BOLETÍN KEV · 09-11-2026
Boletín KEV 09-11-2026: 4 vulnerabilidades explotadas nuevas y 1 crítica publicada
Explotadas · Fuente: CISA KEV
-
Vulnerabilidad de autorización incorrecta en IBM Aspera Faspex
IBM · Aspera Faspex
IBM Aspera Faspex contiene una vulnerabilidad de autorización incorrecta que podría permitir a un usuario autenticado elaborar un mensaje específico para omitir la autorización, lo que provoca escalamiento de privilegios.
Acción recomendada: Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
-
CVE-2026-123158 Parchar esta semana
Vulnerabilidad de código de estado o valor de retorno inesperado en OpenBSD OpenSSH
OpenBSD · OpenSSH
OpenBSD OpenSSH en Linux contiene una vulnerabilidad de código de estado o valor de retorno inesperado que podría permitir la omisión de autenticación.
Acción recomendada: Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
-
Vulnerabilidad de inyección de código en SignalWire FreeSwitch
SignalWire · FreeSwitch
SignalWire FreeSwitch contiene una vulnerabilidad de inyección de código que permite la divulgación de configuración y credenciales, el control arbitrario de llamadas y la ejecución de comandos.
Acción recomendada: Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
-
Vulnerabilidad de autenticación incorrecta en GPUStack
GPUStack · GPUStack
GPUStack contiene una vulnerabilidad de autenticación incorrecta que podría permitir acceso administrativo no autenticado, incluidos cambios en usuarios y modelos, la creación persistente de claves de API de administrador, la divulgación de secretos de workers y de proveedores de nube, y la ejecución de código a través de POST /v2/inference-backends/from-yaml.
Acción recomendada: Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Otras críticas publicadas · Fuente: CVE.org
Vulnerabilidades críticas recientes de fabricantes que vigilamos o con señales de riesgo. CISA no ha confirmado que se estén explotando.
-
Vulnerabilidad de desbordamiento de búfer en la pila en TOTOLINK A950RG
TOTOLINK · A950RG
Se identificó una debilidad en TOTOLINK A950RG 4.1.2cu.5268_B20221104. Afecta a la función setAppEasyWizardConfig del archivo /cgi-bin/cstecgi.cgi del componente Easy Setup Wizard Handler. La manipulación del argumento functionType puede provocar un desbordamiento de búfer en la pila. El ataque puede realizarse de forma remota. El exploit se puso a disposición del público y podría utilizarse para ataques.
Fuente: CVE.org