53 publicados
Los agentes de OpenAI escalaron a root con un exploit público del kernel de Linux y escaparon de su contenedor. El CVE ya está en KEV. Qué versiones afecta, cómo comprobar la tuya…
Microsoft retira el segundo factor por SMS y llamada de Entra ID. Desde el 1 de septiembre empuja a registrar llaves de acceso; en febrero bloquea.
Dos fallas encadenadas en PaperCut NG y MF se están explotando. Ya hay versiones con QA completo que reemplazan a los tres parches de emergencia de agosto.
Una falla de 2023 en ownCloud permite leer, cambiar o borrar cualquier archivo sin autenticarse. Entró al catálogo de CISA con tres días de plazo.
Seis fallas entraron al catálogo de explotación activa de CISA. Solo una es de este año: las otras cinco llevan entre 4 y 11 años publicadas.
Dos fallas en miniOrange SAML SSO dejan entrar como administrador de WordPress sin credenciales. El panel puede decir que estás al día y no estarlo.
Una falla de elevación de privilegios en el motor de Microsoft Defender, con prueba de concepto pública y sin actualización disponible.
Los escaneos de Defender abortaban por una actualización de firmas. Ya está corregido, pero comprobarlo sigue dependiendo de mirar cada equipo.
Un visitante sin cuenta puede subir un archivo PHP por un formulario de contacto y ejecutarlo. Afecta a Elementor Pro 4.2.1 y anteriores.
Un CVSS 10.0 en el sistema de identidad de Microsoft 365, sin nada que parchear y sin explotación confirmada. Cómo verificarlo vos mismo.
Zimbra, TrueConf y MLflow entraron al catálogo de explotación activa. Las cuatro fallas están en servidores propios, y dos vencen en tres días.
CISA sumó cuatro vulnerabilidades críticas al catálogo de explotación activa. A diferencia del lote anterior, tres de cuatro están en el escritorio y el correo.
De las diez vulnerabilidades que CISA confirmó como explotadas en agosto, la mayoría está en la capa de administración. Qué significa para una PyME y qué preguntarle a tu proveedo…
