Número de artículos: 81
GitLab corrigió una vulnerabilidad especialmente delicada para quienes administran su propia instancia. CVE-2026-110264 permite, bajo determinadas condiciones, ejecutar código sin iniciar sesión y recibió un CVSS de 10.0.
PHP acaba de corregir dos fallas críticas que afectan al motor utilizado por buena parte de la web. CVE-2026-109618 y CVE-2026-109619 pueden permitir ejecución remota sin autenticación o exposición de memoria.
CVE-2026-21589 permite que un atacante remoto sin credenciales acceda a archivos específicos dentro de la raíz de una aplicación Atlassian si conoce su nombre y ruta exactos. Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye y Jira Service Management requieren actualización inmediata.
La vulnerabilidad CVSS 9,8 permite acceder a la API con privilegios administrativos sin autenticación. No existe una solución alternativa definitiva: las organizaciones deben actualizar y revisar evidencias de compromiso.
Fortinet confirmó la explotación activa de CVE-2026-104286, una vulnerabilidad crítica en FortiMail. Un atacante remoto puede escribir archivos en el sistema mediante solicitudes HTTP o HTTPS, sin autenticación. La falla tiene un CVSS de 9,8 y ya fue incorporada al catálogo KEV de CISA.
La explotación no requiere autenticación ni interacción cuando zimbra-snmp está instalado y las notificaciones SNMP se encuentran habilitadas. Los atacantes desplegaron web shells, elevaron privilegios, mantuvieron acceso y recopilaron información de buzones y autenticaci
La compañía reconoce que la falla pudo utilizarse en un ataque extremadamente sofisticado contra personas específicas con versiones anteriores a iOS 27. Las correcciones están disponibles en iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1.
La primera permite ejecutar comandos remotamente, sin autenticación, en todas las implementaciones vulnerables, incluso con la configuración predeterminada. Actualizar es urgente, pero no descarta que un dispositivo expuesto haya sido comprometido antes de instalar la corrección.
Roundcube bajo ataque: CVE-2026-48842 está siendo explotada activamente y permite una inyección SQL sin autenticación bajo configuraciones vulnerables.
Explotación activa de CVE-2026-87902 en WordPress Core: afecta versiones ampliamente desplegadas, no requiere autenticación y puede terminar en ejecución remota de código bajo condiciones específicas.
