Se ha detectado una vulnerabilidad crítica (CVE-2026-59270) en el servidor LDAP de UnboundID embebido en Spring Security. Este fallo permite que atacantes remotos obtengan acceso administrativo a directorios LDAP en memoria, afectando a aplicaciones que utilizan UnboundIdContainer o la autoconfiguración de LDAP de Spring Boot.

Se ha revelado una vulnerabilidad en Apache CXF, identificada como CVE-2026-44930, que afecta a los servicios XKMS. Este fallo de severidad importante se encuentra en el componente del repositorio de certificados basado en LDAP, lo que podría permitir a atacantes obtener certificados digitales arbitrarios de los sistemas vulnerables.

Fortinet ha revelado una vulnerabilidad de alta gravedad en FortiOS, identificada como CVE-2026-22153 (FG-IR-25-1052), que podría permitir a atacantes no autenticados eludir la autenticación LDAP en políticas de VPN sin agente o Fortinet Single Sign-On (FSSO). Clasificada bajo CWE-305 (Authentication Bypass by Primary Weakness), la falla reside en el demonio fnbamd y requiere configuraciones específicas del servidor LDAP que permitan la autenticación no autenticada.

CVE-2024-49112 es una vulnerabilidad crítica en el cliente LDAP de Windows que según Microsoft permite la ejecución remota de código. Este exploit aprovecha la vulnerabilidad para bloquear los sistemas Windows Server de destino mediante la interacción con su Netlogon Remote Protocol (NRPC), y el cliente LDAP.

Se ha dado  a conocer la noticia de que fue identificada otra vulnerabilidad en la implementación de búsquedas JNDI en la biblioteca Log4j 2 (CVE-2021-45046), que se manifiesta a pesar de las correcciones agregadas en la versión 2.15 e independientemente del uso de la configuración de protección «log4j2.noFormatMsgLookup».

Una vulnerabilidad zero-day recientemente descubierta en la biblioteca de registro de Java Apache Log4j, ampliamente utilizada (iCloud, Steam, incluso expotable en el chat de Minecraft), es muy fácil de explotar y permite a los atacantes obtener el control total de los servidores afectados. La vulnerabilidad, clasificada como CVE-2021-44228, es muy grave ya que permite la ejecución remota de código sin autenticación cuando el usuario que ejecuta la aplicación utiliza la biblioteca de registro de Java. Afecta Apache Struts2, Apache Solr, Apache Druid, Apache Flink.

Google absorbió un DDoS de 2.5 Tbps  con 167 Mpps  (millions of packets per second), en español  167 millones de paquetes por segundo recibió la red Google sin causar ningún impacto.  El ataque fue cuatro veces mayor que el de la botnet Mirai de 2016. Supera, también, al sufrido por Amazon AWS a principios de año 2020. Google cree que el ataque fue perpetrado por algún "actor" patrocinado por un país-nación. Y dice que 3 ASN Chinos fueron de los más involucrados en el ataque. A buen entendedor, pocas palabras bastan.

Amazon AWS (Amazon Web Services) dice haber mitigado el mayor ataque DDoS de la historia: un incidente que causó un tráfico de 2,3 Tbps. Según recoge ZDNet, Amazon lidió recientemente con un ataque que suponía 2,3 Tbps de tráfico y 385 MPPS (million packets per second). Una cifra particularmente alta no sólo por la cantidad en sí, sino por ser mucho más grande que la mayoría de ataques DDoS que se producen. Amazon comentó este ataque en el último informe de Amazon AWS Shield, el sistema encargado de vigilar la seguridad de la infraestructura de servidores AWS.