Publicado el

Fortinet, Ivanti e Intel publican parches para múltiples vulnerabilidades

Fortinet, Ivanti e Intel han publicado nuevas actualizaciones de seguridad que corrigen múltiples vulnerabilidades de alta severidad. Estas fallas podrían permitir desde ejecución arbitraria de código hasta elevación de privilegios o bypass de limitaciones de autenticación, afectando tanto software empresarial como firmware de dispositivos

Análisis 

Las tres compañías han liberado un volumen significativo de parches, incluyendo docenas de vulnerabilidades, varias de ellas clasificadas como alta severidad. En el caso de Fortinet, se han corregido 22 fallos que afectan a múltiples productos, algunos explotables por atacantes remotos y no autenticados para ejecutar código o eludir límites de autenticación. Ivanti, por su parte, ha corregido una vulnerabilidad grave en su solución Desktop and Server Management (DSM) previa a la versión 2026.1.1, que podía permitir elevación de privilegios. Intel ha publicado un aviso sobre nueve vulnerabilidades en UEFI, incluyendo cinco de alta severidad que podrían permitir ejecución local de código, elevación de privilegios o fuga de información. Ninguna de estas vulnerabilidades parece haber sido explotada en el momento de la publicación.
 

Vulnerabilidades Relevantes

Fortinet

Productos afectados: FortiWeb, FortiSwitchAXFixed, FortiManager, FortiClientLinux

Descripción: Fallos en FortiWeb, FortiSwitchAXFixed y FortiManager que permitirían a atacantes remotos no autenticados bypassear límites de autenticación o ejecutar comandos/código no autorizado. En FortiClientLinux, una vulnerabilidad de tipo Symlink following podría permitir a un atacante local elevar privilegios a root.

Ivanti

Producto: Desktop and Server Management (DSM)

Versiones afectadas: anteriores a 2026.1.1

Descripción: vulnerabilidad de alta severidad que podía permitir la elevación de privilegios en el sistema.

Intel

Producto: UEFI (en múltiples plataformas de referencia Intel)

Modelos afectados: más de 45 modelos de procesadores

Descripción: nueve vulnerabilidades, cinco de alta severidad, que permitirían ejecución local de código, elevación de privilegios o divulgación de información.

 

Recomendaciones

Se recomienda aplicar todas las actualizaciones de seguridad lo antes posible.
    •  
Publicado el

Boletín mensual de seguridad de Adobe

Adobe ha publicado parches para 80 vulnerabilidades que afectan a ocho productos, entre ellos Commerce, Illustrator, Acrobat Reader y Premiere Pro.

Análisis 

El paquete incluye fallos críticos y de alta criticidad, principalmente relacionados con ejecución arbitraria de código, escalada de privilegios, bypass de seguridad y denegación de servicio (DoS).
Adobe no ha detectado explotación activa en el momento de la publicación. Los productos más sensibles, como Adobe Commerce, reciben prioridad debido a su historial de ataques.
 

Vulnerabilidades Relevantes

Adobe Commerce / Magento
 
19 vulnerabilidades parcheadas. 6 de alta severidad (5 de escalada de privilegios: CVE‑2026‑21290, CVE‑2026‑21361, CVE‑2026‑21284, CVE‑2026‑21311, CVE‑2026‑21309; 1 de bypass de seguridad: CVE‑2026‑21289). Incluye fallos de ejecución de código, bypass y DoS.
 
Adobe Illustrator
 
7 vulnerabilidades, incluyendo 5 que permiten ejecución de código (CVE‑2026‑21333, CVE‑2026‑21362, CVE‑2026‑27271, CVE‑2026‑27272, CVE‑2026‑27267).
 
Acrobat Reader, Premiere Pro, Substance 3D Stager y DNG SDK
 
Vulnerabilidades de alta severidad con potencial de ejecución de código. Priorización más baja (rating 3), menor probabilidad de explotación.
 

Recomendaciones

Aplicar los parches lo antes posible según corresponda: https://helpx.adobe.com/security/products/magento/apsb26-05.html

Referencias

    •  
Publicado el

Estafa a Mi Carpeta Ciudadana

INICIBE ha publicado una estafa que afecta a Mi Carpeta Ciudadana del Gobierno de España. Los ciberdelincuentes envían un correo que afirma falsamente que se ha generado un ingreso de 552,97 € para el destinatario.

