Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
Las 4 vulnerabilidades de la semana pasada con las pruebas más sólidas de ataques en el mundo real, clasificadas primero por dichas pruebas y segundo por la probabilidad de explotación. 2 están confirmadas o se ha informado que se están explotando activamente.
-
CVE-2026-111497 Google Brotli Unchecked Return Value Vulnerability
Google Brotli contiene una vulnerabilidad de valor de retorno no verificado que permite a un atacante remoto no autenticado corromper la memoria de estado del decodificador adyacente, divulgar contenidos de memoria sensibles, causar una denegación de servicio o potencialmente ejecutar código arbitrario utilizando un flujo comprimido con Brotli manipulado. (CISA)
- Explotada activamente: incluida por CISA el 27 de oct.; las agencias federales de EE. UU. deben solucionarla antes del 10 de nov.
- VulnCheck KEV: se informó su explotación (incluida el 26 de oct.), 4 informes. 1 día antes que CISA. Primer informe: ellio.tech.
- Código de exploit público: 18 exploits conocidos (VulnCheck KEV).
- Probabilidad (EPSS): 82,6% de probabilidad de actividad de explotación en los próximos 30 días, en el 1% superior de todas las CVE.
- Evaluación de CISA (SSVC): se ha visto explotación; no se automatiza fácilmente; control total del sistema afectado.
Qué hacer (CISA): Aplique las mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de CISA sobre priorización de actualizaciones de seguridad basadas en riesgos y los “Requisitos de triaje forense” de CISA. Siga la orientación aplicable de la BOD 26-04 para servicios en la nube o suspenda el uso del producto si las mitigaciones no están disponibles. Los interesados son responsables de evaluar la exposición a internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor
-
CVE-2026-48356 Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability
Adobe Commerce y Magento contienen una vulnerabilidad de carga sin restricciones de archivos con tipos peligrosos que podría resultar en la ejecución de código arbitrario en el contexto del usuario actual, obteniendo potencialmente acceso elevado o control sobre la cuenta o sesión de la víctima. (CISA)
- Explotada activamente: incluida por CISA el 27 de oct.; las agencias federales de EE. UU. deben solucionarla antes del 10 de nov.
- VulnCheck KEV: se informó su explotación (incluida el 24 de oct.), 2 informes. 3 días antes que CISA. Primer informe: sansec.io.
- Código de exploit público: 1 exploit conocido (VulnCheck KEV).
- Probabilidad (EPSS): 44,6% de probabilidad de actividad de explotación en los próximos 30 días, superior al 99% de todas las CVE.
- Evaluación de CISA (SSVC): se ha visto explotación; no se automatiza fácilmente; control total del sistema afectado.
Qué hacer (CISA): Aplique las mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de CISA sobre priorización de actualizaciones de seguridad basadas en riesgos y los “Requisitos de triaje forense” de CISA. Siga la orientación aplicable de la BOD 26-04 para servicios en la nube o suspenda el uso del producto si las mitigaciones no están disponibles. Los interesados son responsables de evaluar la exposición a internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor
-
CVE-2026-120198
Se ha encontrado una vulnerabilidad en WAVLINK WL-WN530BE1-A V251117. La afectada es la función con_check_read_finish del archivo /protocol.csp. Dicha manipulación del argumento group_name/IP-FROM conduce a la inyección de comandos. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El proveedor fue contactado con anticipación… (NVD, CVSS 10.0)
- Probabilidad (EPSS): 2,1% de probabilidad de actividad de explotación en los próximos 30 días, superior al 81% de todas las CVE.
- Evaluación de CISA (SSVC): prueba de concepto pública; los ataques se pueden automatizar; control total del sistema afectado.
Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor
-
CVE-2026-120279
Se ha encontrado un fallo en WAVLINK WN536AX6-A V260507. El elemento afectado es una función desconocida del archivo /protocol.csp del componente openvpn_cli Handler. La ejecución de una manipulación del argumento file_id puede provocar una inyección de comandos del SO. El ataque se puede lanzar de forma remota. El exploit ha sido publicado y puede utilizarse. El proveedor fue contactado con anticipación… (NVD, CVSS 10.0)
- Evaluación de CISA (SSVC): prueba de concepto pública; los ataques se pueden automatizar; control total del sistema afectado.
Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor
Cómo realizamos la clasificación
Las pruebas de que los atacantes están utilizando un fallo van primero: el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, VulnCheck KEV y la propia evaluación SSVC de CISA. Luego, la probabilidad de ataque en los próximos 30 días según el Sistema de Puntuación de Predicción de Exploits (EPSS) de FIRST, seguido de la gravedad. Una puntuación de alta gravedad por sí sola no incluye un fallo en la lista. Los fallos en sistemas de inteligencia artificial y herramientas de agentes reciben mayor peso porque son un objetivo de rápido crecimiento. Todo aquí proviene directamente de esas fuentes; nada es estimado por nosotros.
Las puntuaciones EPSS son de FIRST.org. Los informes de explotación marcados como VulnCheck KEV provienen del catálogo de vulnerabilidades explotadas conocidas de VulnCheck (datos © VulnCheck). Confirme siempre la versión corregida en el aviso del proveedor.
