Fortinet — vulnerabilidad crítica en FortiPAM y FortiSwitch Manager
Fortinet ha emitido un aviso urgente que revela una vulnerabilidad crítica en FortiPAM y FortiSwitch Manager que permite a atacantes eludir la autenticación mediante ataques de fuerza bruta. La falla, identificada como CVE-2025-49201, afecta los mecanismos de autenticación en los componentes Web Application Delivery (WAD) y GUI, con un puntaje CVSS v3.1 de 7.4 (alta severidad). Esto podría permitir la ejecución remota no autorizada de código o inyección de comandos. CVE y severidad Productos afectados FabricanteProductoVersiones afectadasVersión sin afectaciónFortinetFortiPAM1.5.0; 1.4.0 – 1.4.2; todas las versiones 1.3, 1.2, 1.1 y 1.01.6, 1.7FortinetFortiSwitch Manager7.2.0 – 7.2.4 (serie 7.2)7.0 (serie 7.0) Solución Actualizar…
Actualización de Patch Tuesday de Microsoft – Octubre 2025
Microsoft publicó actualizaciones que corrigen 172 vulnerabilidades, incluidas seis 0-days (tres explotadas activamente). Este ciclo coincide con el fin del soporte de Windows 10: el KB5066791 es la última actualización gratuita para Windows 10; a partir de hoy, solo habrá ESU (1 año para consumidores; hasta 3 años para empresas). Priorizar el despliegue en estaciones Windows y servidores con roles de SMB/SQL, equipos con TPM 2.0, componentes RACMan, y la retirada del driver Agere Fax Modem (impacto operativo). 0-days destacados (parcheados hoy) Categorías de las vulnerabilidades abordadas Productos afectados (principal foco de riesgo) Familia Impacto resumido Acción recomendada Windows 10/11…
Fallo crítico en plugin para WordPress permite a atacantes tomar control total del sitio
El plugin Service Finder Bookings, utilizado comúnmente en sitios WordPress para gestionar listados de servicios y perfiles de usuarios, ha sido identificado con una vulnerabilidad crítica que permite eludir la autenticación y acceder como cualquier usuario, incluyendo administradores. Esta falla reside en la función de «switch back», que fue implementada sin controles de validación adecuados. A continuación, se detalla la vulnerabilidad que está siendo aprovechada por los atacantes: CVE‑2025‑5947 (CVSS 9.8): Esta vulnerabilidad crítica permite a atacantes no autenticados explotar una función mal implementada dentro del plugin para iniciar sesión como cualquier usuario del sitio, sin requerir credenciales válidas. El…
Actualización de Google Chrome soluciona varias fallas críticas de seguridad
Google ha publicado una actualización crítica para su navegador Chrome, dirigida a corregir tres vulnerabilidades que afectan a componentes clave del navegador. Dos de estas fallas han sido clasificadas como de alta severidad, ya que podrían permitir la ejecución remota de código mediante la explotación de errores de memoria. Estas vulnerabilidades afectan a las versiones anteriores a 141.0.7390.65/.66 de Chrome en Windows, macOS y Linux. Debido al riesgo de que usuarios accedan a sitios web maliciosos especialmente diseñados para explotar estas fallas, se recomienda aplicar la actualización de forma inmediata en todos los sistemas. Vulnerabilidades identificadas: Productos afectados: Los siguientes…
Falla en Zabbix Agent permite ejecución de DLL maliciosa con privilegios elevados en Windows
La plataforma de monitoreo de código abierto Zabbix presenta una vulnerabilidad recientemente identificada que afecta a sus agentes en sistemas Windows, permitiendo la escalada de privilegios locales mediante la manipulación del archivo de configuración de OpenSSL. Esta condición introduce un vector serio de postexplotación que puede ser aprovechado por usuarios locales con permisos limitados. Esta vulnerabilidad impacta a Zabbix Agent y Agent 2 en entornos Windows. El problema se origina porque ambos agentes cargan el archivo de configuración de OpenSSL desde una ruta que puede ser modificada por usuarios con privilegios limitados. Esto permite que un atacante local introduzca una…
