Iurlek - Noticias Seguridad

Top Vulnerabilidades Críticas 27-05-2026

cve-2026-7374 es una vulnerabilidad crítica en KubeVirt que permite a usuarios con permisos limitados obtener control total del nodo y clúster en Kubernetes. La falla reside en una validación incorrecta de enlaces simbólicos en el componente virt-handler. Su explotación activa representa un riesgo severo para la integridad del sistema. cve-2026-45247 afecta a la extensión Full Page Cache Warmer de Magento 2, permitiendo ejecución remota de código mediante inyección de objetos PHP. Esta vulnerabilidad crítica es explotable sin necesidad de autenticación, poniendo en riesgo la integridad de los servidores afectados. cve-2026-48686 afecta a FastNetMon Community Edition con una falla de desbordamiento de buffer en pila que permite la ejecución remota de código. Esta vulnerabilidad crítica se debe a la ausencia de validación en la longitud del prefijo BGP, resultando en corrupción de memoria y comportamiento indefinido. cve-2026-2264 afecta a Google Cloud Apigee permitiendo SSRF y robo de tokens mediante configuración insegura. Es una vulnerabilidad crítica que compromete la seguridad de accesos a servicios en la nube. cve-2026-45721 es una vulnerabilidad crítica en xyproto algernon que permite la ejecución remota de código preautenticada mediante la carga de archivos Lua maliciosos desde directorios fuera de la raíz del servidor. La explotación de esta falla es confirmada y representa un riesgo grave para la confidencialidad e integridad del servidor. cve-2026-44668 afecta a Faction Faction y permite a un atacante no autenticado modificar y eliminar plantillas clave en el sistema explotando la ausencia de comprobación de sesiones. La vulnerabilidad es crítica y cuenta con explotación activa confirmada, siendo aconsejable la actualización inmediata a la versión corregida. cve-2026-46624 describe una ejecución remota de código crítica en Twenty CRM mediante inyección SQL en la API REST. Esta falla afecta directamente a la seguridad del sistema y permite la ejecución de comandos arbitrarios en el servidor bajo condiciones específicas. cve-2026-47202 permite a atacantes remotos obtener tokens JWT sin autenticación, comprometiendo la seguridad de usuarios y administradores en Kavita. Se trata de una vulnerabilidad crítica que afecta a la autenticación del servidor de lectura. cve-2026-7251 afecta a dispositivos Eppendorf BioFlo 320 permitiendo acceso remoto sin cifrado mediante contraseña fija en servidor VNC. Esta falla crítica expone control total del panel de usuario a atacantes remotos. cve-2026-8633 afecta a IBM WebSphere Application Server y WebSphere Liberty con ejecución remota de código gracias a una petición manipulada. Esta vulnerabilidad crítica permite el control total del servidor afectado. cve-2026-9560 permite la ejecución de comandos con privilegios elevados en OpenVPN Connect para macOS. Esta vulnerabilidad es crítica y facilita la escalada de privilegios mediante un canal local de comunicación entre procesos. cve-2026-3660 permite acceso no autorizado mediante actualización remota de archivos en IBM Engineering Lifecycle Management. Esta vulnerabilidad crítica puede comprometer totalmente la aplicación y está siendo activamente explotada por atacantes. cve-2026-48689 afecta a FastNetMon Community Edition permitiendo ejecución remota de código mediante desbordamiento de búfer. Esta falla se debe a una comprobación incorrecta de los límites en buffers dinámicos que compromete la integridad del heap. cve-2026-44444 describe una vulnerabilidad crítica en Lumiverse que permite la ejecución remota de código al instalar extensiones maliciosas. Esta falla pone en riesgo la seguridad del sistema al ejecutar scripts no deseados antes de la inspección de archivos. cve-2026-44449 muestra una ejecución remota de código en Lumiverse. Esta falla crítica se debe a una validación inadecuada en rutas SMB, permitiendo ataques remotos. cve-2026-44450 describe una vulnerabilidad crítica en Lumiverse MCP Server que permite la ejecución remota de código con privilegios del sistema mediante una validación deficiente. Este fallo permite a atacantes autenticados ejecutar comandos arbitrarios, afectando gravemente la integridad y la seguridad del sistema. cve-2026-44451 afecta a Lumiverse e implica ejecución remota de código mediante bypass del sandbox y omisión de validación efectiva. La vulnerabilidad permite el control total del entorno en sesiones autenticadas. cve-2025-62582 y cve-2026-9642 afectan a Tenable DIAView y permiten acceso remoto no autorizado a bases de datos sensibles. Ambas vulnerabilidades son críticas y permiten explotación activa, poniendo en riesgo la seguridad de proyectos configurados. La mitigación es incompleta o inexistente para estos fallos. cve-2026-44895 describe una vulnerabilidad crítica en GitLab MCP Server que permite ejecución remota sin autenticación debido a un endpoint RPC expuesto y políticas CORS inseguras. Este fallo facilita el acceso total al token de acceso personal del operador, con explotación activa confirmada. cve-2026-9312 expone una vulnerabilidad crítica de SSRF en GitHub Enterprise Server que permite a atacantes no autenticados acceder a servicios internos y datos sensibles. Esta falla se debe a una validación defectuosa de entradas en un componente clave del sistema. La explotación activa confirmada subraya la gravedad del riesgo para entornos empresariales que utilizan esta plataforma.

27. Mai 2026 - 10 min