Vulnerabilidades (CVE) que se están explotando activamente, según el catálogo KEV de CISA, con severidad CVSS y probabilidad de explotación (EPSS).
35explotadas en los últimos 30 días
13críticas (CVSS ≥ 9)
0usadas en ransomware
1769en el catálogo KEV
CVE-2026-19868Alta · CVSS 7.5en el catálogo el 06/11/2026
SonicWall SonicOS SSLVPN Uso de la vulnerabilidad de autenticación de un solo factor
SonicWall · SonicOS SSLVPN · CWE-308
SonicVPN de SonicOS de SonicWall contiene un uso de la vulnerabilidad de autenticación de un solo factor que puede permitir que un usuario con credenciales válidas para un método de autenticación alternativo omita los controles de autenticación SAML. La explotación exitosa también puede omitir la autenticación multifactor (MFA) forzada por SAML.
Vulnerabilidad de condición de carrera en el tiempo de comprobación (TOCTOU) del núcleo de WordPress WordPress
WordPress · WordPress Core · CWE-367
WordPress WordPress Core contiene una vulnerabilidad de condición de carrera de tiempo de comprobación (TOCTOU) que podría permitir a los atacantes no autenticados ejecutar código en el servidor durante la ventana de actualización. Esto se debe a las rutas de preparación predecibles y accesibles a la web que se utilizan durante las actualizaciones básicas de paquetes completos.
Ivanti Connect Secure contiene una vulnerabilidad de falta de autenticación para funciones críticas que podría permitir que un atacante local autenticado escalara sus privilegios. Esta vulnerabilidad se puede encadenar con CVE-2026-104935 y CVE-2026-118527.
Vulnerabilidad de generación segura de números o identificadores predecibles en Ivanti Connect
Ivanti · Connect Secure · CWE-340
Ivanti Connect Secure contiene una vulnerabilidad de generación de números o identificadores predecibles que permite que un atacante autenticado remoto cargue archivos con contenido controlado por el atacante en una ubicación conocida en el disco. Esta vulnerabilidad se puede encadenar con CVE-2026-104935 y CVE-2026-111357.
CVE-2026-76418Alta · CVSS 8.6en el catálogo el 29/10/2026
Vulnerabilidad de desreferencia de puntero NULL en Cisco Secure Firewall asa Software y Cisco Secure FTD Software Unchecked
Cisco Secure Firewall asa Software y Cisco Secure FTD Software contienen un valor de retorno sin marcar a la vulnerabilidad de desreferencia de puntero NULL que podría permitir que un atacante remoto no autenticado haga que el dispositivo se recargue inesperadamente, lo que resulta en una condición de denegación de servicio (DoS).
CVE-2026-46300Alta · CVSS 7.8en el catálogo el 28/10/2026
Vulnerabilidad de inicialización faltante en el kernel de Linux de una variable
Linux · Kernel · CWE-456
El kernel de Linux contiene una inicialización faltante de una vulnerabilidad variable que podría permitir la modificación involuntaria de los datos respaldados por caché de páginas a través de la falla al preservar el marcador de fragmentos compartidos durante la coalescencia del búfer del socket, lo que hace que el procesamiento de entrada esp descifre los fragmentos compartidos en su lugar. Esta vulnerabilidad se puede encadenar con CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root.
CVE-2026-48356Crítica · CVSS 9.3en el catálogo el 27/10/2026
Carga de archivos sin restricciones de Adobe Commerce y Magento con vulnerabilidad de tipo peligroso
Adobe · Commerce and Magento · CWE-434
Adobe Commerce y Magento contienen una carga sin restricciones de archivos con una vulnerabilidad de tipo peligroso que podría resultar en la ejecución de código arbitrario en el contexto del usuario actual, obteniendo potencialmente un acceso o control elevado sobre la cuenta o sesión de la víctima.
CVE-2026-111497Crítica · CVSS 9.2en el catálogo el 27/10/2026
Vulnerabilidad de valor de devolución sin verificar en Google Brotli
Google · Brotli · CWE-252, CWE-787
Google Brotli contiene una vulnerabilidad de valor de retorno sin marcar que permite a un atacante remoto no autenticado corromper la memoria de estado del decodificador adyacente, revelar contenidos de memoria confidenciales, causar una denegación de servicio o potencialmente ejecutar código arbitrario utilizando un flujo comprimido Brotli manipulado.
CVE-2025-61624Media · CVSS 6.5en el catálogo el 16/10/2026
Vulnerabilidad transversal de ruta de múltiples productos de Fortinet
Fortinet · Multiple Products · CWE-22
FortiOS, FortiPAM, FortiProxy y FortiSwitchManager contienen una vulnerabilidad de salto de ruta que puede permitir que un atacante autenticado con perfil de administrador y al menos permisos de lectura y escritura escriba o elimine archivos arbitrarios a través de comandos CLI específicos.
CVE-2026-21589Crítica · CVSS 9.3en el catálogo el 15/10/2026
Vulnerabilidad de varios archivos o directorios de productos de Atlassian accesibles a terceros
Atlassian · Multiple Products · CWE-552
Varios productos Atlassian (Bitbucket Data Center ,Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible y Fisheye) contienen una vulnerabilidad de archivos o directorios accesibles para terceros que podría permitir que un atacante no autenticado acceda a archivos específicos dentro del directorio raíz de la aplicación web en las versiones afectadas.
CVE-2026-76519Crítica · CVSS 9.8en el catálogo el 14/10/2026
Vulnerabilidad transversal de ruta relativa en Secure Email Gateway de Cisco
Cisco · Secure Email Gateway · CWE-23
Cisco Secure Email Gateway contiene una vulnerabilidad relativa de salto de ruta que podría permitir que un atacante remoto no autenticado escriba archivos arbitrarios en el sistema operativo subyacente.
