expone la VPN SSL en ASA o FTD, compruebe si algún grupo de túnel usa autenticación secundaria y, en ese caso, actualice. Existen mitigaciones provisionales de Cisco, pero reducen la seguridad.
Fragnesia del kernel de Linux (CVE-2026-46300): CISA la incluye como explotada con plazo al 31 de octubre; actualice PHP y el kernel, y reinicie
CVE-2026-46300, apodada Fragnesia, es una falla del kernel de Linux que permite a un usuario local con pocos privilegios obtener root (CVSS v3.1 7.8, vector de ataque local). Cuando el kernel mueve fragmentos de datos entre búferes de red, puede perder una marca que indica que los datos se comparten con un archivo en memoria, y el código IPsec ESP puede entonces descifrar sobre la copia en caché de un archivo de solo lectura. El proyecto del kernel publicó el CVE el 23 de mayo de 2026, y las correcciones están en los kernels 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 y 7.0.10 y posteriores. El 28 de octubre de 2026 (hora de EE. UU.), CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas (KEV) por pruebas de explotación activa, con fecha límite del 31 de octubre para las agencias federales de EE. UU. La descripción de CISA dice que puede encadenarse con las fallas de PHP CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root. Una empresa de seguridad informó de que esta cadena se usó contra 25 servidores (sobre todo cortafuegos), y SecurityWeek repitió el informe; este sitio no ha verificado las cifras de forma independiente. Ubuntu, Red Hat y Debian han publicado kernels corregidos, y una actualización del kernel solo surte efecto tras reiniciar. Conclusión de este sitio: si ejecuta sitios PHP en Linux, actualice PHP y el kernel, reinicie y busque webshells.
Vulnerabilidad CVE-2026-48356 de Adobe Commerce y Magento: CISA confirma su explotación (KEV), la corrección de julio y cómo comprobar si hubo intrusión
El 27 de octubre de 2026, CISA añadió CVE-2026-48356, una vulnerabilidad de subida de archivos en Adobe Commerce y Magento Open Source, a su catálogo de vulnerabilidades explotadas conocidas (KEV). El plazo para las agencias civiles federales de EE. UU. es el 10 de noviembre. Adobe corrigió este fallo, junto con otros 13, en el boletín de seguridad APSB26-73 el 14 de julio de 2026. Están afectados Adobe Commerce 2.4.4 a 2.4.9, Magento Open Source 2.4.6 a 2.4.9, Adobe Commerce B2B y Adobe Commerce Events. La corrección es la corrección de seguridad 2026-jul de cada línea de versiones (1.21.0 para Events). La tabla del boletín de Adobe le asigna un CVSS de 9,6, mientras que el registro CVE de Adobe y NVD le asignan 9,3; la única diferencia es el impacto en la disponibilidad. El boletín de Adobe (actualizado el 11 de agosto) sigue diciendo que Adobe no tiene constancia de explotación. El 24 de octubre, una empresa de seguridad de comercio electrónico informó de que web shells colocadas a través de este fallo (al que llama PolyShell) y de otros fallos se usaron para inyectar JavaScript en páginas de tiendas, en una campaña que ha alcanzado 953 tiendas, en su mayoría Magento, desde julio de 2025, y de que encontró el código inyectado también en tiendas corregidas. A 28 de octubre, ningún organismo público japonés ha emitido una alerta y ninguna tienda japonesa ha revelado estar afectada. Conclusión de este sitio: las tiendas con Adobe Commerce y Magento deben confirmar hoy que la corrección de julio está aplicada y, aunque lo esté, revisar las carpetas de subida, los bloques CMS y las cuentas de administrador en busca de indicios de intrusión.
