Publicado el

Vulnerabilidad crítica en Google Chrome (ANGLE) que permite ejecución de código

Se ha identificado una vulnerabilidad crítica en Google Chrome, catalogada como CVE-2026-6296, que afecta al componente gráfico ANGLE (Almost Native Graphics Layer Engine) utilizado en navegadores basados en Chromium.
Esta vulnerabilidad consiste en un desbordamiento de búfer en el heap, lo que puede derivar en corrupción de memoria y, potencialmente, en la ejecución de código arbitrario.
Dado que ANGLE procesa datos provenientes de contenido web, este fallo representa un riesgo significativo para usuarios que navegan por sitios potencialmente maliciosos.
 
Análisis
CVE-2026-6296 – CVSS 9.6 (Crítica)
La vulnerabilidad se origina en el componente ANGLE, responsable de traducir instrucciones gráficas de tecnologías como WebGL a APIs nativas del sistema (DirectX, Vulkan, etc.).
El fallo se produce cuando:
    • ANGLE maneja incorrectamente buffers en memoria
    • No valida adecuadamente los límites de los datos procesados
    • Se escriben datos fuera del espacio asignado (heap buffer overflow)
Como consecuencia, un atacante puede:
    • Corromper estructuras internas de memoria
    • Modificar punteros o datos críticos del proceso
    • Alterar el flujo de ejecución del navegador
El vector de ataque consiste en:
    1. Crear una página web maliciosa con contenido gráfico manipulado
    2. Inducir al usuario a acceder a dicha página
    3. Activar el procesamiento vulnerable en ANGLE
    4. Provocar la corrupción de memoria
Aunque el proceso del navegador está protegido por sandbox, esta vulnerabilidad puede ser utilizada como parte de una cadena de explotación más compleja, permitiendo potencialmente evadir estas protecciones.
 
Recursos afectados
Sistemas que utilicen:
    • Google Chrome en versiones anteriores a 147.0.7727.101
    • Navegadores basados en Chromium como:
      • Microsoft Edge
      • Brave
      • Opera
Recomendaciones
    • Actualizar Google Chrome a la versión 147.0.7727.101 o superior.
    • Aplicar actualizaciones equivalentes en navegadores basados en Chromium.
    • Evitar acceder a sitios web no confiables o sospechosos.
    • Mantener activadas las actualizaciones automáticas del navegador.
    • Revisar políticas de seguridad en entornos corporativos para asegurar versiones actualizadas.
Referencias
Publicado el

Actualizaciones de seguridad de Microsoft: vulnerabilidades críticas y zero-day

Microsoft ha publicado sus actualizaciones de seguridad correspondientes a abril de 2026, corrigiendo un total de 167 vulnerabilidades en distintos productos.
Entre ellas se incluyen 8 vulnerabilidades críticas, principalmente de ejecución remota de código (RCE), así como dos vulnerabilidades zero-day, una de ellas explotada activamente.
Este conjunto de actualizaciones representa uno de los Patch Tuesday más relevantes del año, debido al volumen de fallos corregidos y a la criticidad de algunos de ellos.
Análisis
Entre las vulnerabilidades más destacadas se encuentran dos zero-day:
    • CVE-2026-32201 – SharePoint Server (Spoofing)
      • Vulnerabilidad explotada activamente.
      • Permite a un atacante ver o modificar información sensible mediante una validación de entrada incorrecta.
      • Microsoft no ha publicado detalles técnicos sobre los ataques.
    • CVE-2026-33825 – Microsoft Defender (Elevación de privilegios)
      • Vulnerabilidad divulgada públicamente.
      • Permite obtener privilegios SYSTEM.
      • Corregida mediante actualización automática del motor de Defender (versión 4.18.26050.3011).
En total, Microsoft ha corregido:
    • 93 vulnerabilidades de elevación de privilegios
    • 20 de ejecución remota de código (RCE)
    • 21 de divulgación de información
    • 13 de bypass de funciones de seguridad
    • 10 de denegación de servicio (DoS)
    • 9 de suplantación (spoofing)
Microsoft Office: foco de riesgo
Se han corregido múltiples vulnerabilidades críticas en Microsoft Word y Microsoft Excel, algunas de ellas explotables incluso mediante la vista previa de documentos, lo que incrementa significativamente el riesgo en entornos donde se manejan archivos adjuntos.
Otros componentes afectados
Las vulnerabilidades también afectan a componentes clave del ecosistema Microsoft, incluyendo:
    • Windows Kernel
    • Active Directory
    • Hyper-V
    • SQL Server
    • PowerShell
    • Remote Desktop
    • BitLocker
    • Secure Boot
    • WSUS
Varias de estas vulnerabilidades podrían permitir ejecución remota de código en servicios críticos de Windows.
Recursos afectados
Infraestructuras que utilicen productos Microsoft, especialmente:
    • Microsoft SharePoint Server
    • Sistemas Windows empresariales
    • Microsoft Office (Word, Excel)
    • Microsoft Defender
    • Infraestructura basada en Active Directory y servicios asociados
Recomendaciones
    • Aplicar las actualizaciones de seguridad de Microsoft con la mayor brevedad posible.
    • Priorizar la actualización de servidores SharePoint, debido a la explotación activa de vulnerabilidades.
    • Verificar que Microsoft Defender esté actualizado a la versión indicada.
    • Priorizar actualizaciones en Microsoft Office, especialmente en entornos donde se gestionan correos y adjuntos.
    • Revisar sistemas críticos Windows y servicios expuestos a red.
    • Monitorizar posibles indicadores de compromiso en sistemas no actualizados.
    • Mantener un inventario actualizado de activos y versiones desplegadas.
Publicado el

