| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-84750 | Proveedor no especificado | Producto no especificado | ALTA (No especificada numéricamente) | No especificadas | Sí |
| CVE-2026-39781 | No especificado | No especificado | ALTA (Explotándose activamente) | No especificado | Sí |
| CVE-2026-59774 | Gitea | Gitea | ALTA | No especificadas concretamente, se recomienda verificar versiones afectadas en el reporte oficial | Sí |
| CVE-2025-60205 | ThemeREX | ThemeREX addons | Alta | No especificadas | Sí |
| CVE-2025-61624 | Fortinet | FortiOS | ALTA | No especificadas explícitamente, revisar última versión FortiOS y aplicar actualizaciones | Sí |
| CVE-2026-110911 | Wheels | Wheels Framework | CRITICAL (9.8) | 1.1.8 a 4.1.1 (incluyendo 4.0.0 – 4.1.1 para whereBetween()) | Sí |
| CVE-2026-93483 | Znuny | Znuny | CRITICAL (9.5) | Hasta la versión 7.3.6 incluida | Sí |
| CVE-2026-108587 | 10Web | 10Web Booster – Plugin de optimización para WordPress | CRÍTICA (9.8) | Todas las versiones hasta 2.34.10 incluidas | Sí |
| CVE-2026-109145 | User Rights Access Manager | User Rights Access Manager WordPress plugin | CRITICAL (9.8) | hasta la versión 1.1.3 inclusive | Sí |
| CVE-2026-101287 | Stela (Diaple Networking) | Stela | CRITICAL (9.3) | Versiones anteriores a 1.60.1 | Sí |
| CVE-2026-102469 | Eclipse Vert.x | vertx-db2-client | CRÍTICA (9.2) | [4.0.0 – 4.5.34], [5.0.0 – 5.0.12], [5.1.0 – 5.1.9], 5.2.0 | Sí |
| CVE-2026-16436 | Mitsubishi Electric | GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32, BizViz | CRITICAL (9.2) | GENESIS ≤ 11.03; GENESIS64 ≤ 10.97.3; ICONICS Suite ≤ 10.97.3; Hyper Historian ≤ 10.97.3; AnalytiX ≤ 10.97.3; MobileHMI ≤ 10.97.3; IoTWorX ≤ 10.97.3; MC Works64 (todas); GENESIS32 (todas); BizViz (todas) | Sí |
| CVE-2026-16438 | Mitsubishi Electric | GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, MC Works64, Mitsubishi Electric Iconics Digital Solutions | CRÍTICA (9.4) | versiones 10.97.3 y anteriores (para varios productos), MC Works64 todas las versiones | Sí |
| CVE-2026-19863 | Eclipse Foundation | Jetty (EthereumAuthenticator) | CRITICAL (9.3) | No especificadas concretamente (se refiere a versiones con EthereumAuthenticator configurado) | Sí |
| CVE-2026-34006 | sMedio | DTCP MOVE | CRITICAL (9.3) | versiones anteriores a 1.4.5 | Sí |
| CVE-2026-47786 | QNAP Systems, Inc. | HybridDesk Station | CRÍTICA (9.3) | versiones anteriores a 4.2.23 y 4.3.4 | Sí |
| CVE-2026-50612 | QNAP | QuMagie | CRÍTICA (9.4) | versiones anteriores a 2.9.2 | Sí |
| CVE-2026-50619 | QNAP | Qsirch | CRÍTICA (9.3) | Versiones anteriores a 7.0.3.0 | Sí |
| CVE-2026-108497 | TMS Amelia | AfectadoAmelia Booking | CRÍTICA (9.3) | Desde versiones iniciales hasta la 2.4.10 | Sí |
| CVE-2026-109694 | WP ManageNinja LLC | Fluent CRM | CRITICAL (9.8) | desde la versión inicial hasta la 3.2.5 inclusive | Sí |
| CVE-2026-109686 | Link Whisper INC | Link Whisper Free | CRITICAL (9.8) | desde lanzamiento hasta 0.9.7 | Sí |
| CVE-2026-109688 | Link Whisper INC | Link Whisper Free plugin | CRITICAL (9.3) | Hasta la versión 0.9.7 inclusive | Sí |
| CVE-2026-109698 | Kitae Park | Mang Board WP | CRITICAL (9.3) | desde sin versión especificada hasta 2.4.4 | Sí |
| CVE-2026-109892 | DynamiApps | Frontend Admin by DynamiApps (plugin acf-frontend-form-element) | CRÍTICA (9.8) | Desde su introducción hasta la versión 3.29.13 inclusive | Sí |
| CVE-2026-99999 | Linux Kernel | Linux Kernel – IPv4 Stack | CRÍTICA (9.3) | Versiones anteriores al parche publicado en Octubre 2026 | Sí |
| CVE-2026-110957 | Wavlink | WL-WN530BE2-A Firmware | CRITICAL (9.3) | Hasta M30BE2_V250604 | Sí |
| CVE-2026-47168 | EspoCRM | EspoCRM (gestor CRM de código abierto) | CRÍTICA (9.1) | Versión anteriores a 9.3.7 | RM |
| CVE-2026-105474 | SolusVM | SolusVM 2 | CRITICAL (9.4) | hasta la versión 2.0.0-44576 | Sí |
| CVE-2026-110958 | Wavlink | WN530HG4B M30HG4B_V260724 (firmware) | CRÍTICA (9.3) | Versiones anteriores a 2026-09-24-841a51c6d5_tclinux.bin | Sí |
| CVE-2026-57155 | OPNsense | OPNsense Firewall y Plataforma de Enrutamiento | CRÍTICA (9.9) | Versiones anteriores a 26.1.11 | Sí |
| CVE-2026-110812 | Amazon | Amazon Neptune engine | CRITICAL (9.4) | versiones anteriores a 1.5.0.0 (backports a 1.4.8.1 y 1.4.7.1) | Sí |
| CVE-2026-84731 | Nutanix | Prism Element | CRÍTICA (9.3) | No especificado (presumiblemente todas las versiones afectadas hasta la publicación del parche) | Sí |
| CVE-2026-102946 | authlib | joserfc (librería Python para JOSE) | CRITICAL (9.1) | versiones anteriores a 1.7.4 | Sí |
| CVE-2026-111235 | OpenNMS Group | OpenNMS Meridian y Horizon | CRITICAL (9.1) | Meridian anteriores a 2024.3.14, 2025.0.11, 2026.0.1; Horizon anterior a 36.0.5 | Sí |
| CVE-2026-47218 | runwasi | containerd-shim-wasmtime-v1 (parte de runwasi) | CRÍTICA (9.3) | Anteriores a 0.6.1 | Sí |
| CVE-2026-55240 | Tianji Open Source Project | Tianji Analytics, Uptime Monitoring y Server Status Platform | CRITICAL (9.1) | versiones anteriores a 1.31.29 | Sí |
| CVE-2026-57496 | Labs64 | NetLicensing MCP Server | CRÍTICA (9.6) | versiones anteriores a 0.1.8 | Sí |
| CVE-2026-102764 | BeyondTrust | Remote Support | CRITICAL (9.3) | No especificadas, se afecta el componente interno del producto | Sí |
| CVE-2026-105032 | EnergizeLab | Eilik y EilikO AI skill upload endpoint (FastAPI AI inference and profiling services) | CRITICAL (9.1) | No especificadas | Sí |
| CVE-2026-105037 | EnergizeLab | station-middleware (NestJS) Docker images | CRÍTICA (9.9) | 1.6.5 hasta 1.8.2 | Sí |
| CVE-2026-105038 | EnergizeLab | Eilik y EilikO FastAPI AI inference and profiling services | CRITICAL (9.8) | No especificadas | Sí |
| CVE-2026-105039 | EnergizeLab | station-middleware (NestJS) Docker images | CRITICAL (9.6) | 1.6.5 hasta 1.8.2 | Sí |
| CVE-2026-111281 | Jooan | Cámaras IP Jooan JA-A12 | CRITICAL (9.3) | Firmware 009_20171107 y 05.02.31.105 | Sí |
| CVE-2026-111283 | BMC Software | BMC Helix Network Management on-prem | CRITICAL (9.5) | anteriores a 26.3.01 | Sí |
| CVE-2026-111312 | OpenHealth | OpenHealth | CRÍTICA (9.2) | versiones hasta 0.2.0 incluidas | Sí |
| CVE-2026-111322 | Archon | Archon | CRITICAL (9.3) | 0.2.13 hasta 0.11.1 | Sí |
| CVE-2026-111329 | JuggleIM | im-server | CRITICAL (9.3) | versión 1.8.16 y anteriores | Sí |
| CVE-2026-111356 | MagicBlack | MacCMS v10 | CRITICAL (9.1) | hasta la versión 2026.1000.4056 incluida | Sí |
| CVE | CVE-2026-84750 |
| Severidad | ALTA (No especificada numéricamente) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Proveedor no especificado |
| Producto | Producto no especificado |
| Versiones | No especificadas |
| Exploit Públicos | Sí, la vulnerabilidad está siendo explotada activamente |
| Referencia | Vulncheck CVE-2026-84750 |
| Descripción | Vulnerabilidad de carga no restringida de archivos con tipos peligrosos en producto y proveedor bajo análisis, que puede permitir la ejecución remota de código o comprometer la integridad del sistema.
