OpenSSL ha emitido un aviso de seguridad alertando sobre una vulnerabilidad crítica (CVE-2026-45447) que podría permitir la ejecución remota de código. El fallo se encuentra en la función PKCS7_verify y ocurre cuando las aplicaciones procesan mensajes firmados S/MIME o PKCS7 manipulados, lo que puede provocar la corrupción de la memoria.

OpenSSL ha lanzado una amplia actualización de seguridad en abril de 2026 que corrige siete vulnerabilidades en las ramas soportadas, lideradas por CVE-2026-31790, una falla de severidad moderada en el encapsulamiento RSA KEM RSASVE que puede exponer memoria no inicializada a un par malicioso. El aviso recomienda a los usuarios de versiones vulnerables 3.x migrar a OpenSSL 3.0.20, 3.3.7, 3.4.5, 3.5.6 o 3.6.2, según corresponda.

Un equipo de ciberseguridad con asistencia de IA descubrió 12 vulnerabilidades Zero-Day en OpenSSL (algunas desde 1998) y 5 CVE en Curl, destacando que la IA superó limitaciones humanas al identificar fallos ocultos durante décadas en software crítico como OpenSSL (usado en gran parte de internet) y Curl, incluyendo errores de gravedad alta como desbordamientos de búfer que permiten ejecución remota de código.

OpenSSL parcheó 12 vulnerabilidades el 27 de enero de 2026, incluyendo una falla de alta gravedad que podría permitir la ejecución remota de código. La mayoría de los problemas causan ataques de denegación de servicio, pero destacan los riesgos en el análisis de datos no confiables. El problema más grave, CVE-2025-15467, afecta al análisis de CMS AuthEnvelopedData con cifrados AEAD como AES-GCM.

El proyecto OpenSSL ha implementado correcciones para contener dos fallas de alta gravedad en su biblioteca de criptografía ampliamente utilizada que podría resultar en una denegación de servicio (DoS) y ejecución remota de código.