Security news 45/2026

WordPress Core

El núcleo de WordPress, en las versiones 4.7 a 7.1.3, utiliza durante la actualización completa rutas temporales predecibles y accesibles desde la web, por lo que un atacante no autenticado puede ejecutar su propio código en el servidor en el momento de la actualización. El fallo se explota activamente y la propia instalación del parche se ejecuta todavía con el código antiguo y vulnerable, de modo que el sitio puede quedar expuesto por última vez precisamente durante ella.

Qué hacer: Actualice WordPress en todos los sitios alojados y, mientras dure la actualización, restrinja el acceso web a los directorios temporales que esta utiliza.

SonicWall SonicOS SSL-VPN

Un fallo en la aplicación de la autenticación permite a un usuario con credenciales válidas para otro método de inicio de sesión eludir SAML y, con ello, también la MFA impuesta mediante SAML. El atacante obtiene así acceso a la VPN sin segundo factor; el fallo se explota en ataques y SonicWall lo ha corregido junto con otros seis fallos.

Qué hacer: Instale las actualizaciones vigentes de SonicOS y revise los logs de la SSL-VPN en busca de inicios de sesión sospechosos mediante métodos de autenticación alternativos.

Apple Safari, iOS/iPadOS, macOS, tvOS, watchOS; WebKitGTK/WPE WebKit

Fallo antiguo que permite a un atacante con capacidad de lectura y escritura arbitraria en memoria eludir la protección Pointer Authentication. Ahora se explota para distribuir malware de robo de datos.

Qué hacer: Compruebe que los dispositivos Apple corporativos tienen el sistema y Safari actualizados, y actualice WebKitGTK/WPE WebKit en las estaciones Linux.

Los ataques al fallo SSHole de OpenSSH comenzaron horas después de su publicación

El fallo CVE-2026-123158 en OpenSSH sobre Linux con la biblioteca musl sin PAM (típicamente Alpine) permite iniciar sesión en cuentas sin contraseña, por ejemplo solo con clave SSH, introduciendo una contraseña de 257 a 1024 bytes. Los atacantes empezaron a probarlo en cuestión de horas y obtuvieron root en un honeypot. OpenSSH ha publicado la versión 10.6p2 y Alpine paquetes corregidos: actualice todos los contenedores y servidores basados en Alpine.

Ivanti corrige otros dos zero-day de Connect Secure explotados desde octubre

Ivanti ha publicado parches para dos fallos de la pasarela VPN Connect Secure (CVE-2026-111357, CVE-2026-118527) que los atacantes encadenan al menos desde el 1 de octubre. Quien utilice Connect Secure debe actualizar de inmediato y revisar la pasarela en busca de indicios de compromiso en las últimas semanas.

Atacantes instalan puertas traseras en Siemens SIMATIC IoT2050

El fallo crítico CVE-2026-58115 (CVSS 10.0) en los dispositivos SIMATIC IoT2050 Advanced permite a un atacante no autenticado ejecutar código; se explota activamente para instalar puertas traseras que permiten ejecutar comandos remotos. Afecta a empresas con pasarelas industriales: no exponga los dispositivos a Internet y actualícelos según las indicaciones del fabricante.

Un ataque vía proveedor de servicios permitió transacciones fraudulentas de 133 M USD

El banco francés Crédit Mutuel Arkéa sufrió un ataque que, a través de un proveedor de servicios, permitió transacciones fraudulentas por hasta 133 millones de dólares, y tuvo que desconectar parte de sus sistemas. El caso recuerda la necesidad de vigilar los accesos de proveedores externos a la infraestructura propia.

Una brecha en un servicio cloud de terceros afecta a 7,7 millones de clientes de Iris Ohyama

El fabricante japonés Iris Ohyama ha informado de que, tras un acceso no autorizado al servicio cloud de un proveedor externo, podrían haberse filtrado los datos personales de unos 7,7 millones de personas. Es otro caso en el que el punto débil es un servicio de proveedor y no los sistemas propios de la empresa.

Un ransomware deja sin Wi-Fi, préstamos ni web a la biblioteca de Queens

La biblioteca pública de Queens, en Nueva York, ha sufrido un ataque de ransomware que ha dejado fuera de servicio el Wi-Fi, el sistema de préstamos y el sitio web. Por el momento ningún grupo ha reivindicado el ataque.

NÚKIB alerta de ataques a la administración remota de equipos de refrigeración

NÚKIB resume información y recomendaciones sobre los ataques activos contra sistemas de administración remota de equipos de refrigeración comerciales e industriales en varios países europeos. En Chequia aún no tiene constancia de ningún caso, pero recomienda encarecidamente a todos los operadores adoptar medidas preventivas. Si en su red hay unidades de control de refrigeración de clientes, compruebe que no sean accesibles desde Internet.