Esta vulnerabilidad permite a un atacante subir archivos maliciosos sin restricción, lo que podría conducir a la ejecución remota de código o afectar la seguridad e integridad del sistema. |
| Estrategia | Priorizar la identificación del producto afectado y aplicar de inmediato los parches oficiales que restringen la carga de archivos peligrosos. Implementar mecanismos estrictos de validación y filtrado de ficheros en los puntos de carga, controlar los tipos permitidos y realizar monitorización constante para detectar cargas maliciosas. Además, evaluar la posible explotación activa y reforzar la respuesta ante incidentes. |
| CVE | CVE-2026-39781 |
| Severidad | ALTA (Explotándose activamente) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de Octubre de 2026 |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificado |
| Exploit Públicos | Sí, explotándose activamente |
| Referencia | Detalle CVE – FAQ KEV |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Entrada durante la Generación de Páginas Web (Cross-site Scripting, XSS) que permite a atacantes inyectar scripts maliciosos. Esta falla crítica puede ser explotada para ejecutar código arbitrario en el navegador de usuarios afectados, comprometiendo la confidencialidad e integridad de la información. |
| Estrategia | Aplicar parches oficiales de seguridad de inmediato, actualizar el software afectado a versiones seguras. Implementar validación y saneamiento riguroso de entradas en todas las interfaces web. Monitorizar tráfico y actividades sospechosas para detectar intentos de explotación y responder rápidamente. |
| CVE | CVE-2026-59774 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Gitea |
| Producto | Gitea |
| Versiones | No especificadas concretamente, se recomienda verificar versiones afectadas en el reporte oficial |
| Exploit Públicos | Sí, explotación activa reportada |
| Referencia | VulnCheck CVE-2026-59774 |
| Descripción | Vulnerabilidad de Limitación Inadecuada de un Nombre de Ruta a un Directorio Restringido («Path Traversal») en Gitea que permite a atacantes acceder a directorios restringidos.
Esta vulnerabilidad permite que un atacante malintencionado acceda a información confidencial almacenada en directorios que deberían estar protegidos, potencialmente exponiendo datos sensibles o configuraciones críticas. |
| Estrategia | Aplicar inmediatamente el parche proporcionado por Gitea para esta vulnerabilidad. Revisar y reforzar controles de acceso y validación de rutas en la configuración del servidor. Monitorear activamente indicios de explotación para una detección temprana. Limitar exposición externa del servicio afectado mientras se implementan mitigaciones. |
—
| CVE | CVE-2025-60205 |
| Severidad | Alta |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | ThemeREX |
| Producto | ThemeREX addons |
| Versiones | No especificadas |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | VulnCheck CVE-2025-60205 |
| Descripción | Vulnerabilidad en ThemeREX addons basada en deserialización de datos no confiables que permite la ejecución remota de código o manipulación de datos mediante deserialización insegura.
El atacante puede enviar datos especialmente formateados que, al ser deserializados por el addon, permiten la ejecución de código arbitrario o alteración de datos críticos. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por ThemeREX. Si no están disponibles, deshabilitar addons vulnerables o restringir la deserialización a fuentes confiables. Adicionalmente, monitorizar logs y tráfico para identificar posibles explotaciones activas y fortalecer controles de acceso y validación de entrada. |
| CVE | CVE-2025-61624 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | Thu, 16 Oct 2026, 03:32 (UTC) |
| Vendor | Fortinet |
| Producto | FortiOS |
| Versiones | No especificadas explícitamente, revisar última versión FortiOS y aplicar actualizaciones |
| Exploit Públicos | Sí, confirmados en explotación activa |
| Referencia | Vulncheck CVE-2025-61624 |
| Descripción | Vulnerabilidad de Fortinet FortiOS que permite una limitación inadecuada de un pathname a un directorio restringido (‘Path Traversal’), que podría permitir a un atacante acceder a directorios restringidos y ejecutar acciones no autorizadas.
Esta vulnerabilidad está siendo explotada activamente, lo que representa un riesgo crítico para la integridad y seguridad de la red y sistemas protegidos por FortiOS. |
| Estrategia | Actualizar inmediatamente FortiOS a la versión que corrige esta vulnerabilidad. Implementar controles estrictos de acceso y monitoreo para detectar intentos de path traversal. Revisar logs y alertas para identificar explotaciones en curso, dada la explotación activa reportada. |
—
*Este CVE representa un riesgo muy elevado para la empresa debido a que permite a atacantes evadir restricciones de acceso en FortiOS y manipular archivos sensibles o ejecutar comandos no autorizados. La existencia de exploits públicos y evidencias de explotación activa obliga a priorizar su mitigación inmediata.*
| CVE | CVE-2026-110911 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Wheels |
| Producto | Wheels Framework |
| Versiones | 1.1.8 a 4.1.1 (incluyendo 4.0.0 – 4.1.1 para whereBetween()) |
| Exploit Públicos | Sí |
| Referencia | GHSA Advisory Wheels CVE-2026-110911 |
| Descripción | Wheels 1.1.8 hasta 4.1.1 permite inyección SQL cuando valores suministrados por el usuario son tratados nuevamente como SQL por «dynamic finders» (ej. findOneByEmail), query builder en where(property, value) y donde se usan rutas de clave string/UUID (findByKey, updateByKey, deleteByKey, findOrCreateBy…), y validatesUniquenessOf. El parser interpreta erróneamente una comilla simple duplicada como fin de literal. Esto permite exponer autenticaciones, restablecimientos de contraseña o búsquedas de tokens a accesos no autorizados. Además, en 4.0.0 a 4.1.1, whereBetween() puede alterar SQL en MySQL/MariaDB con escape por backslash habilitado. Corregido en versión 4.1.2. |
| Evaluación | Vulnerabilidad crítica y explotable que puede permitir ataques de inyección SQL con acceso no autorizado a datos sensibles y control sobre consultas de autenticación en aplicaciones vulnerables. Posibles ataques activos dado que existen exploits públicos. |
| Estrategia | Actualizar inmediatamente a Wheels 4.1.2 o superior. Revisar el uso de APIs expuestas a datos externos para evitar reparseos inseguros de literales SQL. Implementar monitoreo avanzado de accesos sospechosos y pruebas de inyección SQL en entornos productivos. |
| CVE | CVE-2026-93483 |
| Severidad | CRITICAL (9.5) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | Znuny |
| Producto | Znuny |
| Versiones | Hasta la versión 7.3.6 incluida |
| Exploit Públicos | Sí |
| Referencia | Znuny Advisory |
| Descripción | En Znuny hasta la versión 7.3.6, un atacante puede eludir los procedimientos estándar de inicio de sesión y obtener acceso no autorizado a funciones sensibles del sistema manipulando un encabezado HTTP específico. Debido a que la aplicación confía incorrectamente en el encabezado «Remote-User», un atacante puede hacerse pasar por cualquier usuario, incluidos administradores, sin necesidad de contraseña. Esto otorga acceso completo a datos confidenciales y controles del sistema. Específicamente, los módulos HTTPBasicAuth del agente y cliente leen el nombre de usuario no solo desde $ENV{REMOTE_USER} sino también, como respaldo, desde $ENV{HTTP_REMOTE_USER}, que se llena directamente con el encabezado «Remote-User» controlado por el atacante. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales que corrigen esta vulnerabilidad en Znuny, actualizando a una versión posterior a la 7.3.6. Revisar y fortalecer la configuración del servidor para no confiar en encabezados HTTP manipulables para autenticación. Implementar monitoreo de accesos anómalos y restringir el uso de HTTPBasicAuth o reemplazarlo con métodos de autenticación más robustos. |
—–
¿Está siendo explotada?: Sí, existen exploits públicos disponibles que permiten acceso sin autenticación válida.
¿Debo darle prioridad?: Sí, prioridad máxima por posible acceso administrativo sin credenciales.
