← Vulnerabilidades de la semanaVulnerabilidades de la semana: 19–25 de octubre de 2026
Las principales vulnerabilidades de la semana: en qué consisten y qué daños pueden causar. Abre una explicación para saber a quién afectan y qué hacer.
#1 · CVE-2026-96656
ataques observados · KEV: ataques observados en la práctica · CVSS 8.6 · EPSS: 0,8% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Plex Media Server tiene un fallo que permite a un administrador escribir los archivos que quiera. Esos archivos pueden ejecutarse como programas cuando se inicia el software.
Cómo puede perjudicarte
Una persona con permisos de administrador puede aprovechar el fallo a través de la red para escribir archivos arbitrarios y posiblemente ejecutar su propio programa en el servidor. No hace falta que otra persona intervenga.
Leer la explicación →#2 · CVE-2026-106931
ataques observados · KEV: ataques observados en la práctica · CVSS 8.5 · EPSS: 1,2% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
SiteGuard Server Edition tiene un fallo que puede permitir a un atacante ejecutar sus propias órdenes con los máximos privilegios en el sistema donde está instalado el programa.
Cómo puede perjudicarte
Un atacante con acceso local y permisos limitados podría ejecutar su propio programa con todos los permisos de administración en el sistema afectado. Podría leer archivos privados, modificar o borrar registros y detener programas. No hace falta que otro usuario intervenga. No se especifica cómo conseguiría el atacante ese acceso local.
Leer la explicación →#3 · CVE-2026-96654
ataques observados · KEV: ataques observados en la práctica · CVSS 6.9 · EPSS: 0,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Media Server de Plex no procesa correctamente las direcciones que recibe. Esto permite a un atacante llamar a funciones de otros complementos y enviarles los valores que elija.
Cómo puede perjudicarte
Un atacante puede aprovechar el fallo a través de la red sin iniciar sesión y sin que usted haga nada. Puede llamar a funciones de otros complementos con sus propios valores, lo que podría permitir consultar o modificar cierta información. Se desconoce qué información y funciones concretas están en riesgo.
Leer la explicación →#4 · CVE-2026-96652
ataques observados · KEV: ataques observados en la práctica · CVSS 5.3 · EPSS: 0,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Un fallo en Plex Media Server permite obligar al programa a enviar una solicitud a un destino elegido por un atacante.
Cómo puede perjudicarte
Un atacante que pueda acceder al programa por la red y proporcionar cualquier valor como token puede hacer que su servidor envíe una solicitud al destino que elija. No se especifica qué información podría quedar expuesta.
Leer la explicación →#5 · CVE-2026-96655
ataques observados · KEV: ataques observados en la práctica · CVSS 5.3 · EPSS: 0,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Plex Media Server permite que una persona que haya iniciado sesión haga que el programa envíe solicitudes a direcciones internas o externas de su elección.
Cómo puede perjudicarte
Una persona que pueda iniciar sesión y acceder al programa por la red puede hacer que este contacte con direcciones internas o externas. Esto podría revelar cierta información, aunque se desconoce cuál.
Leer la explicación →#6 · CVE-2021-48014
ataques observados · CVSS 9.3 · EPSS: 1,7% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
FineReport no limita correctamente dónde guarda los archivos. Un atacante puede hacer que escriba archivos fuera de la ubicación prevista.
Cómo puede perjudicarte
Un atacante que pueda conectarse a FineReport por la red puede escribir archivos arbitrarios sin iniciar sesión. Esto le permite ejecutar su propio programa en el servidor.
Leer la explicación →#7 · CVE-2026-109618
ataques observados · código de explotación público disponible · código de explotación público en GitHub · plantilla de Nuclei · CVSS 9.2 · EPSS: 11,6% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
PHP puede gestionar mal la memoria cuando se queda sin espacio para guardar datos mientras procesa una solicitud. Durante la limpieza posterior, puede utilizar zonas de memoria que no se han preparado correctamente.
Cómo puede perjudicarte
Un atacante puede ejecutar su propio programa en el servidor a través de la red, sin iniciar sesión ni necesitar que otra persona intervenga. El ataque es técnicamente difícil y requiere condiciones adicionales que no se especifican.
Leer la explicación →#8 · CVE-2026-109619
ataques observados · código de explotación público en GitHub · plantilla de Nuclei · CVSS 9.2 · EPSS: 6,0% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
PHP puede seguir utilizando memoria después de haberla liberado. Al procesar solicitudes posteriores, esos datos antiguos pueden permitir que un atacante ejecute su propio programa en el servidor.
Cómo puede perjudicarte
Un atacante puede ejecutar su propio programa en el servidor a través de la red, sin iniciar sesión ni necesitar que un usuario intervenga. El ataque es complejo y requiere condiciones concretas; no se especifica cuáles son.
Leer la explicación →
Comprueba tu servidor gratis →