PoC explota vulnerabilidades críticas de escape de huésped a host en VMware Workstation
Se ha publicado un exploit de prueba de concepto para una cadena crítica de vulnerabilidades en VMware Workstation que permite a un atacante escapar de una máquina virtual invitada y ejecutar código arbitrario en el sistema operativo host. El ataque combina una vulnerabilidad de fuga de información con un desbordamiento de búfer basado en pila en el dispositivo virtual Bluetooth, lo que permite un control completo desde huésped a host. CVE y severidad CVE Tipo de vulnerabilidad Severidad Componente afectado CVE-2023-20869 Desbordamiento de búfer basado en pila Crítica Dispositivo virtual Bluetooth CVE-2023-20870 Fuga de información Use-After-Free Crítica Dispositivo virtual Bluetooth…
Google Chrome corrige múltiples vulnerabilidades
Google lanzó la versión 141 de Chrome para solucionar 21 vulnerabilidades de seguridad, incluyendo fallos críticos que podrían permitir la ejecución remota de código y causar fallos en el navegador. Las vulnerabilidades afectan funciones como WebGPU, procesamiento de video, almacenamiento y el motor JavaScript V8, con posibles impactos en la confidencialidad, integridad y disponibilidad del navegador en plataformas Windows, Mac y Linux. CVE y severidad CVE Descripción Severidad Componente afectado CVE-2025-11205 Desbordamiento de búfer en heap en WebGPU Crítica WebGPU CVE-2025-11206 Desbordamiento de búfer en heap en procesamiento de video Alta Procesamiento de video CVE-2025-11207 Filtración de información por canal…
Microsoft — fallo crítico en Outlook clásico para Windows
Microsoft investiga un fallo crítico en el cliente clásico de Outlook para Windows que impide su apertura debido a un error relacionado con el límite de concurrencia de autenticación en Exchange Online. Este problema bloquea el acceso a los buzones, mostrando un error que indica fallo en el inicio de sesión en Microsoft Exchange, afectando la continuidad operativa de usuarios y organizaciones. Productos afectados Fabricante Producto Componente Versiones afectadas Plataformas/SO Microsoft Outlook clásico Cliente de escritorio para Windows No especificadas Windows Solución Contactar con soporte de Microsoft 365 para que el equipo de Exchange Online realice cambios en backend que…
Vulnerabilidad crítica de día cero en firewalls Cisco ASA y FTD explotada activamente
Una vulnerabilidad de día cero crítica, identificada como CVE-2025-20333, afecta a miles de firewalls Cisco ASA y FTD, permitiendo la ejecución remota de código con privilegios elevados mediante el servidor web VPN. Esta falla, con una puntuación CVSS de 9.9, se explota activamente y requiere credenciales válidas para acceder, lo que compromete la confidencialidad, integridad y disponibilidad de las redes protegidas. CVE y severidad CVE Título Puntuación CVSS 3.1 Severidad Descripción breve CVE-2025-20333 Vulnerabilidad de ejecución remota de código en servidor web VPN 9.9 Crítica Desbordamiento de búfer que permite a atacantes autenticados ejecutar código con privilegios root. CVE-2025-20362 Acceso…
Vulnerabilidad crítica en sudo para Linux/Unix permite escalada de privilegios locales
CISA ha emitido una alerta urgente sobre una vulnerabilidad crítica en la utilidad sudo para Linux y Unix, identificada como CVE-2025-32463, que está siendo explotada en ambientes reales. Este fallo permite a usuarios locales evadir controles de acceso y ejecutar comandos arbitrarios como root, incluso sin privilegios explícitos de sudoers, a través del mal manejo de la opción -R (–chroot), afectando la confidencialidad, integridad y disponibilidad del sistema. CVE y severidad CVE Puntaje CVSS 3.1 Severidad Impacto Explotación conocida CVE-2025-32463 9.3 Crítica Escalada local de privilegios – obtención de shell root Sí, explotación activa detectada Productos afectados Versiones de sudo…