Vulnerabilidad de Brotli CVE-2026-111497 (Node2Shell): cómo comprobar Node.js, Python y .NET, y qué actualizar
El 21 de octubre de 2026 (hora de EE. UU.), Google publicó Brotli 1.2.1, 1.1.1 y 1.0.10 para corregir CVE-2026-111497, una escritura fuera de límites en la biblioteca oficial de Brotli. Están afectadas Brotli 1.0.3–1.0.9, 1.1.0 y 1.2.0. Descomprimir datos Brotli manipulados puede corromper la memoria y provocar caídas, revelación de memoria o, potencialmente, ejecución de código arbitrario. Google le asigna 9,2 según CVSS v4.0. Node.js publicó 22.23.4, 24.22.1 y 26.12.1 el mismo día, y el 22 de octubre se corrigieron los paquetes de PyPI en brotli 1.2.1 y brotlicffi 1.2.1.0. Microsoft publicó correcciones para .NET 8, 9 y 10 (8.0.33, 9.0.22, 10.0.14) el 25 de octubre (hora de EE. UU.), y Bun (1.4.4) y Envoy también publicaron correcciones. JPCERT/CC, el equipo de respuesta a emergencias informáticas de Japón, emitió el 26 de octubre una alerta que menciona los apodos Node2Shell y HTTP2Shell. Muchos programas llevan su propia copia de Brotli, por lo que actualizar la biblioteca del sistema operativo no corrige las copias incluidas en las compilaciones oficiales de Node.js, los wheels de Python de PyPI, las imágenes de contenedor ni los ejecutables de un solo archivo. El 27 de octubre (hora de EE. UU.), CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas (KEV), citando pruebas de explotación activa, y dio a las agencias federales de EE. UU. hasta el 10 de noviembre para corregirla. CISA no publicó detalles. Una empresa de inteligencia de amenazas informó de haber observado tráfico de explotación contra Node.js 24.22.0, aunque ese tráfico falló en la prueba de la propia empresa, y Microsoft sigue marcando el fallo como no explotado. Medios de comunicación informan de que se ha publicado código de prueba de concepto. La conclusión de este sitio: si un servicio con Node.js, Bun, Python o .NET descomprime datos recibidos del exterior, actualícelo hoy sin esperar a una ventana de mantenimiento y después reconstruya contenedores y ejecutables. Sitios WordPress y PHP: empresas de seguridad explican el 2 de noviembre que no es un fallo del núcleo de WordPress, de los plugins ni de los temas, así que actualizar WordPress no lo corrige. WordPress no incluye Brotli y usa la biblioteca del sistema operativo, así que actualice el paquete libbrotli del SO, reconstruya los contenedores y reinicie después PHP-FPM o Apache (el reinicio es una adición nuestra). Una empresa reprodujo en laboratorio la ejecución de código mediante pingbacks de XML-RPC, y dice que a 2 de noviembre no encontró ningún informe público de un sitio WordPress realmente comprometido.
Vulnerabilidad CVE-2026-110447 en el servidor CODE integrado de Collabora en Nextcloud, explotada: quién está afectado y qué hacer
El 14 de octubre de 2026, los desarrolladores de Collabora Online revelaron el CVE-2026-110447, una vulnerabilidad de inyección de comandos del sistema operativo sin autenticación en la aplicación de Nextcloud Collabora Online - Built-in CODE Server (ID de aplicación richdocumentscode). A través de proxy.php de la aplicación, los comandos pueden ejecutarse como el usuario del servidor web. La condición es que el servidor CODE integrado no esté en ejecución, lo que puede ocurrir tras un reinicio del contenedor, una actualización o un fallo. Están afectadas las versiones anteriores a la 26.4.303; la 26.4.303 se publicó el 11 de septiembre. Los desarrolladores afirman que desactivar la aplicación no evita el problema y piden actualizarla o eliminarla. En Nextcloud 29 y versiones anteriores, que ya no tienen soporte, actualiza Nextcloud o elimina la aplicación. Según los desarrolladores, los servidores independientes de Collabora Online, las imágenes Docker, los paquetes RPM/DEB y Nextcloud All-in-One no están afectados. La puntuación CVSS v4.0 es 9,2. CISA añadió el fallo a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 23 de octubre, con fecha límite el 26 de octubre. Los usuarios informaron de ataques desde alrededor del 10 de septiembre en el repositorio de los desarrolladores y, según informes de prensa, se instalaron web shells. Conclusión de este sitio: si la aplicación CODE integrada está instalada, aunque esté desactivada, comprueba su versión hoy, actualízala o elimínala y luego busca indicios desde el 10 de septiembre.
