Se ha detectado una vulnerabilidad crítica (CVE-2026-46376) en la plataforma de código abierto FreePBX. Este fallo, localizado en el módulo userman del Panel de Control de Usuario (UCP), permite que atacantes no autenticados accedan a los portales de usuario debido al uso de credenciales embebidas (hard-coded). Las versiones afectadas son aquellas anteriores a la 16.0.45 y 17.0.7.

Se ha detectado una nueva vulnerabilidad en NGINX JavaScript (njs), identificada como CVE-2026-8711. Esta falla permite que atacantes remotos no autenticados provoquen un desbordamiento de búfer basado en el heap, lo que podría resultar en la denegación de servicio (DoS) y, en ciertas condiciones, en la ejecución remota de código en el proceso trabajador de NGINX. El problema se origina en la forma en que la directiva js_fetch_proxy gestiona variables controladas por el cliente al combinarse con la operación ngx.fetch().

El Grupo de Desarrollo Global de PostgreSQL ha lanzado actualizaciones de seguridad críticas para todas sus ramas compatibles. Estas versiones (18.4, 17.10, 16.14, 15.18 y 14.23) corrigen 11 vulnerabilidades, entre las que destacan fallos de ejecución arbitraria de código y diversas inyecciones de SQL, además de resolver más de 60 errores reportados.

Se ha revelado una vulnerabilidad crítica en Apache Flink (CVE-2026-35194) que permite la ejecución remota de código (RCE). El fallo se encuentra en el mecanismo de generación de código SQL, donde una falta de sanitización de las entradas del usuario permite ataques de inyección SQL en entornos de procesamiento de datos distribuidos.

La agencia CISA de EE. UU. dejó expuesto durante seis meses un repositorio de GitHub con contraseñas, claves privadas y credenciales de AWS y Azure. Un investigador de GitGuardian descubrió la filtración, que incluía prácticas de seguridad deficientes, y alertó a la agencia para que eliminara el contenido. Aunque CISA investiga el incidente, afirma que no hay indicios de que los datos sensibles hayan sido comprometidos.

Un contratista de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de EE. UU. cometió un grave error de seguridad al publicar accidentalmente credenciales confidenciales de la nube del gobierno en un repositorio público de GitHub llamado “Private-CISA”. El repositorio estuvo expuesto hasta mediados de mayo de 2026 y contenía datos críticos, incluyendo credenciales de AWS GovCloud y contraseñas en texto plano.

Se ha publicado un código de prueba para la vulnerabilidad DirtyDecrypt (CVE-2026-31635), la cual permite la escalada de privilegios locales en el kernel de Linux. Este fallo afecta a distribuciones como Fedora y Arch Linux, permitiendo que usuarios sin permisos modifiquen archivos restringidos para obtener acceso root. Ante la frecuencia de estos errores, se propone implementar un interruptor de emergencia para desactivar funciones vulnerables del kernel en tiempo real.