Categoría
Análisis a fondo
Análisis en profundidad de vulnerabilidades recién publicadas: a quién afectan, cómo corregirlas y cómo funciona el fallo.
La versión maliciosa LiteLLM 1.107.0 roba credenciales e instala puertas traseras
Un actor de amenazas secuestró el pipeline de publicación de LiteLLM con una clave maestra filtrada que nunca se revocó y publicó una versión maliciosa 1.107.0 en PyPI y Docker el 21 de octubre de 2026. El wheel instala archivos de inicio de Python que roban credenciales y abren una puerta trasera cada hora, aunque nunca se importe LiteLLM. PyPI puso la versión en cuarentena tras 1 hora y 44 minutos; quienes la instalaron deben reconstruir el entorno y rotar todos los secretos accesibles.
25 de octubre de 2026
PHP2Shell: un fallo RCE de PHP desencadena millones de intentos de explotación (CVE-2026-109618)
CISA añadió ambos fallos PHP2Shell a su catálogo de vulnerabilidades explotadas conocidas el 26 d...
25 de octubre de 2026
Omisión de autenticación en el proxy WebSocket de Echo (GHSA-cxf3-9h37-7rr8)
Las actualizaciones WebSocket rechazadas mediante el middleware Proxy de Echo dejan abierto un tú...
24 de octubre de 2026
Omisión de autenticación en Token Guard de Laravel (CVE-2026-114509)
Laravel califica CVE-2026-114509 como crítico, CVSS v4.0 9.2: un atacante no autenticado puede in...
24 de octubre de 2026
Más en Análisis a fondo
RCE por desbordamiento del heap de FlashPix en Pillow (CVE-2026-112398)
Decodificar una imagen FlashPix manipulada en Pillow 12.3.0 o anterior con olefile instalado permite al atacante ejecutar comandos; Pillow 13.0.0 corrige CVE-2026-112398.
24 de octubre de 2026
RCE en Collabora CODE Server explotada en ataques reales (CVE-2026-110447)
Collabora califica CVE-2026-110447 como crítico, CVSS v4.0 9.2: un atacante no autenticado puede ejecutar comandos del sistema operativo como el usuario del servidor web mediante proxy.php de la aplicación Collabora Online Built-in CODE Server (richdocumentscode) para Nextcloud, en versiones anteriores a 26.4.303, cuando el servidor CODE integrado no está en ejecución. Corregido en la versión 26.4.303 de la aplicación. CISA lo añadió al catálogo KEV el 23 de octubre de 2026 y los administradores han comunicado ataques desde mediados de septiembre de 2026.
24 de octubre de 2026
Omisión del middleware en el SDK de Sentry para Next.js (CVE-2026-114139)
Sentry califica CVE-2026-114139 como crítico, CVSS v4.0 9.1: el SDK @sentry/nextjs omite el middleware de la aplicación para todas las rutas bajo un tunnelRoute configurado en compilaciones webpack, mientras que la reescritura del túnel solo atiende la ruta exacta. Así, una solicitud no autenticada puede alcanzar una ruta bajo el túnel sin autorización del middleware. Afecta a @sentry/nextjs 9.36.0 a 9.47.1, 10.x anterior a 10.75.2 y versiones preliminares de 11.0.0 anteriores a 11.0.0-rc.1. Corregido en 9.47.2, 10.75.2 y 11.0.0-rc.1; no se conoce explotación en ataques reales.
24 de octubre de 2026
Escape del sandbox de Wasmtime por compilación incorrecta (CVE-2026-115889)
CVE-2026-115889 es un escape crítico del sandbox de Wasmtime: Cranelift empaqueta índices en campos de 24 bits que un módulo manipulado desborda. Corregido en 36.0.19 y 43.0.0.
24 de octubre de 2026
GHSA-2464-fhr4-w9xw (CVE-2026-96889): RCE sin autenticación en la optimización de imágenes de Next.js
Vercel clasifica GHSA-2464-fhr4-w9xw como crítica, con CVSS v4.0 9.5: un atacante sin autenticación puede ejecutar código en un servidor Next.js 10.0.0–15.5.27 o 16.0.0–16.4.0 cuya API de optimización de imágenes procese SVG en Linux basado en glibc. El fallo es un uso de memoria después de liberarla en librsvg (CVE-2026-96889), incluida en los binarios precompilados de sharp. Next.js 15.5.28 y 16.4.1 lo corrigen en Node.js 20.9.0 o posterior al resolver sharp 0.35.5, que incluye librsvg 2.63.2 corregida.
23 de octubre de 2026
GHSA-673q-mjm6-r5xr: RCE sin autenticación en funciones «use cache» de Next.js
GHSA-673q-mjm6-r5xr está calificado como crítico, CVSS v4.0 9.5, en GitHub Advisory Database: un atacante no autenticado puede ejecutar código en un servidor Next.js 16 que utilice App Router con Cache Components y tenga una función use cache que devuelva varios arrays tipados. La revisión de la base de datos clasifica el fallo como deserialización de datos no confiables (CWE-502) en el protocolo de transporte React Server Components incluido en Next.js. Corregido en Next.js 16.4.1, sin medidas provisionales disponibles.
23 de octubre de 2026
GHSA-cg2g-xh64-v4q7: omisión de SAFE_FOR_TEMPLATES de DOMPurify en raíces shadow
DOMPurify 3.4.4–3.4.16 permite que expresiones ${...} divididas sobrevivan a SAFE_FOR_TEMPLATES dentro de raíces shadow adjuntas (crítico, CVSS v4.0 9.2). Actualice a 3.4.17.
23 de octubre de 2026