GitLab CVE-2026-110264 (CVSS 10.0) y la CVE-2026-97229 explotada: cómo comprobar y actualizar un GitLab autogestionado
El 21 de octubre de 2026, GitLab publicó las versiones de parche crítico 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13 para Community Edition (CE) y Enterprise Edition (EE). La falla más grave, CVE-2026-110264 (CVSS 10.0), es un desbordamiento de entero al compilar una expresión regular especialmente diseñada que, bajo ciertas condiciones, podría permitir a un usuario no autenticado ejecutar código arbitrario en el servidor de GitLab. Casi todas las versiones desde la 7.0 están afectadas. El 29 de octubre, CISA añadió una falla hermana, CVE-2026-97229 (CVSS 10.0, CWE-190), a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), con fecha límite del 1 de noviembre. Es el mismo tipo de fallo (un desbordamiento de entero en el compilador de expresiones regulares de CI/CD, alcanzable por un usuario no autenticado); GitLab la corrigió antes, el 12 de octubre, en 19.4.2, 19.3.5 y 19.2.8, y afecta solo a 19.2.0 a 19.2.7, 19.3.0 a 19.3.4 y 19.4.0 a 19.4.1. Quien siga por debajo de 19.4.2, 19.3.5 o 19.2.8 está expuesto a una falla explotada. Actualizar a las versiones recomendadas aquí (19.5.1, 19.4.3, 19.3.6, 19.2.9) también corrige CVE-2026-97229. GitLab.com ya está parcheado; las instalaciones autogestionadas deben actualizarse. La misma versión del 21 de octubre corrige dos fallas de gravedad alta (CVSS 8.2 y 7.5) y otras, pero esas correcciones solo llegan en las líneas 19.3.6, 19.4.3 y 19.5.1. La causa raíz está en el motor de expresiones regulares de Ruby (Onigmo), y Ruby publicó 4.0.9, 3.4.12 y 3.3.13 el 23 de octubre. Las aplicaciones que compilan una regexp a partir de cadenas controladas por un atacante están afectadas, y Regexp.timeout no protege contra estos fallos. Los avisos de GitLab no dicen que CVE-2026-110264 se haya explotado, y no figura en KEV a 30 de octubre. Alpine Linux informó de un intento de ataque contra su propio GitLab mediante CVE-2026-97229 el 20 y 21 de octubre, y de que actualizar solo GitLab (a la 19.3.6) no cerró la falla porque la corrección también necesitaba un Ruby parcheado; reconstruyó la instancia y no encontró pruebas de que se ejecutara código del atacante. Conclusión de este sitio: actualice hoy el GitLab autogestionado tras revisar las paradas obligatorias de actualización, termine en la 19.3.6 o posterior y, si compila GitLab usted mismo o usa su propio Ruby, compruebe que ese Ruby sea también 3.3.13, 3.4.12 o 4.0.9 o posterior. Las aplicaciones Ruby deben pasar a un Ruby corregido y dejar de construir regexps a partir de la entrada del usuario.
VeloCloud Orchestrator: explotación de CVE-2026-114625, versiones corregidas y qué revisar
El 22 de octubre de 2026, Arista divulgó CVE-2026-114625, una vulnerabilidad de inyección SQL (CVSS v4.0 9.4, v3.1 9.9) en la edición local (on-premises) de VeloCloud Orchestrator (VCO), su plataforma de gestión SD-WAN. Arista indica que detectó el problema y que se sabe que se explota activamente. Cualquier usuario autenticado, incluso con el rol de inquilino integrado más bajo (Enterprise Read Only), puede obtener privilegios de operador y hacerse pasar por un operador superusuario local. Las versiones corregidas son 5.2.3.18, 6.1.3.10 y 6.4.2.12. El aviso indica que las versiones no incluidas en la lista no son vulnerables; la rama 7.0 no figura y no se da ninguna razón. VCO alojado (Hosted), incluido Dedicated, ya fue parcheado. CISA añadió la falla a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 23 de octubre, con fecha límite el 26 de octubre. Es la tercera falla de VCO explotada en tres meses, después de CVE-2026-16812 en julio (inyección de comandos del sistema operativo, sin autenticación, CVSS 10.0) y CVE-2026-93952 en septiembre (validación de entrada incorrecta, sin autenticación, CVSS v3.1 10.0). Conclusión de este sitio: las organizaciones que ejecutan VCO on-prem deben pasar hoy a la última versión corregida de su rama, limitar la interfaz de gestión a redes administrativas de confianza, y conservar los registros y comprobar si hubo compromiso antes de actualizar.
Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026: Ivanti, PAN-OS, FortiOS, Cisco
Entre el 13 y el 16 de octubre de 2026, CISA añadió a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) cuatro vulnerabilidades en dispositivos perimetrales muy extendidos (equipos que están en el límite entre una red e internet): Ivanti Connect Secure CVE-2026-104935 (omisión de autenticación, sin necesidad de inicio de sesión, CVSS 8.6), Palo Alto Networks PAN-OS CVE-2026-0322 (ejecución de código en la interfaz de administración, requiere inicio de sesión con privilegios altos, CVSS v4.0 8.6), Fortinet FortiOS y productos relacionados CVE-2025-61624 (path traversal, requiere inicio de sesión de administrador, CVSS 6.0) y Cisco Secure Email Gateway CVE-2026-76519 (escritura arbitraria de archivos, sin necesidad de inicio de sesión, CVSS 9.8). Atlassian Data Center CVE-2026-21589 (lectura de archivos, sin necesidad de inicio de sesión) se añadió el 15 de octubre. Todos los plazos federales ya han vencido. Conclusión de este sitio: si usa alguno de estos cinco productos, actualice hoy a una versión corregida, limite el acceso de administración a las redes administrativas y compruebe si hubo compromiso antes de actualizar.
Claves de CA intermedias de eMudhra (emSign) comprometidas: qué deben hacer los usuarios de Python con pip, certifi y uv
El 17 de octubre de 2026, un informe mostró que las claves privadas de ocho certificados intermedios de la autoridad de certificación india eMudhra (seis para TLS) se habían generado tan mal que cualquiera podía recuperarlas. eMudhra revocó los ocho el 18 de octubre, y Chrome y Firefox los bloquearon el 17 de octubre mediante sus mecanismos de envío. El 20 de octubre Mozilla decidió una retirada de confianza de emergencia de la raíz superior, emSign ECC Root CA - G3, y Chrome la eliminará el 27 de octubre (hora del Pacífico). Los navegadores están protegidos, pero los clientes TLS fuera del navegador pueden confiar en certificados falsificados hasta que actualicen su propia copia de la lista de CA. En Python, pip siempre carga su certifi incluido, por lo que un pip antiguo sigue expuesto aunque el almacén del sistema operativo se corrija. Los proyectos de Python publicaron un aviso el 20 de octubre (actualizado hasta el 22 de octubre) pidiendo actualizar a certifi 2026.10.19 como mínimo, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 y pixi 0.82.1, y reconstruir las imágenes de contenedor sin la caché de capas. El 21 de octubre publicaron Python 3.15.1, 3.14.9 y 3.13.17 con pip 26.2.2 incluido. No habrá una versión 3.11 ni 3.12 con un pip más nuevo. No se trata de un fallo de ejecución de código en CPython: un atacante en la ruta de red podría redirigir las conexiones a PyPI, python.org y otros sitios a un servidor falso. No se había anunciado ninguna explotación al 24 de octubre. El 22 de octubre eMudhra anunció que abandonará el negocio global de certificados SSL/TLS. La opinión de este sitio: actualice pip a 26.2.2 o posterior y certifi a 2026.10.19 o posterior en todos los entornos, reconstruya las imágenes de Docker sin caché y eleve cualquier fijación de certifi en los lockfiles.
