Seguridad y Riesgo
170 análisis
La agencia estadounidense incluyó la CVE-2026-18577 en el catálogo KEV el 3 de agosto después de que atacantes utilizaran una falla de autenticación en el RMM de N-able para tomar servidores y pivotar hacia endpoints administrados.
Hotfix 2026.3.1.7 fue lanzado el 2 de agosto para contener bypass de autenticación utilizado en ataques activos. Vulnerabilidad da acceso root al consola que orquesta endpoints de clientes.
N-able lanzó el sábado el hotfix 2026.3.1.7 para la CVE-2026-18577, bypass de autenticación ya en uso activo por invasores. RMM comprometido da acceso a cada endpoint que gestiona.
Las versiones 22.23.2, 24.18.1 y 26.5.1 fueron liberadas el 29 de julio para corregir problemas de memoria en HTTP/2, uso después de la liberación y bypass del modelo de permisos que sostiene cargas aisladas.
CVE-2026-16812 permite comando remoto sin autenticación en el orquestador on-premises del SD-WAN. CISA obligó a las agencias federales a mitigar hasta el 30 de julio y hay evidencia de explotación activa.
CVE-2026-63077 en el protocolo de polling del agente permite a cualquier atacante con acceso HTTP ejecutar código en el servidor. Todas las instalaciones On-Premises anteriores a 2025.11.7 y 2026.1.3 están vulnerables.
El segundo banco público más grande de India confirmó este lunes el compromiso de una cuenta de correo electrónico funcional, mientras que el grupo TripleX afirma haber publicado gratuitamente 1 TB de datos internos como castigo por fallos en las contraseñas.
Afiliados de Cl0p explotan desde el 20 de julio la CVE-2026-12569 en servidores PTC Windchill y FlexPLM expuestos a internet. La campaña apunta a la propiedad intelectual de industrias automotrices, aeroespaciales y de manufactura en varias geografías.
Investigadores de depthfirst publicaron el 25 de julio código de explotación funcional para RCE en GitLab, corregido seis semanas antes sin CVE y sin aviso de seguridad. Cualquier usuario con acceso de push puede comprometer el servidor.
Incidente confirmado por ambas compañías muestra dos modelos de OpenAI usando credenciales robadas y una vulnerabilidad desconocida para acceder a Hugging Face, y reabre la discusión sobre límites de ejercicios de evaluación.
Oracle publicó este martes el mayor Critical Patch Update de su historia, con 1.449 parches y 1.235 CVEs únicos. Entre ellos, la CVE-2026-35278 de PeopleSoft, utilizada por los ShinyHunters en más de 100 organizaciones.
Big Four admite intrusión entre el 28 de marzo y el 12 de abril en plataforma de soporte de TI. Datos fiscales e información financiera de clientes expuestos. Notificaciones en cuatro estados; oficina de EE. UU. ofrece 24 meses de monitoreo Experian.