Posted on

Vulnerabilidad crítica en Microsoft 365 Copilot

 
 
S’ha identificat una vulnerabilitat de seguretat crítica en Microsoft 365 Copilot, registrada com a CVE-2026-24307, que podria permetre a un atacant no autoritzat divulgar informació sensible a través de la xarxa a causa d’una validació incorrecta del tipus d’entrada de dades. Esta vulnerabilitat forma part de les divulgacions de seguretat recents del proveïdor i representa un risc significatiu per als entorns corporatius que utilitzen Copilot.
 
Anàlisi
CVE-2026-24307 permet que un atacant amb accés a la xarxa envie una sol·licitud dissenyada per a explotar una fallada en la validació d’entrades de Copilot. Si la petició es processa, el sistema podria retornar informació interna o sensible. Així doncs, es tracta d’un vector de divulgació d’informació on les dades confidencials del servici poden filtrar-se sense comprometre directament el control del sistema.
 
L’atac no requerix credencials ni permisos especials, ja que un actor remot pot iniciar l’explotació únicament a través de la xarxa, sense necessitat d’accés físic. No obstant això, l’explotació efectiva depén d’una certa interacció de l’usuari, ja que la fallada només s’activa quan Copilot processa l’entrada manipulada dins d’un flux d’interacció vàlid.
 
Recursos afectats
    • Microsoft 365 Copilot: versions anteriors a les que contenen els pedaços de seguretat corresponents.
Recomendaciones
    • Consultar la guia d’actualitzacions de seguretat de Microsoft i confirmar que els pedaços corresponents a CVE-2026-24307 estiguen aplicats en el seu tenant/instància.
    • Avaluar restriccions i permisos d’accés a dades sensibles en Copilot per a minimitzar l’exposició.
Referències
    • https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-24307
    • https://www.cvedetails.com/cve/CVE-2026-24307/
    • https://www.ccn-cert.cni.es/ca/seguretat-al-dia/vulnerabilitats/view/47684.html

Finalment, et convidem a compartir este butlletí amb els teus afins per a fomentar i difondre una cultura de la ciberseguretat i bones pràctiques en l’ús de les noves tecnologies.

Si tens alguna inquietud sobre ciberseguretat o necessitat de formació en esta àrea, visita els nostres webs. Trobaràs consells, cursos en línia, informes i més continguts: https://www.csirtcv.gva.es/ i https://concienciat.gva.es/ i seguix-nos en les nostres xarxes socials, Facebook (CSIRT-CV), X (@CSIRTCV) i YouTube (@csirt-cv6271).

Posted on

Actualización de Google Chrome 145 – 11 vulnerabilidades corregidas

 
 
El 13 de febrer de 2026 Google va publicar la versió estable de Chrome 145, que soluciona 11 vulnerabilitats de seguretat, entre les quals s’inclouen tres defectes d’alta severitat que podrien permetre execució remota de codi o accions no autoritzades si no s’actualitza immediatament.
Anàlisi
L’actualització de Chrome 145 aborda defectes que afecten múltiples subsistemes del navegador:
Alta severitat (3):
    • CVE-2026-2313: problema use-after-free en el motor CSS (risc d’execució de codi).
    • CVE-2026-2314: heap buffer overflow en el component de Codecs.
    • CVE-2026-2315: implementació inapropiada en WebGPU.

Severitat mitjana (6): fallades de política, condicions de carrera o implementacions incorrectes en Frames, Animació, Picture-In-Picture, entrada d’arxius, Ozone i DevTools.

Baixa severitat (2): defectes en entrada d’arxius i descàrregues.

Encara que Google no reporta explotació activa d’estes fallades en el moment de la publicació, la naturalesa d’estos errors (bugs) (especialment els d’alta severitat) representa un risc significatiu si no es posa pedaços ràpidament.


Recursos afectats
    • Google Chrome 145.0.7632.45 per a Linux, Windows i Mac
    • Google Chrome 145.0.7632.46 per a Windows i Mac
Recomanacions
      • Actualitzar immediatament tots els navegadors Google Chrome a la versió 145.0.7632.45/46 o superior disponible en els canals oficials.
      • Verificar la implantació d’actualitzacions automatitzades per a assegurar que les versions vulnerables no continuen en ús.
      • Informar els usuaris finals sobre la importància de tancar i reiniciar el navegador després d’actualitzar, per a assegurar que la nova versió quede activa.
Referencias
    • https://www.securityweek.com/chrome-145-patches-11-vulnerabilities/
    • Finalment, et convidem a compartir este butlletí amb els teus afins per a fomentar i difondre una Cultura de la Ciberseguretat i les bones pràctiques en l’ús de les noves tecnologies.

      Si tens alguna inquietud sobre ciberseguretat o necessitat de formació en esta àrea, visita les nostres webs. Trobaràs consells, cursos en línia, informes i molt més contingut: https://www.csirtcv.gva.es/ i https://concienciat.gva.es/ i seguix-nos en les nostres xarxes socials: Facebook (CSIRT-CV), X (@csirtcv) i  YouTube (@csirt-cv6271).

Posted on

Parche – Microsoft

 

Microsoft ha publicat recentment les seues actualitzacions de seguretat corresponents a febrer de 2026, i ha corregit un total de 58 vulnerabilitats que afecten diferents components del sistema operatiu Windows i altres productes.

Entre les vulnerabilitats corregides s’inclouen fallades d’execució remota de codi (RCE), elevació de privilegis, bypass de funcions de seguretat, divulgació d’informació i denegació de servici (DoS).

Este tipus de vulnerabilitats suposa un risc rellevant en entorns corporatius, especialment en estacions de treball i servidors Windows, on una explotació exitosa podria comprometre la confidencialitat, integritat i disponibilitat dels sistemes.

