Una vulnerabilidad de alta gravedad recientemente descubierta en el popular editor de texto Vim expone a los usuarios a la ejecución arbitraria de comandos en el sistema operativo. Registrada como CVE-2026-34982, la falla se basa en un bypass de la zona de pruebas (*sandbox*) del *modeline* que se activa cuando una víctima abre un archivo especialmente diseñado. 

Se ha revelado una vulnerabilidad crítica de seguridad en el mecanismo de restauración de copias de seguridad de Nginx-UI, identificada como CVE-2026-33026. Esta falla permite a los actores de amenazas manipular archivos de respaldo cifrados e inyectar configuraciones maliciosas durante el proceso de restauración. Con un exploit de prueba de concepto (PoC) público ahora disponible, las implementaciones sin parches corren un riesgo inmediato de compromiso total del sistema.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) ha emitido una advertencia urgente sobre una vulnerabilidad crítica que afecta a los productos Citrix NetScaler. Identificada como CVE-2026-3055, esta falla de seguridad ha sido añadida oficialmente al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA tras confirmarse evidencia de explotación activa en la naturaleza. 

Explotación activa de CVE-2025-32975 (CVSS 10.0) en Quest KACE SMA sin parchear permite bypass de autenticación y control administrativo, con riesgos de movimientos laterales a sistemas críticos como controladores de dominio y backups.

Una vulnerabilidad significativa en el parche de intercambio de claves GSSAPI fue aplicada por numerosas distribuciones de Linux en sus paquetes de OpenSSH. La falla, identificada como CVE-2026-3497, fue descubierta por el investigador de seguridad Jeremy Brown. Permite a un atacante provocar la caída de procesos secundarios de SSH de manera confiable y potencialmente violar los límites de separación de privilegios, todo con un único paquete de red manipulado.

Un zero-day en el kernel de gráficos de Qualcomm (CVE-2026-21385), con puntuación CVSS de 7.8, está siendo explotado en ataques dirigidos posiblemente vinculados a spyware comercial o grupos estatales. Google confirmó su explotación limitada, similar a casos previos de herramientas de vigilancia. Qualcomm ya distribuyó parches a fabricantes, pero su despliegue depende de los OEM, retrasando la protección en dispositivos Android.

La CISA alerta sobre la explotación activa de la vulnerabilidad CVE-2026-1731 en BeyondTrust Remote Support y Privileged Remote Access, usada en ataques de ransomware, instando a parchear urgentemente sistemas on-prem/self-hosted expuestos.

Un aviso de seguridad ha revelado múltiples vulnerabilidades en Jenkins Core, incluyendo una falla de Cross-Site Scripting (XSS) almacenado que podría exponer los entornos de compilación a graves riesgos de seguridad. Los problemas, identificados como CVE-2026-27099 y CVE-2026-27100, fueron reportados de manera responsable bajo el Programa de Recompensas por Errores de Jenkins, patrocinado por la Comisión Europea. La más crítica de las dos, registrada como CVE-2026-27099, es una vulnerabilidad de XSS almacenado

La aparición de un ecosistema de divulgación de vulnerabilidades distinto en China ha añadido una capa compleja al panorama global de amenazas. A diferencia del sistema centralizado de CVE utilizado a nivel internacional, China mantiene dos bases de datos separadas: el CNVD y el CNNVD, que operan con plazos y prioridades de divulgación diferentes. 

Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en el paquete langchain/community, que afecta a versiones hasta la 1.1.13. La falla, registrada como CVE-2026-26019, tiene una calificación de severidad moderada, con una puntuación CVSS 3.1, debido a su potencial para exponer metadatos sensibles en la nube e infraestructura interna. La vulnerabilidad se origina en la clase RecursiveUrlLoader, que realiza rastreo web recursivo. 

Un equipo de ciberseguridad con asistencia de IA descubrió 12 vulnerabilidades Zero-Day en OpenSSL (algunas desde 1998) y 5 CVE en Curl, destacando que la IA superó limitaciones humanas al identificar fallos ocultos durante décadas en software crítico como OpenSSL (usado en gran parte de internet) y Curl, incluyendo errores de gravedad alta como desbordamientos de búfer que permiten ejecución remota de código.