Seguridad y Riesgo
88 análisis
La falla de path traversal en Adobe ColdFusion fue corregida el 30 de junio, pero los atacantes comenzaron a explotarla en dos horas. El CISA fijó el 10 de julio como plazo federal.
Falla de control de acceso permite ejecución de comando sin autenticación en red adyacente e integra el paquete SAB-066, que corrige 25 vulnerabilidades en la línea UniFi.
Sysdig detectó el primer intento de explotación 13 días después del parche, contra 6.200 instancias expuestas. El bug proviene de una línea del app.ini que confía en cualquier IP.
Falla de path traversal recibió calificación máxima y se convirtió en objetivo de explotación activa dos horas después del boletín técnico. CISA dio plazo hasta el 10 de julio para el Ejecutivo Civil Federal.
Informe preliminar copresidido por Yoshua Bengio y Maria Ressa desmonta la narrativa de safety-by-design de las grandes desarrolladoras y traspasa la responsabilidad a reguladores y compradores corporativos.
CVE-2026-46242, 'Bad Epoll', permite que cualquier cuenta local sin privilegios obtenga acceso root en servidores Linux y Android con kernel 6.4+. La corrección existe desde abril; la mayoría de las distribuciones aún no ha publicado el backport.
La Singapore Land Authority confirmó el acceso no autorizado a un entorno de nube gestionado por IBM, exponiendo nombres, números de NRIC y direcciones de aproximadamente 70.000 personas almacenados desde 1998 en un conjunto de datos de pruebas nunca anonimizados.
Investigador de la Universidad Nacional de Seúl publicó exploit funcional para CVE-2026-46242: cualquier proceso local sin privilegios puede obtener root en kernels Linux 6.4 a 6.12 y en dispositivos Android.
Vulnerabilidad de ejecución remota corregida por Microsoft el 26 de mayo estuvo meses sin parche en servidores expuestos. CISA incluyó en el catálogo KEV el 1 de julio y The Hacker News detalló el ataque el 2 de julio.
Cato AI Labs divulgó este miércoles el DuneSlide, par de vulnerabilidades zero-click en Cursor 3.0 que rompen la sandbox por instrucción plantada en MCP o página web cargada por el agente.
El boletín APSB26-68 corrige 11 CVEs, siete con la calificación máxima, en ColdFusion 2025, ColdFusion 2023 y Campaign Classic 7.4.3. Adobe otorgó una calificación de prioridad 1, categoría en la que la compañía estima una inminente explotación.
CVE-2026-48558 permite forjar sesiones de técnico y desactivar MFA; carga final, el Djinn Stealer, apunta a archivos MCP con credenciales de los asistentes de código Claude, Gemini, Codex, Cline y Kilo.