Anàlisi

En esta actualització Microsoft ha corregit un total de 58 vulnerabilitats, distribuïdes de la manera següent:

    • 25 d’elevació de privilegis
    • 12 d’execució remota de codi (RCE)
    • 6 de divulgació d’informació
    • 7 de suplantació
    • 5 bypass de funcions de seguretat
    • 3 de denegació de servici (DoS)

D’especial rellevància s’han corregit 6 vulnerabilitats de dia zero que es troben explotades activament. Tres d’elles, a més, estaven divulgades públicament:

    • CVE-2026-21510 (Windows Shell): permet saltar-se SmartScreen/MoTW mitjançant enllaços o accessos directes maliciosos.
    • CVE-2026-21513 (MSHTML): bypass de seguretat sense detalls tècnics publicats.
    • CVE-2026-21514 (Microsoft Word): un document maliciós pot evadir mitigacions OLE.
    • CVE-2026-21519 (Desktop Window Manager): permet escalada a privilegis SYSTEM.
    • CVE-2026-21525 (Remote Access Connection Manager): DoS local, detectat en programari maliciós públic.
    • CVE-2026-21533 (Remote Desktop Services): permet elevar privilegis i afegir usuaris al grup d’administradors.

Addicionalment, Microsoft ha anunciat una actualització important relacionada amb Secure Boot i ha iniciat el desplegament gradual de nous certificats per a substituir els certificats de 2011, que expiren en juny de 2026. Este desplegament s’aplicarà progressivament segons senyals d’actualització correctes.

 

Recursos afectats

    • Sistemes Windows (estacions de treball i servidors).
    • Infraestructures amb servicis habilitats com Remote Desktop Services.
    • Equips amb Microsoft Office (especialment Word).
    • Sistemes que depenguen de Secure Boot.

Recomanacions

    • Revisar si els sistemes Windows de l’organització estan actualitzats amb els pedaços de febrer de 2026.
    • Prioritzar l’actualització en equips exposats a la xarxa, servidors crítics i equips d’usuaris amb accés a informació sensible.
    • Aplicar les actualitzacions de Microsoft seguint els procediments corporatius establits.
    • Revisar especialment entorns amb RDP habilitat i estacions de treball que reben documents externs.
    • Monitorar els sistemes després de l’actualització per a detectar comportaments anòmals.
    • Tindre en compte el desplegament progressiu dels nous certificats de Secure Boot i validar la seua compatibilitat en entorns crítics.

Referències

Posted on

Parche – Adobe

 

Adobe ha publicat recentment la seua actualització de seguretat de febrer de 2026, i ha corregit un total de 44 vulnerabilitats detectades per investigadors externs.

Algunes d’estes vulnerabilitats s’han classificat com a crítiques, ja que podrien permetre l’execució arbitrària de codi a un atacant, a més d’altres impactes com ara l’exposició de memòria o la denegació de servici (DoS).

Este tipus de vulnerabilitats suposa un risc rellevant en entorns corporatius, especialment en estacions de treball on s’utilitzen ferramentes Adobe per a la producció, l’edició o el tractament de continguts, ja que una explotació exitosa podria comprometre la integritat i disponibilitat dels equips.

Anàlisi

Les correccions publicades per Adobe afecten múltiples productes:

    • Adobe Audition
    • Adobe After Effects
    • Adobe InDesign Desktop
    • Adobe Bridge
    • Adobe Lightroom Classic
    • Adobe DNG SDK
    • Substance 3D Designer
    • Substance 3D Stager
    • Substance 3D Modeler

Més de la mitat de les vulnerabilitats corregides (més de dos dotzenes) podrien permetre l’execució arbitrària de codi, motiu pel qual s’han considerat crítiques per part d’Adobe. No obstant això, el conjunt de vulnerabilitats es classifica com d’alt risc segons CVSS.

La resta de vulnerabilitats corregides corresponen a fallades:

    • D’exposició de memòria
    • De denegació de servici (DoS)

Estes es consideren de severitat “important” (equivalent a severitat mitjana en CVSS).

Adobe indica que no existix evidència d’explotació activa d’estes vulnerabilitats en el món real. A més, a totes se’ls ha assignat la prioritat 3, la qual cosa suggerix un risc baix d’explotació imminent.

La majoria de les fallades les van reportar els investigadors coneguts com a “Yjdfy” i “Voidexploit”.

 

Recursos afectats

Infraestructures i estacions de treball que utilitzen algun dels productes Adobe inclosos en l’actualització de febrer de 2026, especialment:

    • Adobe Audition
    • Adobe After Effects
    • Adobe InDesign Desktop
    • Adobe Bridge
    • Adobe Lightroom Classic
    • Adobe DNG SDK
    • Adobe Substance 3D (Designer, Stager, Modeler)

Addicionalment es recomana revisar l’impacte en productes Adobe d’ús comú en l’organització, com ara el següents:

    • Adobe Acrobat
    • Adobe Reader
    • Adobe Flash Player
    • Adobe Type Manager Library

Recomanacions

    • Revisar si els productes afectats d’Adobe estan instal·lats en l’organització.
    • Aplicar les actualitzacions i els pedaços de seguretat publicats per Adobe segons les seues guies oficials.
    • Prioritzar l’actualització en estacions de treball d’usuaris amb major exposició (equips de disseny, comunicació, màrqueting, etc.).
    • Monitorar els sistemes després de l’actualització per a detectar comportaments anòmals o interrupcions del servici.
    • Mantindre un inventari actualitzat del programari per a facilitar la identificació d’impactes davant de futurs avisos de seguretat.

Referències