La CISA alerta sobre la explotación activa de la vulnerabilidad CVE-2026-1731 en BeyondTrust Remote Support y Privileged Remote Access, usada en ataques de ransomware, instando a parchear urgentemente sistemas on-prem/self-hosted expuestos.

Un aviso de seguridad ha revelado múltiples vulnerabilidades en Jenkins Core, incluyendo una falla de Cross-Site Scripting (XSS) almacenado que podría exponer los entornos de compilación a graves riesgos de seguridad. Los problemas, identificados como CVE-2026-27099 y CVE-2026-27100, fueron reportados de manera responsable bajo el Programa de Recompensas por Errores de Jenkins, patrocinado por la Comisión Europea. La más crítica de las dos, registrada como CVE-2026-27099, es una vulnerabilidad de XSS almacenado

La aparición de un ecosistema de divulgación de vulnerabilidades distinto en China ha añadido una capa compleja al panorama global de amenazas. A diferencia del sistema centralizado de CVE utilizado a nivel internacional, China mantiene dos bases de datos separadas: el CNVD y el CNNVD, que operan con plazos y prioridades de divulgación diferentes. 

Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en el paquete langchain/community, que afecta a versiones hasta la 1.1.13. La falla, registrada como CVE-2026-26019, tiene una calificación de severidad moderada, con una puntuación CVSS 3.1, debido a su potencial para exponer metadatos sensibles en la nube e infraestructura interna. La vulnerabilidad se origina en la clase RecursiveUrlLoader, que realiza rastreo web recursivo. 

Un equipo de ciberseguridad con asistencia de IA descubrió 12 vulnerabilidades Zero-Day en OpenSSL (algunas desde 1998) y 5 CVE en Curl, destacando que la IA superó limitaciones humanas al identificar fallos ocultos durante décadas en software crítico como OpenSSL (usado en gran parte de internet) y Curl, incluyendo errores de gravedad alta como desbordamientos de búfer que permiten ejecución remota de código.

Se ha descubierto una falla crítica de seguridad en el Servicio de Informes de Errores de Windows, que permite a atacantes con acceso de usuario estándar escalar sus privilegios hasta el nivel de SYSTEM. La vulnerabilidad CVE-2026-20817, parcheada por Microsoft en enero de 2026, representa una amenaza significativa para los entornos Windows debido a su baja complejidad de ataque y su potencial para comprometer por completo el sistema. 

Se ha descubierto una vulnerabilidad crítica de seguridad en ingress-nginx, un popular controlador de ingreso para Kubernetes, que podría permitir a atacantes autenticados ejecutar código arbitrario y acceder a secretos sensibles del clúster. La vulnerabilidad, identificada como CVE-2026-24512, afecta a múltiples versiones del software y requiere una acción inmediata por parte de los administradores.

Fortinet presenta una vulnerabilidad crítica (CVE-2026-24858) que permite el bypass de autenticación SSO en FortiCloud, posibilitando a un atacante remoto sin credenciales acceder como administrador explotando fallos en el sistema de Single Sign-On.

OpenSSL parcheó 12 vulnerabilidades el 27 de enero de 2026, incluyendo una falla de alta gravedad que podría permitir la ejecución remota de código. La mayoría de los problemas causan ataques de denegación de servicio, pero destacan los riesgos en el análisis de datos no confiables. El problema más grave, CVE-2025-15467, afecta al análisis de CMS AuthEnvelopedData con cifrados AEAD como AES-GCM.

Chainguard publicó el informe "El estado del Código Abierto confiable", analizando 1.800 proyectos de contenedores y 10.100 vulnerabilidades (CVE), destacando que Python (71,7%) y Node (56,5%) dominan el uso en producción, pero el 98% de los CVE se concentran en imágenes menos populares. El 44% de clientes usa imágenes FIPS por cumplimiento normativo, y el 61,4% de las cargas de trabajo dependen de imágenes de "cola larga", subrayando la necesidad de asegurar toda la cadena de suministro, no solo los proyectos principales.

Instalar aplicaciones desde la Snap Store es algo habitual para muchos usuarios de Ubuntu y otras distribuciones. Las ventajas son evidentes, pero ¿y los riesgos? ¿Los hay? La historia nos ha demostrado que sí, y aunque Canonical se esfuerza en evitarlo, la seguridad absoluta no existe.

Microsoft ha corregido 56 vulnerabilidades de seguridad en Windows, incluyendo tres ataques Zero-Day, uno de los cuales está siendo explotado activamente. Se detallan las categorías de vulnerabilidades: 28 de elevación de privilegios, 19 de ejecución remota de código, 4 de divulgación de información, 3 de denegación de servicio y 2 de suplantación de identidad. En total, Microsoft ha abordado 1.275 CVE en 2025, con una vulnerabilidad crítica, CVE-2025-62221, en el controlador de minifiltros de Windows Cloud Files que permite elevar privilegios localmente. Otras vulnerabilidades Zero-Day incluyen CVE-2025-54100 en Windows PowerShell y CVE-2025-64671 en GitHub Copilot para JetBrains.