Resumen vulnerabilidades críticas – 25 elementos (19 feb 2026 Europe/Madrid)

—

—

*Esta vulnerabilidad es de alta gravedad debido a que permite ejecución remota de código sin necesidad de autenticación y con privilegios de root, comprometiendo totalmente los dispositivos afectados y, por extensión, la red corporativa donde se usen. Existen exploits públicos, por lo que la probabilidad de explotación es alta y debe ser priorizada en el plan de mitigación.*

—

Esta vulnerabilidad crítica tiene explotación pública confirmada y permite ejecución remota de código y escalada de privilegios, lo que la convierte en un riesgo real para la empresa, especialmente en infraestructuras que usan Directory Services de OpenText. Se debe priorizar urgentemente la aplicación del parche.

—

*Este CVE representa un riesgo crítico y real para la compañía debido a la posibilidad de ejecución remota de comandos en el servidor. La existencia de exploit públicos implica que ya puede estar siendo explotado activamente, por lo que se debe priorizar su mitigación inmediata.*

—

—

—

Por tanto, esta vulnerabilidad posee exploits públicos y es altamente crítica (9.8) con un riesgo real inmediato para la empresa, priorizar su corrección es vital para evitar posible acceso o manipulación de datos sensibles.

*****

-lista para inserción en supabase con campos: cve, fecha_publicacion, severidad, importancia, vendor, producto, versiones_afectadas, exploits_publicos, referencia, descripcion, estrategia

{
cve: «CVE-2025-14009»,
fecha_publicacion: «2026-02-19T04:31:49.361963+00:00»,
severidad: «CRÍTICA (10)»,
importancia: «ALTA»,
vendor: «NLTK»,
producto: «NLTK downloader component»,
versiones_afectadas: «Todas las versiones»,
exploits_publicos: «Sí»,
referencia: «https://huntr.com/bounties/49ecbc02-054e-4470-b2e0-b267936cc4e4»,
descripcion: «Existe una vulnerabilidad crítica en el componente de descargas de NLTK (Natural Language Toolkit), afectando todas las versiones. La función _unzip_iter en nltk/downloader.py utiliza zipfile.extractall() sin validar rutas ni realizar controles de seguridad. Esto permite a un atacante crear paquetes zip maliciosos que, al ser descargados y extraídos por NLTK, pueden ejecutar código arbitrario. La vulnerabilidad se deriva de que NLTK asume que todos los paquetes descargados son confiables y los extrae sin validación. Si un paquete malicioso incluye archivos Python (como __init__.py), estos se ejecutan al importarse, permitiendo la ejecución remota de código que puede comprometer totalmente el sistema, incluyendo acceso al sistema de archivos, red y persistencia.»,
estrategia: «Actualizar NLTK inmediatamente a la versión parcheada que corrige la extracción insegura. Implementar controles adicionales para validar y sanitizar archivos descargados antes de extraerlos, evitar ejecutar código de paquetes no verificados y monitorizar comportamientos sospechosos en sistemas que usan NLTK. Priorizar esta vulnerabilidad dado que existen exploits públicos y la explotación puede derivar en compromiso total del sistema.»
}

—

Este fallo es extremadamente crítico por permitir ejecución remota de código mediante input malicioso que abre shell en puerto específico, lo que supone un riesgo real y alto para la compañía si utiliza esta aplicación. La existencia de exploits públicos confirma explotación activa, por lo que debe recibir prioridad inmediata en mitigación.

—

—

He registrado esta evaluación en Supabase.

—–