SiteGuard Server Edition CVE-2026-106931 explotada: quién está afectado y qué hacer
El 14 de octubre de 2026, EG Secure Solutions divulgó CVE-2026-106931, una vulnerabilidad de inyección de comandos del sistema operativo en la función de estadísticas de SiteGuard Server Edition, su firewall de aplicaciones web (WAF) basado en host, y dijo que ya se ha confirmado su explotación. La explotación puede permitir ejecutar comandos arbitrarios del sistema operativo con privilegios de root o SYSTEM en el servidor que ejecuta el producto. Están afectadas las versiones Ver2.20 y posteriores con la función de estadísticas activada (está activada por defecto): las ediciones Apache, Nginx e IIS anteriores a Ver8.00 Update5, y las ediciones Apache y Nginx para FreeBSD anteriores a Ver7.00 Update6. La edición IIS desde Ver3.10 hasta Ver4.00 Update4 no está afectada. Las correcciones son Ver8.00 Update5 y Ver7.00 Update6; para los sistemas que no se pueden actualizar hay un parche, incluso para versiones sin soporte. El fabricante califica la falla con vector de ataque local y privilegios bajos requeridos (CVSS v3.0 7.8, v4.0 8.5). JPCERT/CC emitió una alerta, indicando que ha confirmado que el producto se usa ampliamente en Japón y que desactivar la función de estadísticas evita el problema. CISA añadió la falla a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 20 de octubre con fecha límite el 23 de octubre. Conclusión de este sitio: si usa Server Edition, compruebe hoy la versión y la función de estadísticas, guarde los datos de diagnóstico antes de actualizar y luego aplique la versión corregida o el parche.
[Última hora] Los fallos de PHP CVE-2026-109618 y CVE-2026-109619 ya se están explotando y CISA los añade a su catálogo KEV: actualice ya a 8.5.12, 8.4.27, 8.3.36 u 8.2.35
El 21 de octubre de 2026, el equipo de seguridad de PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código (RCE) sin autenticación, e instó a todos los usuarios a actualizar de inmediato. CVE-2026-109618 se relaciona con la gestión de memoria agotada y CVE-2026-109619 con un estado interno obsoleto que sobrevive entre peticiones; ambas tienen una puntuación de 9,2 según CVSS v4.0. Todas las instalaciones de PHP que atienden peticiones web están en riesgo (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). El equipo considera que mod_php es el de mayor riesgo, citando un exploit demostrado en el que una petición sin autenticar activa el ataque antes de que se ejecute cualquier código de la aplicación. PHP 8.1 y versiones anteriores no reciben actualización oficial; el equipo proporcionó backports mínimos del código fuente para 7.4, 8.0 y 8.1. Las distribuciones Linux recibieron los parches con antelación. No existe una mitigación completa; actualizar es la única opción segura. El 22 de octubre, IPA y JPCERT/CC de Japón emitieron alertas y JVN publicó JVNVU#99905564. CISA, que no había observado explotación cuando publicó por primera vez su alerta, añadió ambos fallos a su catálogo Known Exploited Vulnerabilities (KEV) el 26 de octubre, con un plazo hasta el 29 de octubre para las agencias civiles federales de EE. UU. Según informes de medios, los honeypots de un investigador de seguridad con PHP 8.4.26 sin parchear bajo mod_php registraron una ejecución remota de código exitosa el 24 de octubre. Los honeypots de un importante proveedor de nube ya habían registrado intentos de explotación desde el 17 de octubre, cuatro días antes de la divulgación. Hasta donde este sitio ha podido comprobar, a fecha del 27 de octubre no se había hecho pública ninguna intrusión fuera de honeypots. La mayoría de los principales proveedores japoneses de hosting compartido han anunciado que la corrección está aplicada, pero algunos, como KAGOYA, no. El 23 de octubre, el equipo de PHP divulgó una tercera incidencia (CVE-2026-115560) que las versiones del 21 de octubre no corrigen. Solo puede llevar a la ejecución de código con una combinación específica de configuración y código de aplicación; el equipo la considera improbable en la práctica, incluirá la corrección y un aviso completo en la próxima versión regular y recomienda establecer session.upload_progress.enabled=0 hasta entonces. No se han publicado las versiones afectadas ni una puntuación CVSS, y no se ha informado de explotación. A fecha del 29 de octubre (comprobado en php.net) no había ninguna versión que corrigiera esta incidencia. El 28 de octubre, CISA añadió también a KEV el fallo del kernel de Linux CVE-2026-46300 (plazo el 31 de octubre para las agencias federales de EE. UU.) y dijo que puede encadenarse con estos dos fallos para implantar webshells de PHP y ejecutar comandos como root. La postura de este sitio: la explotación ya está confirmada, así que confirme si usted o su proveedor actualizan PHP en cada sitio y pase a la versión corregida hoy. Revise también los registros desde el 17 de octubre en adelante en busca de señales de intrusión. En hosting compartido, consulte el aviso de finalización de su proveedor en su sitio web oficial.