¿Puede suponer un riesgo real para la empresa?: Absolutamente, pone en riesgo la confidencialidad, integridad y control total del sistema.
| CVE | CVE-2026-108587 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | 10Web |
| Producto | 10Web Booster – Plugin de optimización para WordPress |
| Versiones | Todas las versiones hasta 2.34.10 incluidas |
| Exploit Públicos | Sí, confirmados y fáciles de explotar |
| Referencia | Detalles técnicos del plugin y vulnerabilidad |
| Descripción | El plugin 10Web Booster para WordPress es vulnerable a una carga arbitraria de archivos en todas las versiones hasta la 2.34.10 a través de la función compressCustom. La causa es la ausencia de validación de tipo y extensión del archivo en el parámetro page_id, combinado con un nonce filtrado y legible públicamente que omite las comprobaciones de autenticación. Esto permite a atacantes no autenticados subir archivos posiblemente ejecutables y lograr ejecución remota de código tras obtener el nonce que se serializa automáticamente en un archivo accesible bajo wp-content/uploads/ cuando una tarea en lote se pausa. El nonce es generado en un contexto de sistema con ID usuario 0 y, por tanto, válido para visitantes no autenticados. |
| Estrategia | Actualizar inmediatamente el plugin a una versión parcheada que solucione la validación insuficiente en compressCustom. Mientras se actualiza, restringir el acceso a los archivos nonce generados para evitar su lectura pública, y monitorizar tráfico y actividad sospechosa que pueda indicar intentos de carga arbitraria o ejecución remota. Evaluar la posibilidad de desactivar el plugin temporalmente si no se puede parchear con rapidez. |
| CVE | CVE-2026-109145 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | User Rights Access Manager |
| Producto | User Rights Access Manager WordPress plugin |
| Versiones | hasta la versión 1.1.3 inclusive |
| Exploit Públicos | Sí, existente |
| Referencia | WPScan Advisory |
| Descripción | El plugin User Rights Access Manager para WordPress hasta la versión 1.1.3 no restringe el acceso a uno de sus manejadores AJAX de registro de cuentas y asigna las cuentas recién registradas un rol creado como copia del rol administrador, permitiendo a atacantes no autenticados registrar una cuenta con privilegios equivalentes a administrador y tomar control total del sitio. |
| Estrategia | Actualizar inmediatamente el plugin a una versión segura que corrija esta vulnerabilidad. Revisar y restringir correctamente el acceso a handlers AJAX de registro y roles asignados, además de monitorizar registros sospechosos. Implementar medidas de control de acceso adicionales y auditoría para detectar cuentas con privilegios elevados no autorizados. |
—
*CVE:* CVE-2026-109145
*Severidad:* CRITICAL (9.8)
*Importancia para la empresa:* ALTA
*Publicado:* 16 de octubre de 2026
*Fabricante:* User Rights Access Manager
*Producto Afectado:* User Rights Access Manager WordPress plugin
*Versiones Afectadas:* hasta la versión 1.1.3 inclusive
*Exploit Públicos:* Sí, existente
*Referencia:* WPScan Advisory
*Descripción:* El plugin User Rights Access Manager para WordPress hasta la versión 1.1.3 no restringe el acceso a uno de sus manejadores AJAX de registro de cuentas y asigna las cuentas recién registradas un rol creado como copia del rol administrador, permitiendo a atacantes no autenticados registrar una cuenta con privilegios equivalentes a administrador y tomar control total del sitio.
Esta vulnerabilidad permite la toma de control completo del sitio por parte de un atacante sin necesidad de autenticación previa, lo que supone un riesgo crítico para la seguridad y continuidad operativa de la empresa.
*Estrategia:* Actualizar urgentemente el plugin a una versión parcheada. Validar y restringir accesos a puntos AJAX que manejan registros y roles. Implementar monitoreo de cuentas nuevas con privilegios elevados y auditoría para detectar actividades sospechosas.
| CVE | CVE-2026-101287 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-16T03:32:28.911456+00:00 |
| Vendor | Stela (Diaple Networking) |
| Producto | Stela |
| Versiones | Versiones anteriores a 1.60.1 |
| Exploit Públicos | Sí, confirmados |
| Referencia | INCIBE AVISO</td |
| Descripción | Vulnerabilidad de omisión de autenticación en Stela, versiones anteriores a 1.60.1, causada por el uso de una cookie llamada “authProcess” sin validar su integridad. La aplicación almacena el identificador de usuario (userId) y el estado del proceso de autenticación (validSteps) en esta cookie y confía en estos valores, que pueden ser modificados por el cliente, para completar el inicio de sesión.
Un atacante remoto, sin credenciales válidas ni interacción de otros usuarios, podría manipular la cookie para omitir las comprobaciones de autenticación e impersonar cualquier cuenta, incluyendo una con privilegios SUPER_ADMIN. Esto permitiría obtener un token JWT válido con privilegios administrativos y comprometer la confidencialidad e integridad de la aplicación. |
| Estrategia | Aplicar inmediatamente el parche oficial actualizando Stela a la versión 1.60.1 o superior. Implementar validación estricta y firma criptográfica de las cookies de autenticación para impedir manipulaciones. Monitorizar accesos inusuales y revisar tokens JWT para detectar actividades sospechosas en tiempo real. |
| CVE | CVE-2026-102469 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Oct 2026 |
| Vendor | Eclipse Vert.x |
| Producto | vertx-db2-client |
| Versiones | [4.0.0 – 4.5.34], [5.0.0 – 5.0.12], [5.1.0 – 5.1.9], 5.2.0 |
| Exploit Públicos | Sí |
| Referencia | Advisory Oficial Vert.x</td |
| Descripción | En Eclipse Vert.x versiones [4.0.0 a 4.5.34], [5.0.0 a 5.0.12], [5.1.0 a 5.1.9] y 5.2.0, el cliente DB2 (vertx-db2-client) deserializa datos de columnas UDT (User Defined Type) mediante una llamada directa a ObjectInputStream.readObject() sin filtro ni lista blanca de clases. Esta ruta se activa cuando un servidor DRDA malicioso o un atacante MITM envía una respuesta con una columna etiquetada como UDT (FDOCA LID 0x50), tipo no utilizado legítimamente por DB2. La deserialización puede ejecutar código remoto si existe una cadena de gadgets en el classpath, o causar denegación de servicio si no. TLS está deshabilitado por defecto, facilitando la explotación MITM. |
| Estrategia | Aplicar inmediatamente la actualización oficial a una versión que corrija la vulnerabilidad. Habilitar TLS para proteger las comunicaciones DRDA y prevenir ataques MITM. Verificar que no existan cadenas de gadgets peligrosas en el classpath de la aplicación. Monitorizar tráfico y logs para detectar actividades sospechosas de deserialización no autorizada. |
—
*Esta vulnerabilidad permite ejecución remota de código con acceso al cliente DB2 mediante deserialización insegura de datos manipulados por un servidor malicioso o en MITM. Dada la posibilidad real de explotación pública y la alta severidad, requiere atención urgente y prioritaria para evitar compromiso total del sistema.*
| CVE | CVE-2026-16436 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Oct 2026 |
| Vendor | Mitsubishi Electric |
| Producto | GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32, BizViz |
| Versiones | GENESIS ≤ 11.03; GENESIS64 ≤ 10.97.3; ICONICS Suite ≤ 10.97.3; Hyper Historian ≤ 10.97.3; AnalytiX ≤ 10.97.3; MobileHMI ≤ 10.97.3; IoTWorX ≤ 10.97.3; MC Works64 (todas); GENESIS32 (todas); BizViz (todas) |
| Exploit Públicos | Sí |
| Referencia | JVN Advisory Mitsubishi Electric |
| Descripción | Mecanismo débil de recuperación de contraseña para el olvido de contraseña en varios productos de Mitsubishi Electric (GENESIS, GENESIS64, ICONICS Suite, entre otros) versiones anteriores indicadas, que permite a un atacante remoto desbloquear el sistema obteniendo la respuesta al desafío mediante algún medio. La respuesta al desafío utilizada para desbloquear el sistema es fija y común para todos los usuarios. Esto puede permitir que un atacante revele, manipule, destruya o elimine información interna, o provoque una condición de Denegación de Servicio (DoS) en el sistema afectado. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales de Mitsubishi Electric que corrigen este fallo. Se recomienda revisar y fortalecer los mecanismos de recuperación de contraseña, asegurar que las respuestas a desafíos sean únicas y dinámicas por usuario, y monitorizar accesos anómalos para detección temprana de intentos de explotación. Priorizar esta vulnerabilidad debido a la existencia de exploits públicos y su gravedad crítica. |
| CVE | CVE-2026-16438 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre 2026, 03:32 (UTC) |
| Vendor | Mitsubishi Electric |
| Producto | GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, MC Works64, Mitsubishi Electric Iconics Digital Solutions |
| Versiones | versiones 10.97.3 y anteriores (para varios productos), MC Works64 todas las versiones |
| Exploit Públicos | Sí |
| Referencia | JVN Advisory Mitsubishi Electric CVE-2026-16438 |
| Descripción | Vulnerabilidad de asignación incorrecta de privilegios en Mitsubishi Electric GENESIS64 versiones 10.97.3 y anteriores, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI y MC Works64. Durante la instalación, se conceden permisos DCOM predeterminados innecesarios al administrador, permitiendo a un atacante autenticado con dicha cuenta lanzar y operar objetos DCOM local o remotamente sin la elevación de UAC requerida. Esto puede llevar a la divulgación, manipulación, destrucción o eliminación de información interna, o provocar un estado de denegación de servicio (DoS) en el sistema afectado. |
| Evaluación | Esta vulnerabilidad presenta un riesgo real para empresas que utilicen estos productos con versiones afectadas y que compartan cuentas administrativas. La explotación activa es plausible, ya que existen exploits públicos. Permite a un atacante con acceso al sistema elevar privilegios y ejecutar código malicioso a través de DCOM sin restricciones, comprometiendo la integridad y disponibilidad del sistema. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por Mitsubishi Electric. Revisar y limitar los permisos DCOM asignados a cuentas administrativas, restringiendo el acceso remoto. Además, implementar segregación de cuentas y reforzar la gestión de accesos privilegiados para impedir que un atacante pueda autenticarse con cuentas administrativas compartidas. |
| CVE | CVE-2026-19863 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Eclipse Foundation |
| Producto | Jetty (EthereumAuthenticator) |
| Versiones | No especificadas concretamente (se refiere a versiones con EthereumAuthenticator configurado) |
| Exploit Públicos | Sí |
| Referencia | Jetty Advisory GHSA-6m7j-pjmp-crgq |
| Descripción | Un cliente no autenticado puede acceder a ciertos recursos protegidos cuando se utiliza EthereumAuthenticator si la ruta de la solicitud contiene la ruta de inicio de sesión configurada. Esto ocurre porque el autenticador utiliza una coincidencia de subcadena no anclada para identificar la página de inicio de sesión. Si la ruta de inicio de sesión aparece más adelante en la ruta protegida, la solicitud puede tratarse como la página de inicio de sesión, reemplazando así sus requisitos de autenticación o rol por PERMITIDO. Las rutas explícitamente PROHIBIDAS no se ven afectadas. |
| Estrategia | Aplicar inmediatamente el parche oficial de Jetty que corrige el mecanismo de detección de la ruta de login para que use coincidencias ancladas y no permita accesos indebidos. Revisar configuraciones para evitar que rutas protegidas contengan segmentos que coincidan con la ruta de login. Monitorizar accesos no autenticados sospechosos y reforzar controles de autenticación y rutas explícitamente prohibidas para minimizar el impacto. |
—–
*Evaluación:*
Esta vulnerabilidad crítica de Jetty permite el acceso no autenticado a recursos protegidos mediante un fallo en la lógica de identificación de la ruta de login por EthereumAuthenticator; si una ruta protegida incluye el path de login en un segmento posterior, se omiten controles de autenticación. Hay exploits públicos confirmados, por lo que es urgente tomar acción.
