Posted on

Vulnerabilidad crítica en Google Chrome (ANGLE) que permite ejecución de código

Se ha identificado una vulnerabilidad crítica en Google Chrome, catalogada como CVE-2026-6296, que afecta al componente gráfico ANGLE (Almost Native Graphics Layer Engine) utilizado en navegadores basados en Chromium.
Esta vulnerabilidad consiste en un desbordamiento de búfer en el heap, lo que puede derivar en corrupción de memoria y, potencialmente, en la ejecución de código arbitrario.
Dado que ANGLE procesa datos provenientes de contenido web, este fallo representa un riesgo significativo para usuarios que navegan por sitios potencialmente maliciosos.
 
Análisis
CVE-2026-6296 – CVSS 9.6 (Crítica)
La vulnerabilidad se origina en el componente ANGLE, responsable de traducir instrucciones gráficas de tecnologías como WebGL a APIs nativas del sistema (DirectX, Vulkan, etc.).
El fallo se produce cuando:
    • ANGLE maneja incorrectamente buffers en memoria
    • No valida adecuadamente los límites de los datos procesados
    • Se escriben datos fuera del espacio asignado (heap buffer overflow)
Como consecuencia, un atacante puede:
    • Corromper estructuras internas de memoria
    • Modificar punteros o datos críticos del proceso
    • Alterar el flujo de ejecución del navegador
El vector de ataque consiste en:
    1. Crear una página web maliciosa con contenido gráfico manipulado
    2. Inducir al usuario a acceder a dicha página
    3. Activar el procesamiento vulnerable en ANGLE
    4. Provocar la corrupción de memoria
Aunque el proceso del navegador está protegido por sandbox, esta vulnerabilidad puede ser utilizada como parte de una cadena de explotación más compleja, permitiendo potencialmente evadir estas protecciones.
 
Recursos afectados
Sistemas que utilicen:
    • Google Chrome en versiones anteriores a 147.0.7727.101
    • Navegadores basados en Chromium como:
      • Microsoft Edge
      • Brave
      • Opera
Recomendaciones
    • Actualizar Google Chrome a la versión 147.0.7727.101 o superior.
    • Aplicar actualizaciones equivalentes en navegadores basados en Chromium.
    • Evitar acceder a sitios web no confiables o sospechosos.
    • Mantener activadas las actualizaciones automáticas del navegador.
    • Revisar políticas de seguridad en entornos corporativos para asegurar versiones actualizadas.
Referencias
Posted on

Actualitzacions de seguretat de Microsoft: vulnerabilitats crítiques i de dia zero

Microsoft ha publicat les actualitzacions de seguretat corresponents a abril de 2026, i ha corregit un total de 167 vulnerabilitats en diferents productes.

Entre estes s’inclouen 8 vulnerabilitats crítiques, principalment d’execució remota de codi (RCE), així com dos vulnerabilitats de dia zero, una d’estes explotada activament.

Este conjunt d’actualitzacions representa un dels Patch Tuesday més rellevants de l’any, atés el volum de fallades corregides i la criticitat d’algunes d’estes.

Anàlisi

Entre les vulnerabilitats més destacades trobem dos de dia zero:

    • CVE-2026-32201 – SharePoint Server (suplantació)
      • Vulnerabilitat explotada activament.
      • Permet que un atacant veja o modifique informació delicada mitjançant una validació d’entrada incorrecta.
      • Microsoft no ha publicat detalls tècnics sobre els atacs.
    • CVE-2026-33825 – Microsoft Defender (elevació de privilegis)
      • Vulnerabilitat divulgada públicament.
      • Permet obtindre privilegis SYSTEM.
      • Corregida mitjançant una actualització automàtica del motor de Defender (versió 4.18.26050.3011).

En total, Microsoft ha corregit:

    • 93 vulnerabilitats d’elevació de privilegis
    • 20 d’execució remota de codi (RCE)
    • 21 de divulgació d’informació
    • 13 de bypass de funcions de seguretat
    • 10 de denegació de servici (DoS)
    • 9 de suplantació (spoofing)

Microsoft Office: focus de risc

S’han corregit múltiples vulnerabilitats crítiques en Microsoft Word i Microsoft Excel, algunes d’estes explotables fins i tot mitjançant la vista prèvia de documents, cosa que incrementa significativament el risc en entorns on es gestionen arxius adjunts.

Altres components afectats

Les vulnerabilitats també afecten components clau de l’ecosistema Microsoft, com ara els següents:

    • Windows Kernel
    • Active Directory
    • Hyper-V
    • SQL Server
    • PowerShell
    • Remote Desktop
    • BitLocker
    • Secure Boot
    • WSUS

Diverses d’estes vulnerabilitats podrien permetre una execució remota de codi en servicis crítics de Windows.

Recursos afectats

Infraestructures que utilitzen productes Microsoft, especialment:

    • Microsoft SharePoint Server
    • Sistemes Windows empresarials
    • Microsoft Office (Word, Excel)
    • Microsoft Defender
    • Infraestructura basada en Active Directory i servicis associats

Recomanacions

    • Aplicar les actualitzacions de seguretat de Microsoft com més prompte millor.
    • Prioritzar l’actualització de servidors SharePoint, a causa de l’explotació activa de vulnerabilitats.
    • Verificar que Microsoft Defender estiga actualitzat a la versió indicada.
    • Prioritzar actualitzacions en Microsoft Office, especialment en entorns on es gestionen correus i adjunts.
    • Revisar sistemes Windows crítics i servicis exposats a xarxa.
    • Monitorar possibles indicadors de compromís en sistemes no actualitzats.
    • Mantindre un inventari actualitzat d’actius i versions desplegades.
Posted on

Vulnerabilitats crítiques i d’alta severitat apedaçades en Adobe

Adobe ha publicat recentment la seua actualització de seguretat corresponent a abril de 2026, corregint un total de 55 vulnerabilitats distribuïdes en 11 dels seus productes principals.