Vulnerabilidades críticas y de alta severidad parcheadas en Adobe

Adobe ha publicado recientemente su actualización de seguridad correspondiente a abril de 2026, corrigiendo un total de 55 vulnerabilidades distribuidas en 11 de sus productos principales.
Aunque la mayoría de las vulnerabilidades están clasificadas con una prioridad moderada, se han identificado varios fallos críticos, especialmente en Adobe ColdFusion, que representan un riesgo elevado para entornos empresariales.
Este tipo de vulnerabilidades supone una amenaza relevante, especialmente en sistemas que gestionan contenido, documentos o servicios web, donde una explotación exitosa podría comprometer la seguridad del sistema.
Análisis
La mayor preocupación en esta actualización se centra en Adobe ColdFusion, donde se han corregido:
    • 5 vulnerabilidades críticas (Prioridad 1)
      Estas vulnerabilidades podrían permitir:
    • Bypass de mecanismos de seguridad
    • Lectura de archivos del sistema
    • Ejecución remota de código (RCE)
Adobe ha asignado la máxima prioridad a estos fallos debido a que ColdFusion ha sido históricamente un objetivo frecuente de ataques.
Adicionalmente, se han corregido vulnerabilidades críticas de ejecución de código en otros productos:
    • Adobe Acrobat Reader
    • Adobe InDesign, InCopy, FrameMaker
    • Adobe Connect, Bridge, Photoshop, Illustrator
También se han corregido vulnerabilidades de gravedad importante que podrían permitir:
    • Denegación de servicio (DoS)
    • Escalada de privilegios
    • Ejecución de código
Estas afectan a productos como:
    • Adobe Experience Manager Screens
    • DNG SDK
Adobe indica que actualmente no tiene constancia de explotación activa de estas vulnerabilidades. No obstante, el contexto reciente muestra un riesgo relevante, ya que:
    • Se corrigió recientemente un zero-day en Acrobat/Reader (CVE-2026-34621) que habría sido explotado durante meses.
    • Organismos como CISA han alertado sobre la explotación continuada de vulnerabilidades antiguas en Acrobat.
Recursos afectados
Infraestructuras que utilicen productos Adobe, especialmente:
    • Adobe ColdFusion
    • Adobe Acrobat Reader
    • Adobe InDesign, InCopy, FrameMaker
    • Adobe Connect
    • Adobe Bridge
    • Adobe Photoshop
    • Adobe Illustrator
    • Adobe Experience Manager Screens
    • DNG SDK
Recomendaciones
    • Aplicar las actualizaciones de seguridad publicadas por Adobe con la mayor brevedad posible.
    • Priorizar la actualización de Adobe ColdFusion, dada su criticidad.
    • Revisar sistemas expuestos a Internet o que gestionen contenido sensible.
    • Monitorizar los sistemas tras la actualización para detectar posibles anomalías.
    • Mantener actualizados todos los productos Adobe en uso dentro de la organización.
    • Tener en cuenta vulnerabilidades previas activamente explotadas al evaluar el riesgo.
Referencias
Publicado el

Vulnerabilidad crítica en Google Chrome

Se ha identificado una vulnerabilidad crítica en Google Chrome, identificada como CVE-2026-5874, que afecta al componente PrivateAI del navegador.
Se trata de un fallo de tipo use-after-free, una categoría de vulnerabilidades de gestión de memoria que puede derivar en corrupción de memoria y, en escenarios avanzados, en la ejecución remota de código.
Este tipo de vulnerabilidades supone un riesgo relevante en entornos corporativos, especialmente en equipos de usuario que navegan por Internet, donde una explotación exitosa podría comprometer la seguridad del sistema.
Análisis
La vulnerabilidad CVE-2026-5874 cuenta con una puntuación CVSS 9.6 (Crítica) y se origina en un error en la gestión de memoria dentro de Google Chrome.
El fallo ocurre cuando el navegador continúa utilizando un bloque de memoria después de haber sido liberado, lo que permite a un atacante manipular ese espacio de memoria y controlar el comportamiento del sistema.
El proceso de explotación consiste en:
    • Crear y destruir objetos en el navegador mediante contenido web manipulado.
    • Forzar la reutilización de memoria previamente liberada.
    • Introducir datos controlados por el atacante en esa región de memoria.
    • Provocar que el navegador procese estos datos como si fueran legítimos.
El impacto potencial incluye:
    • Ejecución de código arbitrario en el navegador.
    • Corrupción de estructuras internas de memoria.
    • Posible evasión de mecanismos de seguridad (como el sandbox) si se combina con otras vulnerabilidades.
La explotación requiere que el usuario interactúe con una página web maliciosa, lo que permite al atacante sincronizar el ataque con mayor precisión.
Recursos afectados
    • Sistemas que utilicen Google Chrome en versiones anteriores a 147.0.7727.55
    • Equipos de usuario con acceso a navegación web
Recomendaciones
    • Actualizar Google Chrome a la versión 147.0.7727.55 o superior con la mayor brevedad posible.
    • Evitar acceder a enlaces o páginas web de origen desconocido o no confiable.
    • Mantener el navegador y el sistema operativo actualizados.
    • Implementar medidas de seguridad adicionales en endpoints (EDR, filtrado web, etc.).
    • Monitorizar posibles comportamientos anómalos en los equipos de usuario.
Referencias