*¿Se está explotando?* Sí, existen exploits públicos asociados.
*¿Debe tener prioridad?* Sí, máxima prioridad por su severidad crítica y facilidad de explotación.
*¿Puede poner en riesgo a la empresa?* Sí, posibilita acceso no autorizado a recursos protegidos, comprometiendo la seguridad interna.
| CVE | CVE-2026-34006 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | sMedio |
| Producto | DTCP MOVE |
| Versiones | versiones anteriores a 1.4.5 |
| Exploit Públicos | Sí |
| Referencia | QNAP Release Notes</td |
| Descripción | Se ha reportado una vulnerabilidad de ausencia de autenticación para funciones críticas en sMedio DTCP MOVE. Si un atacante remoto logra explotarla, podría obtener acceso no autorizado al sistema.
Esta vulnerabilidad permite la ejecución remota sin necesidad de autenticación previa, lo que implica un riesgo grave de compromiso de la seguridad del sistema afectado. |
| Estrategia | Actualizar inmediatamente a la versión 1.4.5 o superior que corrige esta vulnerabilidad. Además, revisar reglas de acceso y monitorizar intentos de acceso externo sospechosos para detectar posibles explotaciones activas. Aplicar controles de autenticación reforzada y limitar la exposición del servicio vulnerable a redes externas. |
| CVE | CVE-2026-47786 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | QNAP Systems, Inc. |
| Producto | HybridDesk Station |
| Versiones | versiones anteriores a 4.2.23 y 4.3.4 |
| Exploit Públicos | Sí |
| Referencia | Notas de seguridad QNAP HybridDesk Station |
| Descripción | Se ha reportado una vulnerabilidad de inyección de comandos del sistema operativo en HybridDesk Station. Si se explota, la vulnerabilidad podría permitir a atacantes remotos ejecutar comandos arbitrarios en el sistema afectado. |
| Estrategia | Aplicar inmediatamente la actualización a HybridDesk Station 4.2.23 o 4.3.4 según corresponda. Además, revisar la monitorización de actividad inusual en sistemas afectados y restringir el acceso de red solo a usuarios autorizados para minimizar riesgos de explotación remota. |
| CVE | CVE-2026-50612 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 16 octubre 2026 |
| Vendor | QNAP |
| Producto | QuMagie |
| Versiones | versiones anteriores a 2.9.2 |
| Exploit Públicos | Sí |
| Referencia | Notas de lanzamiento QuMagie |
| Descripción | Se ha reportado una vulnerabilidad de seguimiento de enlaces simbólicos (symlink) en Unix que afecta a QuMagie. Si un atacante remoto obtiene una cuenta de usuario, puede explotar esta vulnerabilidad para comprometer la seguridad del sistema.
Esta vulnerabilidad permite que un usuario autenticado explote la manipulación de enlaces simbólicos para escalar privilegios o acceder a archivos sensibles, poniendo en riesgo la integridad y confidencialidad del sistema. |
| Estrategia | Actualizar inmediatamente a la versión 2.9.2 o superior de QuMagie, donde la vulnerabilidad ha sido corregida. Además, reforzar la gestión de cuentas de usuario y monitorear actividad sospechosa para detectar ataques explotando esta vulnerabilidad. |
—
Supabase: Insertando registro CVE-2026-50612 con severidad CRÍTICA y exploit público confirmado para su seguimiento.
| CVE | CVE-2026-50619 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | QNAP |
| Producto | Qsirch |
| Versiones | Versiones anteriores a 7.0.3.0 |
| Exploit Públicos | Sí |
| Referencia | QNAP Notas de versión Qsirch |
| Descripción | Se ha reportado una vulnerabilidad de path traversal que afecta a Qsirch. Si es explotada, esta vulnerabilidad podría permitir a atacantes remotos leer el contenido de archivos o datos del sistema que no deberían ser accesibles. Este problema ha sido corregido en la versión 7.0.3.0 y posteriores de Qsirch. |
| Estrategia | Actualizar inmediatamente a Qsirch 7.0.3.0 o superior para mitigar la vulnerabilidad. Monitorizar accesos no autorizados a archivos sensibles y aplicar controles estrictos de acceso. Evaluar el entorno para detectar signos de explotación activa dado que existen exploits públicos disponibles. |
| CVE | CVE-2026-108497 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre, 2026 |
| Fabricante | TMS Amelia |
| Producto Afectado | Amelia Booking |
| Versiones Afectadas | Desde versiones iniciales hasta la 2.4.10 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | La vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un Comando SQL (‘Inyección SQL’) en TMS Amelia ameliabooking permite la ejecución de inyección SQL. Este problema afecta a Amelia: desde versiones iniciales hasta la 2.4.10.
La vulnerabilidad puede ser explotada por un atacante que envíe comandos SQL maliciosos a la base de datos a través de las interfaces afectadas del plugin, posibilitando la lectura, modificación o eliminación no autorizada de datos críticos, e incluso la ejecución remota de código en el servidor subyacente. |
| Estrategia | Priorizar la actualización inmediata a una versión parcheada del plugin Amelia superior a la 2.4.10. Adicionalmente, implementar reglas de WAF para filtrar y bloquear patrones típicos de inyección SQL, y monitorear logs de base de datos para actividad anómala que pudiera indicar intentos de explotación. |
| CVE | CVE-2026-109694 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | WP ManageNinja LLC |
| Producto | Fluent CRM |
| Versiones | desde la versión inicial hasta la 3.2.5 inclusive |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción |
Vulnerabilidad de asignación incorrecta de privilegios en WP ManageNinja LLC Fluent CRM que permite la escalada de privilegios. Este problema afecta a Fluent CRM desde su versión inicial hasta la 3.2.5 inclusive.
Esta vulnerabilidad puede ser explotada por un atacante con acceso básico que, mediante manipulación de los permisos incorrectamente asignados, eleva sus privilegios en el sistema comprometido, pudiendo ejecutar acciones restringidas y comprometer la integridad administrativa del entorno WordPress. |
| Importancia | Esta vulnerabilidad supone un riesgo crítico para la empresa al facilitar la escalada de privilegios dentro del entorno WordPress, lo que podría derivar en control total del sistema por actores maliciosos. La existencia de exploits públicos aumenta la urgencia de su mitigación. |
| Estrategia | Actualizar inmediatamente Fluent CRM a la versión más reciente que corrige la asignación incorrecta de privilegios. Revisar y limitar permisos de usuario siguiendo el principio de mínimos privilegios. Monitorizar eventos de escalada de privilegios y actividad administrativa sospechosa para detectar posibles explotaciones activas. |
| CVE | CVE-2026-109686 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Link Whisper INC |
| Producto | Link Whisper Free |
| Versiones | desde lanzamiento hasta 0.9.7 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en Link Whisper INC Link Whisper Free que permite inyección de objetos. Este problema afecta a Link Whisper Free: desde su versión inicial hasta la 0.9.7.
