Vulnerabilidad Crítica en Cisco Smart Software Manager On-Prem permite ejecución remota de comandos
Cisco ha emitido una alerta urgente sobre una vulnerabilidad crítica (CVE-2026-20160) en la plataforma Smart Software Manager On-Prem (SSM On-Prem), utilizada para la gestión local de licencias de software. Esta falla permite a un atacante remoto no autenticado ejecutar comandos arbitrarios con privilegios de root debido a un servicio interno expuesto accidentalmente, comprometiendo la confidencialidad, integridad y disponibilidad del sistema afectado. CVE y severidad ID CVE: CVE-2026-20160 Puntaje CVSS: 9.8/10 (Crítica) Componente: Servicio interno expuesto de Cisco Smart Software Manager On-Prem Estado de explotación: Sin exploits públicos conocidos; sin soluciones temporales disponibles Productos afectados Fabricante Producto Componente Versiones afectadas Cisco…
Vulnerabilidad crítica en Cisco IMC permite omitir autenticación
Cisco ha revelado una vulnerabilidad crítica en su Integrated Management Controller (IMC) que permite a un atacante remoto sin autenticación evadir los mecanismos estándar de acceso mediante una solicitud HTTP maliciosa. El exploit permite modificar las contraseñas de cualquier usuario, incluido el administrador principal, comprometiendo la confidencialidad, integridad y disponibilidad del sistema afectado. CVE y severidad CVE Severidad CVSS Base Componente afectado CVE-2026-20093 Crítica 9.8 Funcionalidad de cambio de contraseña del Cisco IMC Productos afectados Fabricante Producto Componente Versión afectada Cisco 5000 Series Enterprise Network Compute Systems (ENCS) Cisco IMC vulnerable releases Versiones vulnerables del software IMC Cisco Catalyst 8300…
Vulnerabilidad de escalamiento de privilegios en Symantec DLP Agent para Windows
Se ha identificado una vulnerabilidad de alta gravedad en el agente Symantec Data Loss Prevention (DLP) para Windows, registrada como CVE-2026-3991, que permite a un atacante local con bajos privilegios escalar hasta obtener permisos del sistema. Esta falla afecta agentes con configuración por defecto y está asociada a un error en la integración de la biblioteca OpenSSL. Broadcom ha publicado parches para mitigar este riesgo en las versiones afectadas. CVE y severidad CVE Puntaje CVSS Severidad Componente afectado CVE-2026-3991 7.8 Alta Symantec DLP Agent para Windows (proceso edpa.exe) Productos afectados Fabricante Producto Versiones afectadas Plataforma/SO Broadcom Symantec Data Loss Prevention…
Explotación activa de vulnerabilidad crítica CVE-2026-21962 en Oracle WebLogic Server
Recientes investigaciones en ciberseguridad indican que atacantes están explotando rápidamente una vulnerabilidad crítica en Oracle WebLogic Server (CVE-2026-21962), que permite ejecución remota de código sin autenticación a través de la consola administrativa. Esta falla, con una puntuación CVSS de 10.0, ha sido aprovechada poco después de su divulgación pública el 22 de enero de 2026, afectando severamente la confidencialidad, integridad y disponibilidad de los sistemas vulnerables. CVE y severidad CVE CVSS Base Severidad Componente afectado Explotación conocida CVE-2026-21962 10.0 Crítica Oracle WebLogic Console Sí, explotación activa documentada Productos afectados Oracle HTTP Server y WebLogic Server Proxy Plug-in en versiones 12.2.1.4.0,…
Vulnerabilidad crítica en mecanismo de restauración de respaldos de Nginx-UI permite ejecución remota de comandos
Se ha revelado una falla crítica en el mecanismo de restauración de respaldos de Nginx-UI, identificada como CVE-2026-33026. Esta vulnerabilidad permite a atacantes manipular archivos de respaldo cifrados e inyectar configuraciones maliciosas durante el proceso de restauración, posibilitando la ejecución remota de comandos arbitrarios en el sistema afectado. Un exploit público tipo Proof-of-Concept (PoC) ya está disponible, lo que incrementa el riesgo de compromisos totales en sistemas sin parchear. CVE y severidad CVE Severidad CVSS 4.0 Ámbito afectado Explotación conocida CVE-2026-33026 Crítica Máximo (múltiples métricas de impacto) Mecanismo de respaldo y restauración en Nginx-UI Sí, con PoC público disponible Productos…