CVE-2026-0322Alta · CVSS 8.6en el catálogo el 14/10/2026
Vulnerabilidad de inyección de código PAN-OS en Palo Alto Networks
Palo Alto Networks · PAN-OS · CWE-94
El PAN-OS de Palo Alto Networks contiene una vulnerabilidad de inyección de código que podría permitir que un atacante autenticado con acceso a la red ejecute código arbitrario con privilegios de root en el firewall.
CVE-2026-96951Alta · CVSS 8.8en el catálogo el 13/10/2026
Vulnerabilidad de inyección de comandos en Microsoft Windows
Microsoft · Windows · CWE-77
Microsoft Windows Shell presenta una vulnerabilidad de inyección de comandos que permite que un atacante no autorizado omita una característica de seguridad en una red.
Vulnerabilidad de omisión de autenticación segura en Ivanti Connect por suplantación de identidad
Ivanti · Connect Secure · CWE-290
Ivanti Connect Secure contiene una vulnerabilidad de omisión de autenticación mediante suplantación de identidad que permite que un atacante remoto no autenticado ejecute comandos arbitrarios.
CVE-2016-3081Alta · CVSS 8.1en el catálogo el 08/10/2026
Vulnerabilidad de inyección de comandos en Apache Struts
Apache · Struts · CWE-77
Apache Struts contiene una vulnerabilidad de inyección de comandos que podría permitir a los atacantes remotos ejecutar código arbitrario a través de method:prefix cuando Dynamic Method Invocation está habilitado.
CVE-2026-88779Alta · CVSS 8.7en el catálogo el 04/10/2026
Restricción incorrecta de las operaciones de Citrix NetScaler dentro de los límites de una vulnerabilidad de búfer de memoria
Citrix · NetScaler · CWE-119
Citrix NetScaler ADC (anteriormente Citrix ADC) y Citrix NetScaler Gateway (anteriormente Citrix Gateway) contienen una restricción incorrecta de las operaciones dentro de los límites de una vulnerabilidad de búfer de memoria que podría permitir una denegación de servicio.
CVE-2026-104286Crítica · CVSS 9.8en el catálogo el 01/10/2026
Vulnerabilidad de salto de ruta de FortiMail en Fortinet
Fortinet · FortiMail · CWE-22, CWE-158
Fortinet FortiMail contiene un salto de ruta y una neutralización incorrecta de la vulnerabilidad de byte NULO o carácter NULO que puede permitir que un atacante no autenticado escriba archivos arbitrarios en el sistema subyacente a través de solicitudes HTTP o HTTPS manipuladas.
CVE-2026-76504Crítica · CVSS 9.8en el catálogo el 30/09/2026
Vulnerabilidad de codificación hexadecimal en Cisco Catalyst SD-WAN Manager
Cisco · Catalyst SD-WAN Manager · CWE-177
Cisco Catalyst SD-WAN Manager contiene una vulnerabilidad de codificación hexadecimal que podría permitir que un atacante remoto no autenticado acceda a un sistema afectado con privilegios del usuario administrador debido a un manejo incorrecto de la codificación URI en una solicitud HTTP.
CVE-2026-88772Crítica · CVSS 9.5en el catálogo el 27/09/2026
Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability
Citrix · NetScaler · CWE-119
Citrix NetScaler ADC and NetScaler Gateway contain an improper restriction of operations within the bounds of a memory buffer vulnerability that could allow for remote code execution or denial of service EN
CVE-2026-88771Crítica · CVSS 9.5en el catálogo el 27/09/2026
Citrix NetScaler ADC and NetScaler Gateway contain an improper input validation vulnerability that could allow an unauthenticated attacker to execute arbitrary commands. EN
CVE-2026-65660Alta · CVSS 8.8en el catálogo el 25/09/2026
Microsoft SharePoint Code Injection Vulnerability
Microsoft · SharePoint · CWE-94
Microsoft SharePoint contains a code injection vulnerability which could allow an authorized attacker to execute code over a network. EN
CVE-2026-87902Alta · CVSS 8.1en el catálogo el 25/09/2026
WordPress Core contains a remote file inclusion vulnerability which could allow an unauthenticated attacker to make page-template resolution include a chosen readable local `.php` file outside the active theme directories, leading to remote code execution. EN
CVE-2026-71362Crítica · CVSS 9.1en el catálogo el 24/09/2026
Adobe Commerce and Magento Incorrect Authorization Vulnerability
Adobe · Commerce and Magento · CWE-863
Adobe Commerce and Magento contains an incorrect authorization vulnerability that could allow an attacker to leverage this vulnerability to gain elevated access to sensitive resources without any user interaction. EN
CVE-2026-94127Crítica · CVSS 9.3en el catálogo el 22/09/2026
F5 BIG-IP APM contains a heap-based buffer overflow vulnerability when access policy and an OAuth profile are configured on a virtual server. This vulnerability could allow an unauthenticated attacker to perform remote code execution. EN
¿Quiere saber si su entorno está expuesto?
Evaluamos versiones, accesos e integraciones de su ERP y de la infraestructura y priorizamos las correcciones.
Bit es una IA y puede equivocarse. No compartas contraseñas ni datos personales. Las conversaciones no se almacenan. Más información
Tu privacidad importa
Usamos cookies esenciales para que el sitio funcione y, con tu permiso, cookies de Google para medir la audiencia y mostrar anuncios, incluso personalizados, que mantienen gratuitas las herramientas. Puedes cambiar tu elección en cualquier momento en “Preferencias de cookies”, en el pie de página. Más información.