La deserialización de datos no confiables puede ser explotada remótamente por un atacante que envíe objetos PHP maliciosos, permitiendo la ejecución arbitraria de código en el servidor, lo que compromete la integridad y disponibilidad de la plataforma afectada. |
| Estrategia | Actualizar inmediatamente a una versión corregida más allá de la 0.9.7 cuando esté disponible. Hasta entonces, deshabilitar el plugin en entornos críticos. Implementar controles restrictivos de entrada para evitar deserialización de datos no confiables y monitorizar logs para detectar intentos de explotación activa. |
| CVE | CVE-2026-109688 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | Link Whisper INC |
| Producto | Link Whisper Free plugin |
| Versiones | Hasta la versión 0.9.7 inclusive |
| Exploit Públicos | Sí, existen exploits públicos |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un comando SQL (‘Inyección SQL’) en Link Whisper INC Link Whisper Free plugin que permite realizar Blind SQL Injection. Este problema afecta a versiones desde n/a hasta la 0.9.7 inclusive.
La vulnerabilidad permite a un atacante inyectar consultas SQL maliciosas a la base de datos a ciegas (sin ver el resultado directamente) mediante la manipulación de entradas controladas, lo que puede derivar en robo o alteración de datos sensibles y posible compromiso total del sistema afectado. |
| Estrategia | Actualizar inmediatamente a la versión corregida posterior a la 0.9.7. En paralelo, revisar y reforzar los controles de validación y saneamiento de entradas en todo formulario accesible. Monitorizar patrones anómalos de acceso a la base de datos para detectar explotación activa. |
| CVE | CVE-2026-109698 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Oct 2026 |
| Vendor | Kitae Park |
| Producto | Mang Board WP |
| Versiones | desde sin versión especificada hasta 2.4.4 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un Comando SQL (‘Inyección SQL’) en Kitae Park Mang Board WP mangboard permite la ejecución de ataques de inyección SQL. Este problema afecta a Mang Board WP: desde sin versión especificada hasta la 2.4.4. |
| Estrategia | Actualizar inmediatamente a una versión parcheada superior a 2.4.4. Monitorizar y analizar registros de acceso para detectar intentos de explotación. Limitar privilegios de base de datos y usar firewalls para aplicaciones web (WAF) que bloqueen patrones de inyección SQL. Priorizar esta actualización para evitar compromisos críticos. |
*****
| CVE | CVE-2026-109892 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | DynamiApps |
| Producto | Frontend Admin by DynamiApps (plugin acf-frontend-form-element) |
| Versiones | Desde su introducción hasta la versión 3.29.13 inclusive |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Asignación Incorrecta de Privilegios en el plugin Frontend Admin by DynamiApps (acf-frontend-form-element) que permite escalada de privilegios. Este problema afecta a versiones desde su introducción hasta la 3.29.13 inclusive.
La vulnerabilidad puede ser explotada por un atacante que manipule elementos del frontend para obtener privilegios administrativos o mayores a los asignados inicialmente, comprometiendo la seguridad integral del sistema WordPress donde esté instalado el plugin. |
| Estrategia | Actualizar inmediatamente el plugin a una versión corregida posterior a la 3.29.13 una vez esté disponible. Mientras tanto, restringir el acceso a funciones front-end administrativas, auditar los roles y permisos actuales, y monitorizar intentos inusuales de escalada de privilegios para detectar explotación activa. |
| CVE | CVE-2026-99999 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | Linux Kernel |
| Producto | Linux Kernel – IPv4 Stack |
| Versiones | Versiones anteriores al parche publicado en Octubre 2026 |
| Exploit Públicos | Sí, confirmado |
| Referencia | Repositorio oficial Linux Kernel |
| Descripción | En el núcleo Linux, se resolvió una vulnerabilidad en la pila ipv4 relacionada con la validación insuficiente del campo checksum_start antes de completar el checksum. Si un paquete con metadatos de checksum incorrectos entra en la pila ipv4, la función skb_checksum_help puede corromper el encabezado de la red y ocasionar graves problemas de seguridad y estabilidad. Esta vulnerabilidad puede ser explotada mediante el envío de paquetes maliciosos especialmente manipulados para corromper la memoria y provocar fallos o comportamiento impredecible en el sistema afectado. |
| Estrategia | Actualizar inmediatamente el kernel Linux a la versión parcheada que corrige esta vulnerabilidad. Complementar con controles de filtrado de paquetes malformados a nivel de firewall y monitorización de tráfico anómalo para detectar posibles intentos de explotación en la red interna. Mantenerse atento a nuevas actualizaciones del kernel y avisos de seguridad oficiales. |
| CVE | CVE-2026-110957 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Wavlink |
| Producto | WL-WN530BE2-A Firmware |
| Versiones | Hasta M30BE2_V250604 |
| Exploit Públicos | Sí |
| Referencia | Firmware oficial Wavlink</td |
| Descripción | Se ha detectado una vulnerabilidad en el firmware Wavlink WL-WN530BE2-A (hasta la versión M30BE2_V250604) en la función sub_12580 del archivo api.cgi componente del procesamiento de login. La manipulación del parámetro REMOTE_ADDR permite la inyección de comandos del sistema operativo de forma remota. Esta falla puede ser explotada sin necesidad de acceso previo, existiendo exploits públicos disponibles. El fabricante ha corregido el problema en la versión 2026-09-24-841a51c6d5_tclinux.bin cambiando la forma en que se invoca el script de login para prevenir ejecución arbitraria. |
| Estrategia | Actualizar de inmediato el firmware a la versión 2026-09-24-841a51c6d5_tclinux.bin o superior. Deshabilitar o restringir el acceso remoto a la interfaz api.cgi mientras se realiza la actualización. Implementar monitoreo de tráfico inusual y alertas frente a intentos de inyección de comandos. Priorizar esta acción, dado que la vulnerabilidad está siendo explotada públicamente y puede comprometer la infraestructura. |
—
| CVE | CVE-2026-47168 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de Octubre de 2026 |
| Vendor | EspoCRM |
| Producto | EspoCRM (gestor CRM de código abierto) |
| Versiones | Versión anteriores a 9.3.7 |
| Exploit Públicos | Sí |
| Referencia | GitHub Commit EspoCRM Fix |
| Descripción | EspoCRM es una aplicación CRM de código abierto. En versiones anteriores a la 9.3.7, un administrador autenticado puede enviar datos serializados PHP maliciosos que se almacenan en parámetros de MassAction o Export y que la aplicación deserializa posteriormente sin restricción de clases permitidas. Esto permite la instanciación controlada por el atacante de objetos PHP y la ejecución arbitraria de código en el servidor. |
| Estrategia | Parchear urgentemente a la versión 9.3.7 o superior que corrige esta vulnerabilidad. Restringir la deserialización a objetos permitidos y revisar accesos administrativos para evitar abuso. Monitorizar logs para detectar actividad de explotación y ausencia anómala de tráfico. |
—–
Si la empresa utiliza EspoCRM versiones anteriores a la 9.3.7 y con cuentas administrativas activas, esta vulnerabilidad representa un riesgo crítico real por permitir ejecución remota de código privilegiada con exploits existentes y alta facilidad de explotación. Priorizar inmediata actualización y control de accesos para evitar compromisos graves.
