← Vulnerabilidades de la semanaVulnerabilidades de la semana: 2–8 de noviembre de 2026
Las principales vulnerabilidades de la semana: en qué consisten y qué daños pueden causar. Abre una explicación para saber a quién afectan y qué hacer.
#1 · CVE-2026-116779
ataques observados · código de explotación público en GitHub · KEV: ataques observados en la práctica · CVSS 9.8 · EPSS: 2,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
freeswitch puede interpretar parte de un mensaje entrante como una instrucción para ejecutar órdenes. Esto permite al remitente ejecutar su propio programa en el servidor.
Cómo puede perjudicarte
Si freeswitch acepta el mensaje del atacante, este puede leer la configuración y las credenciales de acceso, controlar llamadas y ejecutar órdenes con los permisos del programa. Basta con una cuenta que permita iniciar sesión; algunas configuraciones afectadas también permiten acceder sin contraseña.
Leer la explicación →#2 · CVE-2026-123218
ataques observados · código de explotación público en GitHub · KEV: ataques observados en la práctica · CVSS 9.8 · EPSS: 0,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
IBM Aspera Faspex tiene un fallo al comprobar los permisos de los usuarios. Un mensaje especialmente preparado puede otorgar a un usuario todos los permisos de administración.
Cómo puede perjudicarte
Un usuario con acceso autorizado puede obtener todos los permisos de administración en Aspera Faspex, lo que puede permitirle leer, modificar o borrar datos y alterar el funcionamiento del programa. No está claro si siempre es necesario iniciar sesión previamente.
Leer la explicación →#3 · CVE-2026-102895
ataques observados · KEV: ataques observados en la práctica · CVSS 9.8 · EPSS: 0,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
gpustack administra procesadores gráficos para ejecutar modelos y proporcionar recursos de cálculo. Puede confundir una petición recibida por la red con una petición local y conceder permisos de administrador sin comprobar quién la envía.
Cómo puede perjudicarte
Una persona que pueda conectarse a gpustack por la red puede obtener permisos de administrador sin iniciar sesión si su petición se interpreta como local y la comprobación de las conexiones locales está desactivada, como ocurre de forma predeterminada. Puede modificar usuarios y modelos, crear claves de acceso de administrador persistentes, revelar secretos de los nodos de trabajo y de los proveedores de servicios en la nube, y ejecutar su propio programa en el servidor.
Leer la explicación →#4 · CVE-2026-116606
ataques observados · código de explotación público en GitHub · plantilla de Nuclei · KEV: ataques observados en la práctica · CVSS 9.3 · EPSS: 8,9% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Un fallo en Barracuda Email Security Gateway (ESG) permite eludir la comprobación de inicio de sesión. Una persona sin autorización puede modificar la configuración general del dispositivo.
Cómo puede perjudicarte
Un atacante que pueda acceder al dispositivo por la red puede invocar la función de importación de configuración sin iniciar sesión. Al restaurar un archivo de copia de seguridad compatible y preparado para ello, puede modificar la configuración general sin permiso y sin que usted intervenga.
Leer la explicación →#5 · CVE-2026-111560
ataques observados · código de explotación público en GitHub · KEV: ataques observados en la práctica · CVSS 8.6 · EPSS: 6,2% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Algunos dispositivos de Barracuda Networks procesan incorrectamente la configuración de la zona horaria. Un valor preparado para aprovechar el fallo puede interpretarse como órdenes cuando esa configuración se procesa más adelante.
Cómo puede perjudicarte
Alguien que pueda conectarse por la red e iniciar sesión como administrador puede introducir órdenes en esa configuración. Cuando se procesa, las órdenes se ejecutan con permisos ilimitados sobre el sistema, lo que permite leer, modificar o borrar datos almacenados y detener servicios.
Leer la explicación →#6 · CVE-2026-119977
ataques observados · código de explotación público en GitHub · KEV: ataques observados en la práctica · CVSS 8.1 · EPSS: 1,2% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Durante una actualización completa de su núcleo, WordPress utiliza ubicaciones temporales predecibles y accesibles desde Internet. Esto puede permitir que un atacante ejecute su propio programa en el servidor mientras se realiza la actualización.
Cómo puede perjudicarte
Un atacante puede ejecutar su propio programa en su servidor sin iniciar sesión, mientras se actualiza el núcleo con el paquete completo. La explotación es difícil; no se indican el momento preciso ni las demás condiciones necesarias para conseguirlo.
Leer la explicación →#7 · CVE-2026-19868
ataques observados · código de explotación público en GitHub · KEV: ataques observados en la práctica · CVSS 7.5 · EPSS: 0,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
SonicOS puede permitir que se omitan las comprobaciones obligatorias al iniciar sesión. Una persona con credenciales válidas para otro método puede saltarse esas comprobaciones, incluida una verificación adicional.
Cómo puede perjudicarte
Una persona con credenciales válidas para otro método de inicio de sesión puede obtener acceso sin completar las comprobaciones exigidas. No se especifica qué información podría leer o modificar después.
Leer la explicación →#8 · CVE-2024-27834
ataques observados · KEV: ataques observados en la práctica · CVSS 5.5 · EPSS: 1,5% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Safari, iOS and iPadOS, macOS, tvOS y watchOS tienen un fallo en una comprobación de seguridad. Quien ya pueda leer y escribir datos arbitrariamente podría saltarse esa protección.
Cómo puede perjudicarte
El atacante necesita acceso local con permisos limitados y la capacidad previa de leer y escribir datos arbitrariamente. Podría saltarse una protección sin que usted haga nada. No se describen los cambios concretos que esto permitiría.
Leer la explicación →#9 · CVE-2026-118527
ataques observados · KEV: ataques observados en la práctica · CVSS 4.3 · EPSS: 0,8% de probabilidad de un intento de ataque en los próximos 30 días
En qué consiste
Ivanti Connect Secure utiliza nombres de archivo predecibles. Esto permite a un atacante subir archivos con el contenido que elija a una ubicación conocida del disco del servidor.
Cómo puede perjudicarte
Un atacante que pueda iniciar sesión y acceder al programa por la red puede guardar archivos con contenido propio en el disco. No necesita que otro usuario haga nada. No se especifican los permisos necesarios para iniciar sesión.
Leer la explicación →
Comprueba tu servidor gratis →