Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
Las 5 vulnerabilidades de la semana pasada con la evidencia más sólida de ataques en el mundo real, clasificadas primero por dicha evidencia y segundo por la probabilidad de explotación. 5 están confirmadas o se ha informado que se explotan activamente.
-
CVE-2026-97229 GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability
GitLab Community Edition and Enterprise Edition contienen una vulnerabilidad de desbordamiento de enteros o desbordamiento circular que podría permitir a un usuario no autenticado ejecutar código arbitrario en el servidor de GitLab a través de una expresión regular especialmente manipulada en una configuración de CI/CD, debido a una validación insuficiente de expresiones regulares. (CISA)
- Explotado en la naturaleza: listado por CISA el 29 de oct.; las agencias federales de EE. UU. deben solucionarlo antes del 1 de nov.
- VulnCheck KEV: se informó que fue explotado (listado el 28 de oct.), 3 informes. 1 día antes que CISA. Primer informe: alpinelinux.org.
- Código de exploit público: 6 exploits conocidos (VulnCheck KEV).
- Probabilidad (EPSS): 65.2% de probabilidad de actividad de explotación en los próximos 30 días, en el 1% superior de todas las CVE.
- Evaluación de CISA (SSVC): explotación observada; los ataques pueden automatizarse; control total del sistema afectado.
Qué hacer (CISA): Aplicar las mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la guía BOD 26-04 Prioritizing Security Updates Based on Risk de CISA y los “Requisitos de Triaje Forense” de CISA. Siga la guía BOD 26-04 aplicable para servicios en la nube o deje de usar el producto si las mitigaciones no están disponibles. Las partes interesadas son responsables de evaluar la exposición a Internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Nuestro análisis: qué es y cómo solucionarlo · Registro de NVD y enlaces del proveedor
-
CVE-2026-76418 Cisco Secure Firewall ASA Software and Cisco Secure FTD Software Unchecked Return Value to NULL Pointer Dereference Vulnerability
Cisco Secure Firewall ASA Software y Cisco Secure FTD Software contienen una vulnerabilidad de desreferencia de puntero NULL debido a un valor de retorno no verificado que podría permitir a un atacante remoto no autenticado hacer que el dispositivo se reinicie inesperadamente, lo que resulta en una condición de denegación de servicio (DoS). (CISA)
- Explotado en la naturaleza: listado por CISA el 29 de oct.; las agencias federales de EE. UU. deben solucionarlo antes del 1 de nov.
- VulnCheck KEV: se informó que fue explotado (listado el 28 de oct.), 2 informes. 1 día antes que CISA. Primer informe: sec.cloudapps.cisco.com.
- Probabilidad (EPSS): 0.82% de probabilidad de actividad de explotación en los próximos 30 días, superior al 57% de todas las CVE.
- Evaluación de CISA (SSVC): explotación observada; los ataques pueden automatizarse; impacto parcial.
Qué hacer (CISA): Aplicar las mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la guía BOD 26-04 Prioritizing Security Updates Based on Risk de CISA y los “Requisitos de Triaje Forense” de CISA. Siga la guía BOD 26-04 aplicable para servicios en la nube o deje de usar el producto si las mitigaciones no están disponibles. Las partes interesadas son responsables de evaluar la exposición a Internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Nuestro análisis: qué es y cómo solucionarlo · Registro de NVD y enlaces del proveedor
-
CVE-2024-27834 Apple Multiple Products Improper Authentication Vulnerability
Apple iOS, iPadOS, macOS, Safari, tvOS y watchOS 10.5 contienen una vulnerabilidad de autenticación incorrecta que podría permitir a un atacante con capacidad de lectura y escritura arbitrarias omitir la autenticación de punteros. (CISA)
- Explotado en la naturaleza: listado por CISA el 4 de nov.; las agencias federales de EE. UU. deben solucionarlo antes del 18 de nov.
- VulnCheck KEV: se informó que fue explotado (listado el 4 de nov.), 2 informes. Primer informe: www.cisa.gov.
- Probabilidad (EPSS): 0.60% de probabilidad de actividad de explotación en los próximos 30 días, superior al 49% de todas las CVE.
- Evaluación de CISA (SSVC): explotación observada; no se puede automatizar fácilmente; impacto parcial.
Qué hacer (CISA): Aplicar las mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la guía BOD 26-04 Prioritizing Security Updates Based on Risk de CISA y los “Requisitos de Triaje Forense” de CISA. Siga la guía BOD 26-04 aplicable para servicios en la nube o deje de usar el producto si las mitigaciones no están disponibles. Las partes interesadas son responsables de evaluar la exposición a Internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
-
CVE-2026-102435
El complemento Ultra Addons for Contact Form 7 para WordPress es vulnerable a la eliminación de archivos arbitrarios debido a una validación insuficiente de la ruta de archivos en la función _getObjAttr en todas las versiones hasta la 3.5.54 incluida. Esto hace posible que atacantes no autenticados eliminen archivos arbitrarios en el servidor, lo que puede conducir fácilmente a la ejecución remota de código cuando … (NVD, CVSS 9.8)
- VulnCheck KEV: se informó que fue explotado (listado el 4 de nov.), 1 informe. Primer informe: patchstack.com. Aún no está en el catálogo de CISA.
- Probabilidad (EPSS): 0.59% de probabilidad de actividad de explotación en los próximos 30 días, superior al 48% de todas las CVE.
- Evaluación de CISA (SSVC): no se conoce explotación; los ataques pueden automatizarse; control total del sistema afectado.
Nuestro análisis: qué es y cómo solucionarlo · Registro de NVD y enlaces del proveedor
-
CVE-2026-120534
El complemento Advanced Custom Fields: Extended PRO para WordPress es vulnerable a la inyección de código limitada en todas las versiones hasta la 0.9.2.6 incluida a través de la función render_field. Esto se debe a una validación insuficiente de los parámetros de configuración de los formularios antes de fusionarlos en la configuración de los campos y pasarlos a call_user_func_array en el método render_field. Esto hac… (NVD, CVSS 9.8)
- VulnCheck KEV: se informó que fue explotado (listado el 3 de nov.), 1 informe. Primer informe: patchstack.com. Aún no está en el catálogo de CISA.
- Probabilidad (EPSS): 0.31% de probabilidad de actividad de explotación en los próximos 30 días, superior al 24% de todas las CVE.
- Evaluación de CISA (SSVC): no se conoce explotación; los ataques pueden automatizarse; control total del sistema afectado.
Nuestro análisis: qué es y cómo solucionarlo · Registro de NVD y enlaces del proveedor
Cómo los clasificamos
La evidencia de que los atacantes están utilizando una falla es lo primero: el catálogo de vulnerabilidades explotadas conocidas de CISA, VulnCheck KEV y la propia evaluación SSVC de CISA. Luego, la probabilidad de ataque en los próximos 30 días según el Exploit Prediction Scoring System (EPSS) de FIRST, seguida de la gravedad. Una puntuación alta de gravedad por sí sola no incluye la falla en la lista. Las fallas en sistemas de IA y herramientas de agentes tienen un mayor peso porque son un objetivo de rápido crecimiento. Todo lo que aparece aquí proviene directamente de esas fuentes; nosotros no estimamos nada.
Las puntuaciones EPSS provienen de FIRST.org. Los informes de explotación marcados como VulnCheck KEV provienen del catálogo de vulnerabilidades explotadas conocidas de VulnCheck (datos © VulnCheck). Confirme siempre la versión solucionada en el aviso del proveedor.