| CVE | CVE-2026-105474 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Oct 2026, 03:32 (UTC) |
| Vendor | SolusVM |
| Producto | SolusVM 2 |
| Versiones | hasta la versión 2.0.0-44576 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Soporte Oficial SolusVM |
| Descripción | Existe una vulnerabilidad de inyección de plantillas del lado servidor (Server-Side Template Injection) en SolusVM 2 hasta la versión 2.0.0-44576 que permite a usuarios autenticados remotos ejecutar código arbitrario con privilegios de root. |
| Estrategia | Actualizar inmediatamente SolusVM a la versión corregida posterior a 2.0.0-44576. Limitar el acceso remoto y asegurar que solo usuarios autenticados y de confianza puedan interactuar con el sistema. Monitorizar actividad sospechosa por ejecución de comandos arbitrarios y preparar planes de contingencia ante un posible compromiso. |
—–
| CVE | CVE-2026-110958 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Wavlink |
| Producto | WN530HG4B M30HG4B_V260724 (firmware) |
| Versiones | Versiones anteriores a 2026-09-24-841a51c6d5_tclinux.bin |
| Exploit Públicos | Sí |
| Referencia | Firmware oficial de actualización |
| Descripción | Se ha descubierto una vulnerabilidad en el firmware Wavlink WN530HG4B M30HG4B_V260724 en una función desconocida del archivo api.cgi que permite un desbordamiento de búfer basado en heap. Este fallo puede ser explotado remotamente para ejecutar código arbitrario o causar la caída del dispositivo. Un exploit público ya está disponible y puede ser utilizado para ataques. El fabricante ha lanzado una actualización que elimina la ejecución de comandos shell inseguros y limita la entrada válida para la función afectada. |
| Estrategia | Actualizar inmediatamente al firmware versión 2026-09-24-841a51c6d5_tclinux.bin proporcionado por el fabricante. Monitorizar señales de explotación remota y limitar el acceso remoto a dispositivos Wavlink afectados. Revisar y reforzar controles de acceso y segmentación para evitar exposición pública de interfaces api.cgi. |
—–
| CVE | CVE-2026-57155 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026, 03:32 (UTC) |
| Vendor | OPNsense |
| Producto | OPNsense Firewall y Plataforma de Enrutamiento |
| Versiones | Versiones anteriores a 26.1.11 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patch oficial en GitHub |
| Descripción | OPNsense, un firewall y plataforma de enrutamiento basada en FreeBSD, presenta una vulnerabilidad crítica en las funciones process_zip() y process_gzip() del importador Firewall Alias GeoIP, anteriores a la versión 26.1.11. Un usuario con privilegios para editar aliases de firewall puede configurar una URL maliciosa con un archivo cuyo código de país CSV no validado permite un salto de directorio y escritura arbitraria de archivos raíz. Esto puede derivar en ejecución remota de comandos con privilegios root aprovechando jobs cron y fragmentos de noticias de syslog diseñados para ello, comprometiendo completamente el firewall. |
| Estrategia | Actualizar urgentemente a la versión 26.1.11 o superior, que corrige esta vulnerabilidad. Limitar estrictamente los privilegios para editar reglas GeoIP solo a usuarios altamente confiables. Monitorizar logs y emplear detección de actividad anómala para identificar intentos de explotación. Si es posible, aislar los servicios o reforzar controles en la validación de entradas para evitar saltos de directorios. |
| CVE | CVE-2026-110812 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-16T03:32:33.956765+00:00 |
| Vendor | Amazon |
| Producto | Amazon Neptune engine |
| Versiones | versiones anteriores a 1.5.0.0 (backports a 1.4.8.1 y 1.4.7.1) |
| Exploit Públicos | Sí |
| Referencia | AWS Security Bulletin |
| Descripción | La deserialización de datos no confiables en el componente de importación de datos de grafos Gremlin en Amazon Neptune engine puede permitir que un actor remoto autenticado con permisos estándar de base de datos ejecute código arbitrario y acceda a credenciales internas del servicio. Esto representa un riesgo grave si se comprometen las credenciales internas y la ejecución remota es posible desde usuarios con acceso autorizado. |
| Estrategia | Actualizar urgentemente a Amazon Neptune engine versión 1.5.0.0 o superior (o aplicar backports en versiones 1.4.8.1 y 1.4.7.1). Revisar y limitar los permisos de base de datos otorgados a usuarios, implementar monitoreo para detectar accesos inusuales y evaluar posibles indicadores de compromiso. Desactivar importación de datos Gremlin no confiables si no es imprescindible. |
—–
| CVE | CVE-2026-84731 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Nutanix |
| Producto | Prism Element |
| Versiones | No especificado (presumiblemente todas las versiones afectadas hasta la publicación del parche) |
| Exploit Públicos | Sí |
| Referencia | Aviso de Seguridad Nutanix 0058 |
| Descripción | Un atacante remoto no autenticado puede evadir la autenticación y obtener acceso completo a los endpoints administrativos de la API en Nutanix Prism Element incluyendo una cabecera HTTP interna manipulada. Esta vulnerabilidad se debe a una mala configuración en los filtros de autenticación de la aplicación. El servidor responde con una cabecera Set-Cookie que contiene un JSESSIONID válido que decodifica un JSON Web Token (JWT) con privilegios administrativos máximos del clúster. La explotación permite ejecutar comandos con privilegios root en todas las VMs de controlador (CVMs), ocasionando destrucción total del clúster y acceso no autorizado a la memoria y discos virtuales de las VMs. |
| Estrategia | Aplicar inmediatamente el parche oficial proporcionado por Nutanix. Revisar y reforzar la configuración de autenticación en el entorno. Monitorear accesos administrativos y tráfico API para detectar uso de cabeceras HTTP sospechosas. Desplegar sistemas de detección que alerten sobre comandos ejecutados en CVMs. Considerar segmentación adicional y controles estrictos en la red para limitar accesos no autorizados. |
| CVE | CVE-2026-102946 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | authlib |
| Producto | joserfc (librería Python para JOSE) |
| Versiones | versiones anteriores a 1.7.4 |
| Exploit Públicos | Sí |
| Referencia | Commit de corrección</td |
| Descripción | La biblioteca Python joserfc, usada para implementar estándares JSON Object Signing and Encryption (JOSE), tiene una vulnerabilidad crítica en versiones anteriores a 1.7.4. La función joserfc.jws.deserialize_json() considera como válido un JWS General JSON Serialization con un array vacío de firmas, ya que el bucle verify_general_json() no verifica firmas si el array está vacío y devuelve éxito. Esto permite a un atacante sin clave de firma presentar una carga útil arbitraria que la aplicación puede tratar como auténtica. El problema afecta solo a la ruta General JSON Serialization, no a compact JWS, JWT, Flattened JSON o JWE JSON. La vulnerabilidad está corregida en la versión 1.7.4. |
| Estrategia | Actualizar IMPLICA a la versión 1.7.4 o superior para corregir la validación de firmas en la deserialización JOSE. Verificar que las aplicaciones que usan joserfc no confíen en firmas vacías en General JSON Serialization. Monitorizar posibles usos anómalos de la biblioteca para detectar intentos de explotación. Priorizar esta actualización dada la alta severidad y la existencia de exploits públicos. |
—–
| CVE | CVE-2026-111235 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-16T03:32:34.594834+00:00 |
| Vendor | OpenNMS Group |
| Producto | OpenNMS Meridian y Horizon |
| Versiones | Meridian anteriores a 2024.3.14, 2025.0.11, 2026.0.1; Horizon anterior a 36.0.5 |
| Exploit Públicos | Sí |
| Referencia | GitHub Pull Request</td |
| Descripción | Existe una vulnerabilidad de bypass de autorización en la API REST de múltiples versiones de OpenNMS Meridian y Horizon. Los filtros de seguridad Spring para /rest/** autorizan solicitudes con reglas que consideran el método HTTP en mayúsculas y comparan de forma sensible a mayúsculas/minúsculas. Una petición con método en minúsculas no coincide con ninguna regla y es procesada sin autenticación. Un atacante remoto y no autenticado puede leer el inventario supervisado y crear, modificar o eliminar recursos vía REST API, incluido inyectar eventos para fabricar o suprimir alarmas. La cadena /rest/alarms también carece de una regla de denegación final y puede revelar la existencia de alarmas a través de diferencias en la respuesta. La solución es añadir una regla de denegación terminal en cada cadena de filtro REST y actualizar a las versiones parcheadas indicadas. |
| Estrategia | Priorizar la actualización inmediata a Meridian 2024.3.14, 2025.0.11, 2026.0.1 o superior, y Horizon 36.0.5 o superior. Confirmar que las APIs REST no estén accesibles desde Internet; deben estar restringidas a redes privadas. Monitorizar accesos inusuales a la API REST y ajustar reglas de firewall para limitar interacciones no autorizadas. Revisar logs para detectar explotación activa dada la existencia de exploits conocidos y su alto impacto. |
| CVE | CVE-2026-47218 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | runwasi |
| Producto | containerd-shim-wasmtime-v1 (parte de runwasi) |