Filtración masiva de MOVEit (2023) — cómo un zero-day de inyección SQL alcanzó a más de 2.700 organizaciones, y cómo defenderse
La entrada fue un zero-day de inyección SQL (CVE-2023-34362) en MOVEit Transfer, expuesto a internet. Se plantó un web shell (LEMURLOOT) y se robaron datos en masa de la base de datos de respaldo, golpeando a más de 2.700 organizaciones y ~93,3M de personas. La mayoría de las víctimas fueron arrastradas indirectamente porque un proveedor usaba MOVEit. En tu entorno: parcheo rápido de KEV, minimizar la exposición, mínimo privilegio y segmentación web↔BD, inventario de proveedores y minimización de datos.
Qué es CORS: cómo funciona y qué expone una mala configuración
CORS es cómo el navegador controla si el JS de otro origen puede leer las respuestas de tu API. Una mala configuración —reflejar cualquier Origin, o Access-Control-Allow-Origin:* con credenciales— deja que un tercero lea datos con sesión iniciada. La defensa básica: una lista de permitidos, no reflejar el Origin a ciegas, denegar por defecto.
Qué es la fijación de sesión: hacer que una víctima inicie sesión con un ID que el atacante ya conoce
La fijación de sesión hace que una víctima use un ID de sesión conocido por el atacante, y luego la suplanta después de que inicie sesión con él. La defensa principal: regenerar el ID de sesión al iniciar sesión (y al cambiar de privilegios). No aceptes IDs desde la URL y configura HttpOnly/Secure/SameSite en las cookies.
¿Qué es el clickjacking? Un ataque que te hace pulsar botones de una página transparente superpuesta a otra
El clickjacking superpone de forma invisible tu sitio real sobre la página del atacante para que el usuario realice una acción no deseada (una transferencia, un cambio de configuración, un consentimiento). La defensa principal es negarse a ser enmarcado: CSP frame-ancestors más X-Frame-Options.
Qué es IDOR: un fallo que expone los datos de otras personas al cambiar un ID
IDOR permite a un usuario cambiar ?id=124 por 125 y leer la factura o los datos personales de otra persona: control de acceso roto. La defensa principal: en el servidor, comprobar en cada acceso si el usuario con sesión iniciada tiene permitido ese objeto. Los IDs difíciles de adivinar no son un arreglo.
Qué es la redirección abierta (open redirect): un fallo que reenvía a los usuarios desde tu URL de confianza a otro sitio
Una redirección abierta permite que un parámetro tipo ?next= reenvíe a los usuarios a cualquier sitio externo, tomando prestada la confianza de tu dominio para el phishing. La defensa principal: nunca aceptar URLs externas como destino de redirección; solo rutas relativas y una lista de permitidos.
Qué es el path traversal (recorrido de rutas): leer archivos que el servidor nunca debería servir, mediante ../
El path traversal mezcla ../ en una entrada de nombre de archivo para escapar del directorio base y leer o escribir .env, configuración o claves. La defensa principal: nunca usar la entrada del usuario como ruta de archivo en bruto, y normalizar y luego confinar dentro de un directorio base permitido.
Qué es CSRF (Cross-Site Request Forgery): un ataque que hace que un usuario con sesión iniciada envíe solicitudes que no pretendía
CSRF hace que el navegador de un usuario con sesión iniciada envíe una acción no deseada, abusando de la costumbre del navegador de adjuntar cookies automáticamente. La defensa principal son los tokens CSRF más las cookies SameSite. Nunca uses GET para cambios de estado.
Qué es la inyección SQL (SQLi): un fallo que permite que la entrada reescriba los comandos de tu base de datos
La SQLi ocurre cuando la entrada se lee como 'parte del comando' en lugar de como dato, cambiando el significado de una consulta y llevando directamente a leer/alterar/borrar. La defensa principal es dejar de concatenar SQL en cadenas y pasar los valores mediante marcadores de posición (sentencias preparadas).
Qué es el XSS (Cross-Site Scripting): un fallo que ejecuta el script de un atacante en el navegador de otro usuario
El XSS hace que una cadena proporcionada por el atacante se ejecute 'como script' en el navegador de otro usuario, lo que lleva directamente al robo de sesión y la suplantación. La defensa principal es el escape en la salida. No desactives el autoescape de tu framework.
¿Qué es un CVE? Cómo funciona el sistema compartido de identificadores de vulnerabilidades
Un CVE es un identificador compartido a nivel global para una vulnerabilidad (p. ej. CVE-2025-12345). CVE = el nombre, CVSS = la gravedad, KEV = si se explota. Es el ancla del monitoreo. Síguelo con máquinas, no a mano.
¿Qué es CVSS? La puntuación de gravedad de vulnerabilidades y cómo se calcula
CVSS valora la gravedad de 0.0 a 10.0. La puntuación se calcula a partir de métricas definidas (vector de ataque, complejidad, privilegios, interacción del usuario, alcance, impacto en CIA) mediante una fórmula pública, no a ojo. Conoce la rúbrica y podrás leer qué significa un 10.0. Aun así, prioriza con KEV (si se explota) y con si lo usas.
Qué es la RCE (ejecución remota de código): por qué es la peor clase de fallo
La RCE permite a un atacante ejecutar código arbitrario en tu servidor: directo a la toma de control, la peor clase. Hasta dónde se extiende el daño lo determinan los privilegios del proceso en ejecución. Las defensas centrales son el parcheo rápido, la monitorización de CVE y los privilegios mínimos.
Qué es la SSRF (Server-Side Request Forgery, falsificación de solicitudes del lado del servidor)
La SSRF abusa de URLs de entrada externa para hacer que un servidor acceda a recursos internos (IPs internas, metadatos de la nube). Si recuperas URLs, necesitas una lista de destinos permitidos, bloqueo de objetivos internos y protección frente a las elusiones por redirección/reenlace de DNS. Fue la causa de la brecha de Capital One.
Filtración de Equifax (2017) — cómo un fallo de Apache Struts sin parchear expuso a 147M de personas
La causa fue un CVE conocido y ya parcheado (CVSS 10.0) dejado sin aplicar en un sistema público. Un certificado de monitorización caducado ocultó la exfiltración durante 76 días. En tu entorno: inventario de activos, un SLA de parcheo, monitorización automática y detección saludable.
Heartbleed (CVE-2014-0160) — un fallo de OpenSSL que filtraba la memoria del servidor
La sobrelectura de memoria de OpenSSL podía filtrar claves privadas y sesiones. La causa: el servidor confiaba en una longitud declarada y leía memoria adyacente. La lección: actúa como si todo se hubiera filtrado (reemite certificados, rota todos los secretos), monitoriza las bibliotecas base de uso masivo y valora la seguridad de memoria.
Log4Shell (CVE-2021-44228) — un fallo en una librería de logging, y por qué los equipos no podían saber rápido si la usaban
El fallo de CVSS 10.0 de Log4j. El problema de fondo era la dependencia transitiva: estar afectado a través de una librería que no sabías que usabas. Un camino pasivo de registro de logs se convirtió en vector de ataque. SBOM, monitorización automática, parcheo rápido y seguir los CVE de seguimiento son las lecciones.
La puerta trasera de XZ Utils (CVE-2024-3094) — un ataque a la cadena de suministro de un comantenedor de confianza
Un mantenedor de confianza plantó una puerta trasera en xz: un ataque a la cadena de suministro. Un ingeniero notó que los inicios de sesión iban lentos y lo encontró justo antes de las versiones estables. El objetivo no era el código, sino las personas y la confianza. Minimiza dependencias, fija versiones, compila de forma reproducible, persigue anomalías y apoya a los mantenedores.