Categoría
Análisis a fondo
Análisis en profundidad de vulnerabilidades recién publicadas: a quién afectan, cómo corregirlas y cómo funciona el fallo.
Explotación activa de PolyShell, una RCE en Magento y Adobe Commerce (CVE-2026-48356)
PolyShell (CVE-2026-48356) es una subida de archivos sin autenticación en la API REST de Magento, explotada masivamente desde marzo de 2026; los parches de Adobe de julio de 2026 la corrigen.
28 de octubre de 2026
AuthMask: robo de tokens en Microsoft Authenticator para Android (CVE-2026-80097)
Antes de 6.2606.4246, Microsoft Authenticator para Android entregaba tokens de cuentas de trabajo...
27 de octubre de 2026
Evasión de la firma JWS en Authlib, corregida en la versión 1.9.0 (CVE-2026-96760)
Hasta la versión 1.8.0, Authlib da por verificado un objeto JWS JSON con la lista de firmas vacía...
27 de octubre de 2026
Tailworm: escalada de privilegios a root en Tailscale SSH
El demonio root de Tailscale SSH conecta y sustituye sockets Unix para usuarios autorizados, lo q...
27 de octubre de 2026
Más en Análisis a fondo
Archivos de versiones maliciosos de la CLI de OVHcloud roban secretos
Archivos sustituidos en cinco versiones de la CLI de OVHcloud distribuyeron una compilación que robaba secretos durante 94 minutos el 19 de octubre de 2026; rote todos los secretos e instale v0.16.0.
26 de octubre de 2026
RCE en el inicio de sesión OAuth MCP de OpenCode en Windows, corregida en 1.18.33
En OpenCode 1.0.137 a 1.18.32 para Windows y WSL, la URL de inicio de sesión OAuth de un servidor MCP malicioso llega a PowerShell y ejecuta código como el desarrollador; corregido en 1.18.33, sin CVE.
26 de octubre de 2026
Fallo previo a la autenticación en Linux KSMBD: RCE CVSS 9.0 según ZDI, aún sin corrección publicada (ZDI-CAN-33774)
Dos fallos de KSMBD, el servidor SMB integrado del kernel Linux, reciben CVSS 9.0 de ZDI; uno es accesible antes de la autenticación. Ningún kernel publicado los corrige y aún no tienen identificador CVE.
26 de octubre de 2026
RCE por recorrido de directorios gRPC en FortiSIEM con PoC pública (CVE-2026-106173)
El servicio gRPC sin autenticación de FortiSIEM 7.5.0 en TCP 27918 permite sobrescribir archivos para ejecutar código de forma remota; corregido en 7.5.1, con PoC pública y sin explotación conocida.
26 de octubre de 2026
Toma de control total de Postiz por cualquier usuario registrado (CVE-2026-115931, CVE-2026-115932, CVE-2026-115933)
En Postiz autoalojado 2.23.0 a 2.25.2, cualquier usuario registrado puede leer archivos del servidor; en 2.15.0 a 2.25.2 puede falsificar tokens de inicio de sesión para tomar el control de otras organizaciones. Corregido en 2.25.3.
26 de octubre de 2026
RCE por inyección de argumentos Ghostscript en Pillow (CVE-2026-112900)
Pillow 2.6.0 a 12.3.0 pasa a Ghostscript sin sanear un nombre de archivo EPS o PostScript controlado por el atacante, permitiendo inyección de argumentos y ejecución de comandos; corregido en 13.0.0.
26 de octubre de 2026
RCE sin autenticación en 12 años de GitLab (CVE-2026-110264)
Un desbordamiento de entero en el compilador de expresiones regulares, CVE-2026-110264, calificado con 10.0, expone a RCE sin autenticación todos los GitLab autogestionados desde 7.0; corregido el 21 de octubre de 2026.
25 de octubre de 2026
Node2Shell: RCE de Brotli en Node.js, Bun y Python (CVE-2026-111497)
CVE-2026-111497 (CVSS v4.0 9,2): escritura fuera de límites en el decodificador Brotli de Node.js, Bun, .NET, Python, Envoy e Istio, ahora en el catálogo Known Exploited Vulnerabilities de CISA.
25 de octubre de 2026
Plex2Shell: RCE en Plex explotada en ataques reales (CVE-2026-96656)
Cuatro fallos encadenados en Plex Media Server anterior a 1.43.3.10861 permiten a un atacante sin autenticación ejecutar código como el usuario Plex; se explotan en ataques reales desde el 17 de octubre de 2026.
25 de octubre de 2026
Compromiso de la CA eMudhra: Chrome retira emSign ECC Root CA - G3 el 27 de octubre
Las claves privadas de ocho CA intermedias de eMudhra pueden calcularse a partir de sus certificados públicos, lo que permite falsificar sitios; unos 30.800 certificados dejarán de funcionar cuando Chrome retire emSign ECC Root CA - G3 el 27 de octubre de 2026.
25 de octubre de 2026