| Versiones | Anteriores a 0.6.1 |
| Exploit Públicos | Sí |
| Referencia | GitHub Commit de solución |
| Descripción | runwasi facilita la ejecución de cargas de trabajo Wasm y WASI gestionadas por containerd. Antes de la versión 0.6.1, containerd-shim-wasmtime-v1 puede tratar bytes precompilados de Wasmtime suministrados directamente en una capa de imagen OCI como un artefacto confiable del caché de precompilación y deserializarlos como código nativo. Un atacante que logre que una víctima ejecute una imagen manipulada puede evadir la validación de WebAssembly y ejecutar código nativo en el proceso shim zygote, obteniendo acceso al sistema de archivos, entorno, credenciales, red y llamadas al sistema Linux que tiene el contenedor de la carga de trabajo. Los shims descendientes que usan la API de caché de precompilación de runwasi containerd-shim-wasm también están afectados si implementan Compiler y confían en artefactos precompilados ejecutables de capas OCI. La versión 0.6.1 corrige específicamente containerd-shim-wasmtime y no garantiza seguridad en productos descendientes. La vulnerabilidad escapa al sandbox WASI hasta el contenedor de la carga de trabajo, pero no permite ejecutar código directamente en el host o evadir aislamiento del contenedor. |
| Estrategia | Actualizar urgentemente a la versión 0.6.1 o superior de containerd-shim-wasmtime-v1. Revisar y auditar cualquier shim descendiente que use la API de precompilación para evitar ejecutar artefactos no confiables. Implementar controles adicionales de validación de imágenes OCI antes de su ejecución en entornos críticos. Monitorear actividad anómala en contenedores relacionados para detectar explotación activa. Esta vulnerabilidad, aunque no permite control del host, implica acceso completo al entorno y recursos del contenedor, lo que puede comprometer cargas de trabajo críticas o credenciales sensibles. |
| CVE | CVE-2026-55240 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Oct 2026 |
| Vendor | Tianji Open Source Project |
| Producto | Tianji Analytics, Uptime Monitoring y Server Status Platform |
| Versiones | versiones anteriores a 1.31.29 |
| Exploit Públicos | Sí |
| Referencia | GitHub Commit Tianji Fix |
| Descripción | Tianji, plataforma de análisis y monitorización, contiene una vulnerabilidad en formatString() en src/server/utils/template.ts en versiones anteriores a 1.31.29. Un administrador de workspace puede almacenar bloques de código utilizando la sintaxis <% code %>. El endpoint público survey.submit renderiza plantillas sin autenticación, ejecutando este código server-side en Node.js, lo que permite ejecución remota de comandos, divulgación de secretos, manipulación de datos o denegación de servicio. |
| Estrategia | Actualizar urgentemente a la versión 1.31.29 o superior que corrige la vulnerabilidad. Limitar el acceso al endpoint público y auditar plantillas almacenadas en workspaces para evitar código malicioso. Monitorizar comportamientos anómalos del servidor para detectar posibles explotaciones activas. |
| CVE | CVE-2026-57496 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de Octubre de 2026 |
| Vendor | Labs64 |
| Producto | NetLicensing MCP Server |
| Versiones | versiones anteriores a 0.1.8 |
| Exploit Públicos | Sí |
| Referencia | GitHub Commit Oficial |
| Descripción | NetLicensing MCP Server es una interfaz en lenguaje natural que permite gestionar el ciclo de vida de licenciamiento de software. Antes de la versión 0.1.8, la función netlicensing_get_product asocia un parámetro controlado por el atacante (product_number) sin validar a una ruta REST. Esto permite a un cliente autenticado con clave API no administrativa evadir validaciones y acceder al endpoint /token, recuperando valores de tokens en texto plano sin aplicar protecciones de redacción. Un atacante que recupere un token administrativo puede obtener control total para leer, escribir y eliminar datos en la cuenta NetLicensing. |
| Estrategia | Actualizar inmediatamente a la versión 0.1.8 o superior donde se corrige esta vulnerabilidad. Revisar y restringir los permisos de las claves API especialmente para clientes MCP. Monitorizar accesos anómalos a los endpoints relacionados con tokens y realizar auditoría continua para detectar explotación activa. |
| CVE | CVE-2026-102764 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | BeyondTrust |
| Producto | Remote Support |
| Versiones | No especificadas, se afecta el componente interno del producto |
| Exploit Públicos | Sí |
| Referencia | KB0024066 BeyondTrust Advisory |
| Descripción | Existe una vulnerabilidad en componentes internos del producto Remote Support de BeyondTrust. Estos componentes no validan adecuadamente el origen de los mensajes recibidos, lo que bajo ciertas condiciones permite que un atacante realice operaciones de archivo en el dispositivo afectado. |
| Estrategia | Aplicar inmediatamente el parche oficial proporcionado por BeyondTrust. Además, vigilar además patrones de tráfico inusuales para detectar intentos de explotación, y restringir el acceso a los componentes afectados solo a redes y usuarios confiables. |
| CVE | CVE-2026-105032 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | EnergizeLab |
| Producto | Eilik y EilikO AI skill upload endpoint (FastAPI AI inference and profiling services) |
| Versiones | No especificadas |
| Exploit Públicos | Sí, disponibles en GitHub |
| Referencia | [email protected] y GitHub |
| Descripción | El endpoint de carga de habilidades AI de EnergizeLab Eilik y EilikO, gestionado por los servicios FastAPI de inferencia y perfilado AI, no requiere autenticación ni limita las rutas de archivos cargados. Un atacante remoto sin autenticar puede usar path traversal para escribir archivos arbitrarios y manipular archivos de habilidades AI usados por los robots Eilik y EilikO. |
| Estrategia | Aplicar inmediatamente parches que requieran autenticación para el endpoint de carga y validen exhaustivamente las rutas de archivos para impedir traversal. Monitorizar intentos de explotación y restringir el acceso a la API sólo a usuarios autorizados. Esta vulnerabilidad se debe priorizar al máximo dado que permite manipulación remota de archivos críticos para sistemas AI, representando un riesgo directo de comprometimiento operativo. |
| CVE | CVE-2026-105037 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | EnergizeLab |
| Producto | station-middleware (NestJS) Docker images |
| Versiones | 1.6.5 hasta 1.8.2 |
| Exploit Públicos | Sí, disponibles públicamente |
| Referencia | Recurso público de explotación</td |
| Descripción | Las imágenes Docker station-middleware (NestJS) de EnergizeLab, versiones 1.6.5 a 1.8.2, permiten a cualquier cuenta registrada con privilegios bajos leer archivos arbitrarios del servidor mediante la provisión de una ruta de archivo controlada por el atacante. Esto expone archivos del middleware y secretos del servidor, comprometiendo la confidencialidad y la seguridad de la infraestructura. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que corrija este acceso no autorizado. Revisar y restringir las políticas de acceso a archivos en el middleware, asegurando que las rutas de archivo proporcionadas sean validadas y seguras. Monitorizar activamente accesos inusuales a archivos sensibles y restringir cuentas con privilegios limitados para minimizar riesgo. |
| CVE | CVE-2026-105038 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | EnergizeLab |
| Producto | Eilik y EilikO FastAPI AI inference and profiling services |
| Versiones | No especificadas |
| Exploit Públicos | Sí |
| Referencia | Repositorio público de exploit</td |
| Descripción | Los servicios de inferencia y perfilado AI Eilik y EilikO FastAPI de EnergizeLab exponen funciones de administración del modelo AI sin ningún tipo de autenticación. Un atacante remoto no autenticado puede modificar la configuración del modelo AI y cambiar el modelo en uso en tiempo real. |
| Estrategia | Aplicar inmediatamente controles de autenticación robusta para las funciones administrativas de estos servicios. Parchear con la versión corregida cuando esté disponible. Mientras tanto, restringir el acceso a la red para estos servicios sólo a usuarios o sistemas autorizados y monitorizar logs para detectar accesos anómalos o intentos de cambio de configuración. |
—
*CVE:* CVE-2026-105038
*Severidad:* CRITICAL (9.8)
*Importancia para la empresa:* ALTA
*Publicado:* 16 Octubre 2026
*Fabricante:* EnergizeLab
*Producto Afectado:* Eilik y EilikO FastAPI AI inference and profiling services
*Versiones Afectadas:* No especificadas
*Exploit Públicos:* Sí
*Referencia:* Repositorio público de exploit
*Descripción:* Los servicios de inferencia y perfilado AI Eilik y EilikO FastAPI de EnergizeLab exponen funciones administrativas sin requerir autenticación. Esto permite a un atacante remoto no autenticado modificar la configuración del modelo AI y cambiar el modelo activo en tiempo real.
Esta vulnerabilidad es altamente crítica porque un atacante podría manipular el comportamiento de modelos de AI usados en producción, afectando tanto la integridad como la confiabilidad de la inteligencia artificial desplegada, suponiendo un riesgo directo para la seguridad y operaciones de la compañía.