Encara que la majoria de les vulnerabilitats estan classificades amb una prioritat moderada, s’han identificat diverses fallades crítiques, especialment en Adobe ColdFusion, que representen un risc elevat per a entorns empresarials.

Este tipus de vulnerabilitats suposa una amenaça rellevant, especialment en sistemes que gestionen contingut, documents o servicis web, on una explotació exitosa podria comprometre la seguretat del sistema.

Anàlisi

La major preocupació en esta actualització se centra en Adobe ColdFusion, on s’han corregit:

    • 5 vulnerabilitats crítiques (prioritat 1)
      Estes vulnerabilitats podrien permetre:
    • Bypass de mecanismes de seguretat
    • Lectura d’arxius del sistema
    • Execució remota de codi (RCE)

Adobe ha assignat la màxima prioritat a estes fallades pel fet que ColdFusion ha sigut històricament un objectiu freqüent d’atacs.

Addicionalment, s’han corregit vulnerabilitats crítiques d’execució de codi en altres productes:

    • Adobe Acrobat Reader
    • Adobe InDesign, InCopy, FrameMaker
    • Adobe Connect, Bridge, Photoshop, Illustrator

També s’han corregit vulnerabilitats de gravetat important que podrien permetre:

    • Denegació de servici (DoS)
    • Escalada de privilegis
    • Execució de codi

Estes afecten productes com:

    • Adobe Experience Manager Screens
    • DNG SDK

Adobe indica que actualment no té constància d’explotació activa d’estes vulnerabilitats. No obstant això, el context recent mostra un risc rellevant, ja que:

    • Es va corregir recentment un zero-day en Acrobat/Reader (CVE-2026-34621), que hauria sigut explotat durant mesos.
    • Organismes com CISA han alertat sobre l’explotació continuada de vulnerabilitats antigues en Acrobat.

Recursos afectats

Infraestructures que utilitzen productes Adobe, especialment:

    • Adobe ColdFusion
    • Adobe Acrobat Reader
    • Adobe InDesign, InCopy, FrameMaker
    • Adobe Connect
    • Adobe Bridge
    • Adobe Photoshop
    • Adobe Illustrator
    • Adobe Experience Manager Screens
    • DNG SDK

Recomanacions

    • Aplicar les actualitzacions de seguretat publicades per Adobe com més prompte millor.
    • Prioritzar l’actualització d’Adobe ColdFusion, atesa la seua criticitat.
    • Revisar sistemes exposats a Internet o que gestionen contingut sensible.
    • Monitorar els sistemes després de l’actualització per a detectar possibles anomalies.
    • Mantindre actualitzats tots els productes Adobe en ús dins de l’organització.
    • Tindre en compte vulnerabilitats prèvies activament explotades en avaluar el risc.

Referències

https://www.securityweek.com/adobe-patches-55-vulnerabilities-across-11-products/
Posted on

Vulnerabilitat crítica en Google Chrome

S’ha identificat una vulnerabilitat crítica en Google Chrome, identificada com a CVE-2026-5874, que afecta el component PrivateAI del navegador.

Es tracta d’una fallada de tipus use-after-free, una categoria de vulnerabilitats de gestió de memòria que pot derivar en corrupció de memòria i, en escenaris avançats, en l’execució remota de codi.

Este tipus de vulnerabilitats suposa un risc rellevant en entorns corporatius, especialment en equips d’usuari que naveguen per internet, on una explotació exitosa podria comprometre la seguretat del sistema.

Anàlisi

La vulnerabilitat CVE-2026-5874 té una puntuació CVSS 9.6 (Crítica) i s’origina en un error en la gestió de memòria dins de Google Chrome.

La fallada ocorre quan el navegador continua utilitzant un bloc de memòria després d’haver sigut alliberat, la qual cosa permet a un atacant manipular eixe espai de memòria i controlar el comportament del sistema.

El procés d’explotació consistix a:

    • Crear i destruir objectes en el navegador mitjançant contingut web manipulat.
    • Forçar la reutilització de memòria prèviament alliberada.
    • Introduir dades controlades per l’atacant en eixa regió de memòria.
    • Provocar que el navegador processe estes dades com si foren legítimes.

L’impacte potencial inclou:

    • Execució de codi arbitrari en el navegador.
    • Corrupció d’estructures internes de memòria.
    • Possible evasió de mecanismes de seguretat (com l’entorn controlat de proves) si es combina amb altres vulnerabilitats.

L’explotació requerix que l’usuari interactue amb una pàgina web maliciosa, la qual cosa permet a l’atacant sincronitzar l’atac amb més precisió.

Recursos afectats

    • Sistemes que utilitzen Google Chrome en versions anteriors a 147.0.7727.55
    • Equips d’usuari amb accés a navegació web

Recomanacions

    • Actualitzar Google Chrome a la versió 147.0.7727.55 o superior com més prompte millor.
    • Evitar accedir a enllaços o pàgines web d’origen desconegut o no de confiança.
    • Mantindre el navegador i el sistema operatiu actualitzats.
    • Implementar mesures de seguretat addicionals en endpoints (EDR, filtratge web, etc.).
    • Monitorar possibles comportaments anòmals en els equips d’usuari.

Referències