 
Análisis
 
El propósito de la campaña es robar datos personales y bancarios de los usuarios, incluyendo:
 
    • Contraseña de acceso a la banca online
 
El aviso destaca varias señales claras de fraude:
 
    • Web falsa que imita a Mi Carpeta Ciudadana y pide datos sensibles.
Recomendaciones
Si no pulsaste el enlace:
 
Si ingresaste datos en la web falsa, como datos personales o bancarios:
 
 
Referencias

Por último, te invitamos a compartir este boletín con tus allegados para fomentar y difundir una Cultura de la Ciberseguridad y buenas prácticas en el uso de las nuevas tecnologías.

Si tienes alguna inquietud sobre ciberseguridad o necesidad de formación en esta área, visita nuestras webs. Encontrarás consejos, cursos online, informes y mucho más contenido: https://www.csirtcv.gva.es/ y https://concienciat.gva.es/ y síguenos en nuestras redes sociales: Facebook (CSIRT-CV), X (@CSIRTCV) y ) i YouTube (@csirt-cv6271)

Publicado el

Vulnerabilidad crítica en Google Chrome

CVE-2026-3545 se origina por una validación insuficiente de datos en el subsistema de navegación de Chrome, lo que permite que datos manipulados en una página HTML maliciosa no sean correctamente verificados por el navegador. Si un usuario visita dicha página, un atacante puede aprovechar el fallo para escapar del sandbox del navegador, uno de los principales mecanismos de aislamiento de seguridad de Chrome. El sandbox está diseñado para impedir que el contenido web acceda directamente al sistema operativo o a otros procesos del navegador. Romper esta barrera puede permitir a un atacante realizar acciones más avanzadas en el sistema de la víctima.

 
Análisis
 

CVE-2026-3545 – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H – 9,6

El fallo explotado por CVE-2026-3545 aparece cuando el navegador procesa ciertos datos generados durante la navegación web. Un atacante puede crear una página especialmente diseñada con contenido HTML o JavaScript manipulado que provoque que el motor de navegación de Chrome procese información que no ha sido validada correctamente. Debido a esta validación incompleta, el navegador puede entrar en un estado interno inconsistente al manejar dichos datos. En determinadas circunstancias, este estado permite que el código ejecutado dentro del proceso renderer interactúe con componentes del navegador que deberían estar fuera de su alcance.

Como resultado, el atacante puede lograr un escape del sandbox y superar la barrera de aislamiento que normalmente protege al sistema frente al contenido web no confiable. Una vez que el código malicioso sale del entorno restringido del renderer, puede comunicarse con procesos del navegador con mayores privilegios, como el proceso principal encargado de la interfaz y de la gestión de recursos. Este paso es especialmente crítico, ya que rompe uno de los mecanismos fundamentales de seguridad del navegador.

En un escenario de ataque real, la explotación podría darse si la víctima visita una página web maliciosa, ya sea mediante un enlace de phishing, publicidad maliciosa o redirecciones comprometidas. Al cargarse la página, el contenido manipulado activaría el fallo en la validación de datos y desencadenaría el comportamiento que permite el escape del sandbox. Aunque este tipo de vulnerabilidad por sí sola no siempre garantiza el control completo del sistema, es valiosa para los atacantes porque puede combinarse con otras vulnerabilidades en lo que se conoce como una cadena de explotación. En estas cadenas, una primera vulnerabilidad permite ejecutar código dentro del proceso del navegador, mientras que el fallo de escape del sandbox facilita avanzar hacia un compromiso más amplio del sistema.

 
Recursos afectados
 
    • Versiones anteriores a 145.0.7632.159.
Recomendaciones
    • Actualizar Google Chrome a la versión 145.0.7632.159 o posterior.
    • Aplicar actualizaciones automáticas del navegador.
 
Referencias

Por último, te invitamos a compartir este boletín con tus allegados para fomentar y difundir una Cultura de la Ciberseguridad y buenas prácticas en el uso de las nuevas tecnologías.

Si tienes alguna inquietud sobre ciberseguridad o necesidad de formación en esta área, visita nuestras webs. Encontrarás consejos, cursos online, informes y mucho más contenido: https://www.csirtcv.gva.es/ y https://concienciat.gva.es/ y síguenos en nuestras redes sociales: Facebook (CSIRT-CV), X (@CSIRTCV) y ) i YouTube (@csirt-cv6271)