53 publicados
Cuatro fuentes oficiales dicen hoy cosas distintas sobre la misma falla. Qué conviene hacer con los parches, y la corrección de la nota que publicó este sitio el 16 de octubre.
Dos vulnerabilidades explotadas con 3,3 puntos de diferencia y el mismo plazo al 19 de octubre. Qué versión mirar en cada una y por qué el puntaje no decide la urgencia.
CISA sumó CVE-2026-21589 como explotada: lectura de archivos sin autenticar en ocho productos de Atlassian autoalojados. Qué versión mirar, qué mitigación hay y qué no dice el avi…
CISA sumó cuatro vulnerabilidades explotadas el 14 de octubre y dos están en AhsayCBS, el software con el que muchos proveedores de IT hacen los backups de sus clientes. Qué versi…
CISA sumó dos vulnerabilidades explotadas el 13 de octubre con plazo de tres días. Qué son, qué versión mirar y por qué el número que importa no es 1413 sino 1.
Diecisiete críticas en routers Linksys, Edimax, Wavlink, Netcore, TRENDnet y D-Link en tres días, sin una sola corrección publicada. Cómo saber si te toca y qué hacer cuando no ha…
CISA sumó cinco vulnerabilidades explotadas el 8 de octubre y ninguna es de 2026. Qué son, por qué una falla de 2015 vuelve a importar y cómo saber si está en tu red.
Dos plugins comerciales de WordPress con fallas críticas sin autenticar. Qué versión mirar, y por qué en un plugin de pago el aviso no llega por el panel.
El constructor de flujos de IA de IBM sumó 32 CVE en nueve días. Cuántos son críticos, qué versión corrige y por qué su historial en el catálogo de explotadas importa.
El 13 de octubre vencen 33 cosas de Microsoft a la vez. Cuáles dejan de recibir parches de verdad, cuál no es urgente y cuál se arregla actualizando.
Novena falla de NetScaler en la misma serie. Solo tira el equipo abajo, pero se explota y es automatizable, y la versión que corrigió las otras ocho no alcanza.
Un usuario autenticado con acceso al agente de IA de GitLab podía salir de la plantilla y ejecutar comandos. GitLab.com ya está corregido; si lo autoalojás, te toca.
Dos fallas de la mesa de ayuda Zammad que se encadenan hasta root. Qué versión corrige la mitad que importa, y por qué el fabricante y quien reportó no coinciden.
Fortinet confirma explotación en curso en su pasarela de correo y publica un paliativo: apagar la función IBE. Qué versiones corrigen y qué revisar si estuvo expuesta.
Un error al interpretar la codificación de la URL deja entrar a la API como administrador sin credenciales. Cisco dice que no hay paliativo: hay que actualizar.
Apple parchó una falla ya usada contra personas puntuales. Probablemente no sea tu caso, y aun así conviene actualizar. Por qué, y qué cambió en los plazos del catálogo.
Microsoft corta la sincronización de las versiones viejas de Entra Connect el 30 de septiembre. Qué deja de propagarse a la nube y cómo saber en qué versión estás.
Ejecución de comandos sin autenticarse en NetScaler ADC y Gateway. Si hay indicadores de compromiso, Citrix no dice parchear: dice reconstruir el equipo.
Inclusión remota de archivos en el núcleo de WordPress, sin autenticarse. Necesita tres condiciones, y una de las tres depende de tu hosting, no de vos.
Un phishing que no roba contraseñas, no usa páginas falsas y no lo frena el MFA. Qué es el flujo de código de dispositivo y cómo se bloquea.
