SonicWall ha corregido cuatro vulnerabilidades en sus dispositivos Secure Mobile Access (SMA) serie 1000, destacando una falla crítica de solicitud de falsificación del lado del servidor (SSRF) con una puntuación CVSS máxima de 10.0. Este error permitiría que un atacante remoto, sin necesidad de credenciales válidas, obligue al dispositivo a enviar solicitudes en su nombre para acceder a funciones internas y realizar operaciones no autorizadas.

Investigadores de HawkTrace han revelado detalles técnicos sobre una vulnerabilidad de solicitud服务端 falsificada (SSRF) de gravedad alta en Microsoft Exchange, identificada como CVE-2026-45504. Con una puntuación CVSS de 8.8, este fallo permite que usuarios autenticados con bajos privilegios lean archivos arbitrarios de los servidores afectados, lo que representa un riesgo significativo para las empresas que utilizan implementaciones locales.

Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en el paquete langchain/community, que afecta a versiones hasta la 1.1.13. La falla, registrada como CVE-2026-26019, tiene una calificación de severidad moderada, con una puntuación CVSS 3.1, debido a su potencial para exponer metadatos sensibles en la nube e infraestructura interna. La vulnerabilidad se origina en la clase RecursiveUrlLoader, que realiza rastreo web recursivo. 

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) ha emitido una advertencia sobre una vulnerabilidad crítica en GitLab Community y Enterprise Editions que está siendo explotada activamente en ataques. Esta falla, identificada como CVE-2021-39935, ha sido añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) debido a su gravedad y al riesgo que representa para las organizaciones que utilizan versiones afectadas de GitLab.

Fortinet reveló una vulnerabilidad de Server-Side Request Forgery (SSRF) en su dispositivo FortiSandbox el 13 de enero de 2026, instando a los usuarios a actualizar debido a los riesgos de que solicitudes proxy accedan a la red interna. Registrada como CVE-2025-67685 (FG-IR-25-783), la falla se encuentra en el componente GUI y proviene de CWE-918, permitiendo a atacantes autenticados crear solicitudes HTTP que actúan como proxy del tráfico hacia sistemas internos en texto plano.

GTSC Blue Team determinaron que el ataque utilizó una vulnerabilidad Zero-Day, por lo que inmediatamente se elaboró ​​un plan de contención temporal. Al mismo tiempo, los expertos de Red Team comenzaron a investigar y depurar el código descompilado de Exchange para encontrar la vulnerabilidad y explotar el código. Un par de vulnerabilidades web-shell encadenadas que afectan a las versiones 2013, 2016 y 2019 de Exchange Server, con la ayuda del frecuentemente abusado PowerShell, parece ser una combinación de ataque válida. Después de la divulgación pública del exploit por parte de la firma de seguridad GTSC, Microsoft emitió una guía sobre el problema (que describen como limitado y dirigido, pero real) antes de emitir las actualizaciones en su cadencia habitual.

Esta vulnerabilidad de la versión 2.4.48 de Apache HTTP Server (httpd) puede dar lugar a la falsificación de peticiones del lado del servidor, y se puede aprovechar a distancia si un módulo concreto está habilitado (mod_proxy).

 VMware ha publicado actualizaciones de seguridad para abordar una vulnerabilidad de gravedad alta en vRealize Operations que podría permitir a los atacantes robar credenciales de administrador después de explotar servidores vulnerables.