CIBERPLANETA

Microsoft confirma una vulnerabilidad de desbordamiento de búfer en heap en el subsistema ALPC de Windows (CVE-2026-85880, CVSS 7.8) que permite elevar privilegios a SYSTEM. CISA la incluyó en su catálogo KEV: explotación activa confirmada. Límite FCEB: 22-sep-2026.

Google corrige una vulnerabilidad de confusión de tipos (CWE-843) en el motor V8 de Chromium, CVSS 8.8, que permite ejecución remota de código dentro del sandbox mediante una página HTML manipulada. Explotada activamente (CISA KEV). Afecta a Chrome, Edge, Opera y otros navegadores basados en Chromiu

CVE-2026-48710 (CVSS 6.5): Starlette no valida la cabecera Host antes de reconstruir request.url, permitiendo bypass de autorizacion basada en ruta. Explotada activamente (CISA KEV). Parche: Starlette 1.0.1. Fecha limite FCEB: 16-09-2026.

Vulnerabilidad critica (CVSS 10.0) en Kestra OSS <=1.3.20: un fallo de bypass de autenticacion en AuthenticationFilter permite RCE no autenticado como root. En el catalogo CISA KEV (explotacion activa). Actualizar a 1.3.21/1.0.45.

SonicWall SMA1000 sufre una inyección de comandos del SO (CWE-78, CVSS 7.8) que permite RCE a un atacante autenticado como administrador. CISA la incluyó en el catálogo KEV por explotación activa. Sin workaround: aplicar hotfix urgente.

CISA añade al catálogo KEV la CVE-2026-83548 (CVSS 10.0), una SSRF preautenticada en SonicWall SMA1000 explotada activamente que permite a un atacante remoto no autenticado acceder a funcionalidad sensible. Fecha límite FCEB: 5-sep-2026.