Se ha descubierto una importante vulnerabilidad de seguridad en Livewire Filemanager, un componente de gestión de archivos ampliamente utilizado en aplicaciones web desarrolladas con Laravel. Registrada como CVE-2025-14894 y con la nota de vulnerabilidad VU#650657, esta falla permite a atacantes no autenticados ejecutar código arbitrario en servidores vulnerables. El problema radica en una validación incorrecta de archivos en el componente LivewireFilemanagerComponent.php.

Fortinet lanza actualizaciones críticas para corregir vulnerabilidades graves (CVE-2025-64155 y CVE-2025-25249) en FortiSIEM y FortiOS/FortiSwitchManager que permiten ejecución remota de código sin autenticar, con intentos de explotación activos en FortiSIEM.

Una vulnerabilidad crítica de escalada de privilegios no autenticada en el plugin de WordPress Modular DS permite a los atacantes obtener acceso instantáneo de administrador, con explotación confirmada en la naturaleza. Afectando a más de 40.000 sitios, la falla en versiones hasta la 2.5.1 ha impulsado parches urgentes y mitigaciones por parte de Patchstack y el proveedor. Modular DS, desarrollado por modulards.com

Se ha descubierto una vulnerabilidad crítica de inyección de entidades externas XML (XXE) en Apache Struts 2, que podría exponer a millones de aplicaciones al robo de datos y la compromisión de servidores. La vulnerabilidad, identificada como CVE-2025-68493, afecta a múltiples versiones del popular framework y requiere acción inmediata por parte de desarrolladores y administradores de sistemas.

Fortinet ha revelado una vulnerabilidad crítica de desbordamiento de búfer basado en heap (CWE-122) en el demonio *cw_acd* de FortiOS y FortiSwitchManager. Este fallo permite a un atacante remoto no autenticado ejecutar código o comandos arbitrarios mediante el envío de peticiones especialmente diseñadas a través de la red. Las organizaciones que dependen de los firewalls de Fortinet, sus soluciones Secure Access Service Edge (SASE) y herramientas de gestión de switches se enfrentan a riesgos significativos.

En el panorama actual de amenazas en constante escalada, identificar y parchear vulnerabilidades abiertas se ha convertido en una prioridad máxima para los equipos de seguridad. Detectar CVEs de alto riesgo y armados, explotados por actores maliciosos y ransomware, entre miles de divulgaciones, resulta esencial. Investigadores de Qualys han destacado recientemente las 20 vulnerabilidades más explotadas, señalando que centran su atención principalmente en productos de Microsoft. 

Investigadores de seguridad han identificado vulnerabilidades críticas en React Router que permiten a los atacantes acceder o modificar archivos del servidor mediante recorrido de directorios. Las fallas afectan a múltiples paquetes dentro del ecosistema de React Router y tienen una puntuación CVSS v3 de 9.8, clasificándolas como de gravedad crítica.

Una vulnerabilidad de inyección de comandos en la extensión Spring CLI para VSCode representa un riesgo de seguridad para los desarrolladores que aún utilizan esta herramienta obsoleta. La falla, registrada como CVE-2026-22718, permite a los atacantes ejecutar comandos arbitrarios en las máquinas afectadas, lo que resulta en un impacto de gravedad media. La vulnerabilidad afecta a la extensión Spring CLI VSCode versión 0.9.0 y anteriores. 

Elastic ha lanzado actualizaciones de seguridad críticas que abordan cuatro vulnerabilidades significativas en su stack, incluyendo una falla de alta gravedad que permite la divulgación arbitraria de archivos a través de configuraciones de conectores comprometidas. Los parches resuelven problemas que afectan el manejo de archivos, la validación de entradas y los mecanismos de asignación de recursos en Kibana y componentes relacionados. La vulnerabilidad más grave combina el control de rutas de archivos externas con el procesamiento del lado del servidor

Se ha descubierto una grave vulnerabilidad de desbordamiento de búfer global en la utilidad untgz de zlib versión 1.3.1.2. Esta falla permite a los atacantes corromper la memoria e incluso ejecutar código malicioso mediante entradas especialmente diseñadas en la línea de comandos. El fallo de seguridad reside en la función TGZfname() de la utilidad untgz, donde una llamada strcpy() sin límites procesa nombres de archivos proporcionados por el usuario sin ninguna verificación de longitud

Se ha descubierto una vulnerabilidad crítica en el OWASP Core Rule Set (CRS) que permite a los atacantes eludir protecciones de seguridad importantes diseñadas para prevenir ataques basados en conjuntos de caracteres. La vulnerabilidad, identificada como CVE-2026-21876, afecta a la regla 922110 y tiene una puntuación de gravedad de 9.3 (CRÍTICA). 

La vulnerabilidad React2Shell (CVE-2025-55182) sigue enfrentando una campaña de explotación implacable, con actores de amenazas lanzando más de 8,1 millones de sesiones de ataque desde su divulgación inicial. Según los datos de GreyNoise Observation Grid, los volúmenes diarios de ataques se han estabilizado en 300.000–400.000 sesiones desde que alcanzaron un pico superior a 430.000 a finales de diciembre, lo que indica una explotación sostenida y coordinada.