*Estrategia:* Implementar controles de autenticación fuertes en las funciones administrativas. Actualizar a la versión parcheada en cuanto esté disponible. Restringir el acceso a los servicios al mínimo necesario y monitorizar activamente los registros para detectar actividades sospechosas.
| CVE | CVE-2026-105039 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | EnergizeLab |
| Producto | station-middleware (NestJS) Docker images |
| Versiones | 1.6.5 hasta 1.8.2 |
| Exploit Públicos | Sí |
| Referencia | GitHub Exploit Público |
| Descripción | Las imágenes Docker de EnergizeLab station-middleware (NestJS) versiones 1.6.5 a 1.8.2 no verifican los roles de usuario en las APIs administrativas. Cualquier usuario autenticado con bajo privilegio puede acceder a claves de proveedores de IA y modificar la configuración y el contenido del almacenamiento de objetos. |
| Estrategia | Aplicar inmediatamente la actualización a una versión parcheada que incluya verificación correcta de roles en todas las APIs administrativas. Revisar y limitar el acceso a claves sensibles y almacenamiento de objetos. Monitorear accesos anómalos a estas APIs y configurar alertas para posibles explotaciones activas. |
| CVE | CVE-2026-111281 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 de octubre de 2026 |
| Vendor | Jooan |
| Producto | Cámaras IP Jooan JA-A12 |
| Versiones | Firmware 009_20171107 y 05.02.31.105 |
| Exploit Públicos | Sí |
| Referencia | Reversing a cheap IP camera to root |
| Descripción | Las cámaras IP Jooan JA-A12 con firmware 009_20171107 y 05.02.31.105 contienen una vulnerabilidad de ejecución remota de código que permite a atacantes no autenticados ejecutar comandos con privilegios root mediante credenciales codificadas de forma fija. Los atacantes envían el parámetro singleCMD=SetDiagMode al endpoint /goform/SingleHandlebyCommand junto con un authserverip y authcode elegidos por ellos, lo que provoca que el daemon jooandiag ejecute sus órdenes a través de /bin/sh, obteniendo control total del dispositivo. |
| Estrategia | Actualizar o reemplazar inmediatamente el firmware afectado por una versión parcheada. Si no está disponible, aislar el dispositivo de la red pública y restringir el acceso a la interfaz administrativa. Monitorizar tráfico inusual y establecer alertas para intentos de acceso a /goform/SingleHandlebyCommand. Validar bloqueo de credenciales embebidas y eliminar dispositivos en riesgo para evitar compromiso total de la infraestructura. |
| CVE | CVE-2026-111283 |
| Severidad | CRITICAL (9.5) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-16T03:32:37.073918+00:00 |
| Vendor | BMC Software |
| Producto | BMC Helix Network Management on-prem |
| Versiones | anteriores a 26.3.01 |
| Exploit Públicos | Sí |
| Referencia | BMC Helix Release Notes |
| Descripción | BMC Helix Network Management on-prem anterior a la versión 26.3.01 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados iniciar sesión como administrador local con cualquier contraseña cuando se configura SAML single sign-on. Los atacantes pueden enviar el nombre de usuario administrador con una contraseña arbitraria en la página de inicio de sesión web para obtener una sesión SuperAdmin, modificar credenciales de dispositivos, ejecutar comandos en dispositivos y alterar registros de auditoría. |
| Estrategia | Actualizar inmediatamente a la versión 26.3.01 o superior que corrige esta grave vulnerabilidad. Revisar configuraciones de SAML y restringir acceso administrativo temporalmente. Monitorizar sistemas para detección de accesos no autorizados y alteraciones en registros o configuraciones. |
| CVE | CVE-2026-111312 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Oct 2026, 03:32 (UTC) |
| Vendor | OpenHealth |
| Producto | OpenHealth |
| Versiones | versiones hasta 0.2.0 incluidas |
| Exploit Públicos | Sí, confirmados |
| Referencia | Repositorio oficial OpenHealth |
| Descripción | OpenHealth hasta la versión 0.2.0 contiene una vulnerabilidad crítica de ausencia de autenticación y autorización en los controladores /api/health-data/[id] para los métodos GET, PATCH y DELETE, que permiten consultar registros por id sin verificar sesión o autorId. Un atacante no autenticado que conozca un identificador de registro HealthData puede leer datos médicos y metadatos de otro usuario, sobrescribirlos con JSON arbitrario o eliminarlos. |
| Estrategia | Priorizar la actualización inmediata a una versión parcheada que incluya controles de autenticación y autorización robustos en los endpoints afectados. En paralelo, reforzar auditorías de acceso, monitorizar accesos anómalos y restringir el acceso a APIs sensibles mediante autenticación fuerte y validación estricta de propietarios de datos. |
—–
Supabase insert:
const { data, error } = await supabase
.from(‘vulnerabilities’)
.insert([
{
cve: ‘CVE-2026-111312’,
severidad: ‘CRÍTICA (9.2)’,
importancia_empresa: ‘ALTA’,
publicado: ‘2026-10-16T03:32:37.371565+00:00’,
vendor: ‘OpenHealth’,
producto_afectado: ‘OpenHealth’,
versiones_afectadas: ‘versiones hasta 0.2.0 incluidas’,
exploit_publicos: ‘Sí, confirmados’,
referencia: ‘https://github.com/OpenHealthForAll/open-health’,
descripcion: ‘OpenHealth hasta la versión 0.2.0 contiene una vulnerabilidad crítica de ausencia de autenticación y autorización en los controladores /api/health-data/[id] para los métodos GET, PATCH y DELETE, que permiten consultar registros por id sin verificar sesión o autorId. Un atacante no autenticado que conozca un identificador de registro HealthData puede leer datos médicos y metadatos de otro usuario, sobrescribirlos con JSON arbitrario o eliminarlos.’,
estrategia: ‘Priorizar la actualización inmediata a una versión parcheada que incluya controles de autenticación y autorización robustos en los endpoints afectados. En paralelo, reforzar auditorías de acceso, monitorizar accesos anómalos y restringir el acceso a APIs sensibles mediante autenticación fuerte y validación estricta de propietarios de datos.’
}
])
| CVE | CVE-2026-111322 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-16T03:32:37.580351+00:00 |
| Vendor | Archon |
| Producto | Archon |
| Versiones | 0.2.13 hasta 0.11.1 |
| Exploit Públicos | Sí |
| Referencia | GitHub Archon |
| Descripción | Archon versiones 0.2.13 hasta 0.11.1 contiene una vulnerabilidad de autenticación ausente que permite a atacantes no autenticados acceder a la API de control /api/*, la cual escucha en 0.0.0.0 por defecto. Atacantes con acceso a la red pueden enviar mensajes al agente AI de codificación que corre con bypassPermissions para ejecutar comandos en el host con el usuario Archon. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que restrinja el acceso a la API de control. Implementar controles de red para limitar acceso a interfaces internas y monitorizar tráfico inusual hacia /api/*. Restringir permisos del agente AI para evitar ejecución con bypassPermissions, y auditar accesos remotos para detectar explotaciones activas. |
| CVE | CVE-2026-111329 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026 |
| Vendor | JuggleIM |
| Producto | im-server |
| Versiones | versión 1.8.16 y anteriores |
| Exploit Públicos | Sí, confirmado |
| Referencia | Repositorio oficial GitHub |
| Descripción | JuggleIM im-server hasta la versión 1.8.16 incluye credenciales administrativas predeterminadas (admin/123456) que permiten a atacantes remotos no autenticados acceder a la consola de administración en el puerto 8090. Los atacantes pueden iniciar sesión como administrador incluso tras la eliminación de la cuenta ya que el mecanismo CheckLogin recrea automáticamente el usuario para controlar aplicaciones de inquilinos y secretos de apps. |
| Estrategia | Actualizar inmediatamente a una versión corregida que elimine las credenciales predeterminadas. En caso de no ser posible, cambiar las credenciales administrativas por otras robustas y revisar el mecanismo CheckLogin para evitar recreaciones automáticas no autorizadas. Además, monitorizar accesos a la consola administrativa y restringir el acceso al puerto 8090 para minimizar riesgos. |
—–
Siendo una vulnerabilidad crítica con exploits públicos confirmados, es prioritario inferir que está en explotación activa. Su capacidad para permitir acceso administrativo sin autenticación representa un riesgo real y inmediato para la seguridad de la empresa, pudiendo comprometer datos sensibles y control total de la infraestructura.
Priorizar parcheo o mitigación efectiva sin demora.
| CVE | CVE-2026-111356 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 16 Octubre 2026, 03:32 (UTC) |
| Vendor | MagicBlack |
| Producto | MacCMS v10 |
| Versiones | hasta la versión 2026.1000.4056 incluida |
| Exploit Públicos | Sí, existen exploits públicos |
| Referencia | GitHub MacCMS v10 |
| Descripción | MacCMS v10 hasta la versión 2026.1000.4056 no limita los intentos sobre el código de recuperación de contraseña de seis dígitos, lo que permite a atacantes no autenticados tomar control de cuentas de usuario. Atacantes que conocen el correo electrónico o teléfono de la víctima pueden solicitar un código y hacer fuerza bruta (brute-force) en la función findpass_reset para sobrescribir la contraseña del miembro afectado. |
| Estrategia | Actualizar inmediatamente a la versión parcheada que limite los intentos del código de recuperación. Implementar mecanismos de bloqueo tras varios intentos fallidos (rate limiting, CAPTCHA). Monitorizar accesos y solicitudes de recuperación sospechosas y alertar ante patrones de fuerza bruta para evitar compromisos activos. |
*****
Para el almacenamiento del registro en Supabase, procederé con la inserción conforme a los parámetros indicados.
Enviar a un amigo:
