Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
Las 10 vulnerabilidades de los últimos siete días que requieren mayor atención, ordenadas según una regla fija: primero las fallas que CISA confirmó como explotadas activamente (las utilizadas en ransomware arriba, luego las más recientes), seguidas por las CVE críticas con mayor puntuación publicadas en la Base de Datos Nacional de Vulnerabilidades del NIST.
| # | CVE | Qué afecta | Por qué figura | Fecha |
|---|---|---|---|---|
| 1 | CVE-2026-110447 | Collabora Online – Vulnerabilidad de inyección de comandos del SO en el servidor CODE integrado | Explotada activamente (CISA KEV) | 23 de octubre de 2026 |
| 2 | CVE-2026-114625 | Vulnerabilidad de inyección SQL en Arista VeloCloud Orchestrator | Explotada activamente (CISA KEV) | 23 de octubre de 2026 |
| 3 | CVE-2026-106931 | EG Secure Solutions SiteGuard Server Edition – Vulnerabilidad de inyección de comandos del SO | Explotada activamente (CISA KEV) | 20 de octubre de 2026 |
| 4 | CVE-2026-96656 | Plex Media Server – Vulnerabilidad de control externo de nombre de archivo o ruta | Explotada activamente (CISA KEV) | 20 de octubre de 2026 |
| 5 | CVE-2026-96655 | Plex Media Server – Vulnerabilidad de falsificación de peticiones en el lado del servidor (SSRF) | Explotada activamente (CISA KEV) | 20 de octubre de 2026 |
| 6 | CVE-2026-96654 | Plex Media Server – Vulnerabilidad de neutralización inadecuada de esquemas URI codificados en una página web | Explotada activamente (CISA KEV) | 20 de octubre de 2026 |
| 7 | CVE-2026-96652 | Plex Media Server – Vulnerabilidad de falsificación de peticiones en el lado del servidor (SSRF) | Explotada activamente (CISA KEV) | 20 de octubre de 2026 |
| 8 | CVE-2026-110936 | Siemens Software Center – Vulnerabilidad de elemento de ruta de búsqueda no controlada | Explotada activamente (CISA KEV) | 20 de octubre de 2026 |
| 9 | CVE-2026-97785 | La autenticación inadecuada en AAD App Proxy permite a un atacante no autorizado elevar privilegios a través de una red. | CVSS 10 Crítica (NVD) | 22 de octubre de 2026 |
| 10 | CVE-2026-83938 | La falta de autenticación para una función crítica en Azure Kubernetes Configuration Service permite a un atacante no autorizado elevar privilegios a través de una red. | CVSS 10 Crítica (NVD) | 22 de octubre de 2026 |
Las descripciones están citadas de CISA y NVD. Confirme siempre las versiones corregidas en el aviso propio del proveedor antes de establecer prioridades.