CSIRT.CZ: incumplir las pautas del fabricante permitió atacar frío de supermercados

Tras los ataques a los sistemas de refrigeración de cientos de supermercados franceses, CSIRT.CZ advierte de que los ataques fueron posibles por no seguir las indicaciones del fabricante y de que miles de dispositivos siguen expuestos. Los administradores deben revisar la configuración de estos dispositivos conforme a las recomendaciones del fabricante.

FreeSWITCH

En versiones anteriores a 1.11.3, la contraparte puede ejecutar mediante un mensaje SIP MESSAGE comandos API de FreeSWITCH, incluidos comandos del sistema operativo con los privilegios del demonio; basta cualquier cuenta autenticada del perfil y el inbound chat está activado en los perfiles por defecto. El atacante obtiene la configuración y las credenciales, el control de las llamadas y la ejecución de código; ya se ha observado explotación.

Qué hacer: Actualice FreeSWITCH a 1.11.3 y, hasta entonces, restrinja el acceso a los perfiles SIP únicamente a contrapartes de confianza.

ManageEngine Key Manager Plus

En versiones anteriores a 7151, un usuario autenticado con permiso para desplegar certificados puede inyectar comandos al configurar el destino del despliegue y ejecutarlos en el servidor. El fallo tiene un EPSS alto, es decir, una mayor probabilidad de explotación.

Qué hacer: Actualice Key Manager Plus a la versión 7151 o posterior y revise quién tiene permisos para desplegar certificados.

Edimax BR-6208AC

El router en la versión 1.32 contiene una inyección de comandos explotable remotamente a través de /goform/mp sin necesidad de autenticación, con lo que el atacante toma el control del dispositivo. El exploit es público y el fabricante no respondió al aviso.

Qué hacer: Averigüe si usted o sus clientes utilizan estos routers, bloquee el acceso a su administración desde Internet y valore su sustitución.

Linksys E5350

El firmware 1.0.00.037 permite la inyección remota de comandos a través de los parámetros ping_ip/traceroute_ip en /wizard/apply.cgi; el fallo relacionado CVE-2026-121933 permite modificar la configuración del asistente sin autenticación. Los exploits son públicos y el fabricante no respondió; fallos similares afectan también al WRT54GL, sin soporte.

Qué hacer: Restrinja el acceso a la administración de estos routers solo desde la red interna y sustituya las unidades sin soporte.

ELEX WordPress HelpDesk & Customer Ticketing System (plugin)

En versiones hasta la 3.3.8, un atacante no autenticado puede, mediante un procedimiento en dos pasos, eliminar cualquier archivo del servidor. Eliminando, por ejemplo, wp-config.php puede lograrse la ejecución de código y la toma de control del sitio.

Qué hacer: Actualice el plugin según las indicaciones del fabricante o, en su defecto, desactívelo hasta que se publique el parche.

s2Member (plugin para WordPress)

En versiones hasta la 260927, la sanitización insuficiente del parámetro item_name permite insertar código PHP en la plantilla de correo electrónico. Un atacante autenticado con nivel custom o superior puede así ejecutar código en el servidor.

Qué hacer: Actualice el plugin según las indicaciones del fabricante y localice en el hosting los sitios que lo utilizan.

Control Web Panel (CWP)

En versiones anteriores a webpanel_version 1.16, es posible inyectar comandos en shell_exec en el módulo protected_directory del panel de usuario. Un usuario de hosting autenticado puede así ejecutar comandos arbitrarios en el contexto del panel de usuario; un fallo similar, CVE-2026-73697, en el módulo phpini_editor permite además escribir archivos en rutas arbitrarias.

Qué hacer: Actualice CWP a la versión 1.16 o posterior.

Usermin

En versiones hasta la 2.570, un nombre de carpeta IMAP con metacaracteres de shell permite ejecutar comandos con la cuenta de sistema del usuario, eludiendo la restricción de acceso solo al webmail. Basta con crear la carpeta con un cliente IMAP externo y luego eliminarla en Usermin.

Qué hacer: Siga la publicación del parche del fabricante y, hasta entonces, restrinja el acceso a Usermin a los usuarios que lo necesiten.

Nagios XI

En versiones anteriores a 2026R2, un administrador autenticado puede ejecutar comandos como el usuario del servidor web mediante un nombre manipulado del archivo MIB cargado. El riesgo aumenta si se compromete una cuenta de administrador.

Qué hacer: Actualice Nagios XI a 2026R2 y restrinja el acceso a la administración de la monitorización.

Irontec sngrep

En versiones hasta la 1.9.0, un paquete SIP manipulado a través de UDP o TCP, o bien un archivo pcap, puede provocar la caída de sngrep o filtrar parte de la memoria de la pila en los campos SIP mostrados. Afecta a quienes utilizan sngrep para depurar tráfico VoIP.

Qué hacer: Actualice sngrep según las indicaciones del fabricante y no lo ejecute de forma permanente en interfaces expuestas a tráfico SIP ajeno.