Compromiso del paquete Axios en NPM mediante ataque a la cadena de suministro
Un ataque a la cadena de suministro de software afectó el ecosistema JavaScript mediante la inclusión de una dependencia maliciosa en versiones específicas del paquete Axios publicado en NPM. En particular, las versiones 1.14.1 y 0.30.4 incorporaron de forma encubierta el paquete plain-crypto-js, lo que permitió la posible instalación de la puerta trasera WAVESHAPER.V2 durante el proceso de instalación del paquete. Este comportamiento impacta sistemas Windows, macOS y Linux, y representa un riesgo significativo, ya que puede comprometer dispositivos de desarrolladores, servidores y pipelines CI/CD que utilicen Axios como dependencia. Productos afectados Producto Versiones afectadas Plataformas/SO Axios (paquete NPM) 1.14.1,…
Vulnerabilidad zero-day crítica en Google Chrome exige actualización inmediata
Google ha emitido una actualización de seguridad urgente para su navegador Chrome, corrigiendo una vulnerabilidad zero-day (CVE-2026-5281) que está siendo explotada activamente. Esta vulnerabilidad de tipo use-after-free afecta al componente Dawn, encargado de la implementación de WebGPU, una tecnología moderna orientada al procesamiento gráfico avanzado en aplicaciones web, permitiendo potencialmente ejecución remota de código o escape del sandbox del navegador. CVE y severidad CVE Tipo de vulnerabilidad Severidad Componente afectado Explotación activa CVE-2026-5281 Use-after-free Crítica Dawn GPU abstraction (WebGPU) Sí CVE-2026-5273 Use-after-free Alta CSS No especificado CVE-2026-5272 Heap buffer overflow Alta GPU No especificado CVE-2026-5274 Integer overflow Alta Codecs No…
Actualización de emergencia de Windows 11 para resolver fallos de instalación
Microsoft ha lanzado una actualización de emergencia fuera de ciclo, KB5086672, destinada a resolver un fallo crítico en la instalación que afectaba a usuarios de Windows 11 versiones 25H2 y 24H2. Este problema, originado en una actualización previa del 26 de marzo, provocaba un bucle de error 0x80073712 que impedía completar la instalación y comprometía la gestión oportuna de actualizaciones de seguridad. Productos afectados Fabricante Producto Versiones afectadas Plataformas/SO Microsoft Windows 11 24H2, 25H2 PC Solución Aplicar la actualización KB5086672 para Windows 11 versiones 24H2 y 25H2 mediante windows update, la cual incluye la corrección del error de instalación y…
Notepad++ v8.9.3 corrige vulnerabilidad en el actualizador automático y problemas de estabilidad
Notepad++ ha lanzado la versión 8.9.3, corrigiendo una vulnerabilidad en el componente de autoactualización WinGUp que podría permitir ataques Man-in-the-Middle (MITM). La actualización incluye mejoras en los mecanismos de validación de seguridad, así como optimizaciones en el parser XML y correcciones de estabilidad, incluyendo fallos de cierre inesperado. CVE y severidad CVE Componente afectado Resolución Severidad CVE-2025-14819 WinGUp Auto-Updater Actualización del cURL embebido a v8.19.0 Alta Productos afectados Notepad++ en sistemas Windows, en versiones anteriores a la 8.9.3 (relacionadas con el componente de actualización WinGUp). Solución Actualizar a Notepad++ versión 8.9.3 o superior Recomendaciones Se recomienda aplicar esta actualización a…
Vulnerabilidad crítica de ejecución remota de código en n8n por escape de sandbox AlaSQL
Se ha identificado una vulnerabilidad crítica en n8n, plataforma de automatización de flujos de trabajo de código abierto, que permite ejecución remota de código (RCE) en los servidores anfitriones. La falla, rastreada como CVE-2026-33660, reside en el nodo «Merge» con el modo «Combine by SQL» y permite a atacantes autenticados eludir restricciones de seguridad, acceder a datos sensibles y comprometer totalmente el servidor subyacente. CVE y severidad CVE Severidad CVSS Componente afectado Estado de explotación CVE-2026-33660 Crítica 9.4 Nodo «Merge» con modo «Combine by SQL» (sandbox AlaSQL) Explotación confirmada en entornos productivos Productos afectados Fabricante Producto Versiones afectadas n8n GmbH…