VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🔴 Crítica VENCERT-2026-053 CVE-2026-33824 Activa
Aug. 17, 2026

Microsoft Internet Key Exchange (IKE) Service Extensions Double Free Vulnerability

Es una vulnerabilidad crítica (con una puntuación CVSS de 9.8) en la extensión del protocolo IKE (Internet Key Exchange) de Microsoft Windows. Permite a un atacante remoto no autorizado ejecutar código arbitrario en el sistema afectado a través de la red sin necesidad de autenticación ni interacción del usuario.

Sistemas afectados: Servidores y estaciones de trabajo Windows que ejecutan extensiones del servicio Internet Key Exchange (IKE/Ipsec).

🟡 Media VENCERT-2026-060 CVE-2026-9540 Resuelta
Aug. 17, 2026

Escalada de Privilegios Local (LPE) en el Servicio de Autenticación de Consola Segura (OpenSSH).

Un desbordamiento de búfer en la gestión de variables de entorno durante el proceso de autenticación PAM permite a un usuario autenticado con privilegios mínimos en la shell elevar su acceso a usuario administrador (root).

Sistemas afectados: Servidor OpenSSH en versiones de la 8.9p1 a la 9.7p1 instaladas en distribuciones Linux empresariales (RedHat, Debian, Kali Linux). Entornos con autenticación PAM (Pluggable Authentication Modules) personalizada habilitada.

🟢 Baja VENCERT-2026-052 CVE-2026-0301 Activa
Aug. 14, 2026

Divulgación de Información Sensible en la Función de Filtrado de URL de Palo Alto PAN-OS

Sistemas Afectados Dispositivos de seguridad Palo Alto Networks que ejecuten PAN-OS (ramas 11.1 y 10.2), Prisma Access (rama 10.2) y Cloud NGFW en entornos AWS y Azure que empleen páginas de bloqueo/respuesta de filtrado de URL personalizadas. Las ramas 12.1 y 11.2 no están afectadas.

Sistemas afectados: Firewalls con PAN-OS 11.1 (< 11.1.16-h1), PAN-OS 10.2 (< 10.2.8), Prisma Access 10.2 (< 10.2.10) y Cloud NGFW en AWS/Azure que tengan habilitado el filtrado de URL con páginas de respuesta HTML personalizadas.

🔴 Crítica VENCERT-2026-051 CVE-2026-59310 Activa
Aug. 13, 2026

Ejecución Remota de Código (RCE) por Salto de Directorio (Path Traversal) en el Servidor Syslog de VMware vCenter

Sistemas Afectados Soluciones de virtualización y gestión de infraestructura VMware: vCenter Server, Cloud Foundation, vSphere Foundation, Telco Cloud Platform y Telco Cloud Infrastructure en las versiones y ramas afectadas.

Sistemas afectados: VMware vCenter Server (versiones 9.1.x.x anteriores a 9.1.0.0300, 9.0.x.x anteriores a 9.0.2.0100 y 8.0 anteriores a 8.0 U3k), así como soluciones integradas dependientes (VMware Cloud Foundation 9.1.x/9.0.x/5.x, vSphere Foundation 9.1.x/9.0.x y Telco Cloud Platform / Infrastructure).

🔴 Crítica VENCERT-2026-049 CVE-2026-9210 En seguimiento
Aug. 11, 2026

Inyección de Comandos en la Interfaz de Gestión Web de Infraestructura Virtualizada.

Una vulnerabilidad de inyección de comandos en la API de configuración de túneles VPN permite a un usuario autenticado con permisos limitados elevar privilegios y ejecutar órdenes arbitrarias en el host del hipervisor principal (pve-cluster).

Sistemas afectados: - Paneles de administración web de hipervisores Linux (Proxmox VE, OpenMediaVault) con módulos de gestión de VPN integrados (OpenVPN / WireGuard). - Servidores de hipervisión expuestos a redes de administración sin doble factor de autenticación (2FA) forzado.

🔴 Crítica VENCERT-2026-048 CVE-2026-8104 Activa
Aug. 10, 2026

Ejecución de Código Remoto (RCE) no autenticada en el agente endpoint de monitoreo de seguridad.

Se ha descubierto un fallo crítico en el protocolo de comunicación cliente-servidor que permite a un atacante en la red local o con acceso a la red de gestión inyectar comandos de sistema arbitrarios con privilegios de root o SYSTEM en los agentes de monitoreo.

Sistemas afectados: Agentes de monitoreo endpoint (Wazuh / agentes SIEM de código abierto) en versiones 4.9.0 a 4.9.4. Endpoint instalados sobre distribuciones Linux (Debian, Ubuntu, RedHat) y Windows Server actuando como nodos cliente.

🔴 Crítica VENCERT-2026-047 CVE-2026-64638 Resuelta
Aug. 7, 2026

Cross-Site Scripting (XSS) a Ejecución de Código (XSS2Shell)

Vulnerabilidad de tipo Scripting Entre Sitios (Cross-Site Scripting - XSS) que permite la escalada a ejecución remota de código (RCE / XSS2Shell) identificada como CVE-2026-64638. El fallo técnico se localiza en la falta de higienización de entradas de usuario (CWE-79) combinada con una inadecuada separación de privilegios entre la capa de interfaz web y el entorno de ejecución del sistema operativo.

Sistemas afectados: Aplicaciones web, paneles de administración y clientes de escritorio vulnerables a la inyección y escalada de código. Versiones anteriores al parche de seguridad correspondiente.

🟠 Alta VENCERT-2026-046 CVE-2026-43284 Activa
Aug. 6, 2026

Escalada de Privilegios Local (LPE) por Procesamiento Criptográfico Inseguro en los Subsistemas xfrm-ESP y RxRPC del Kernel de Linux

Un procesamiento criptográfico inseguro sobre fragmentos de búfer de sockets compartidos permite a un atacante local con privilegios mínimos corromper el contenido de la caché de páginas (page-cache) de archivos legibles del sistema, incluyendo archivos críticos del SO.

Sistemas afectados: Servidores y estaciones de trabajo basados en el Kernel de Linux (RHEL, CentOS Stream, Rocky Linux, AlmaLinux, Debian, Ubuntu, entre otros).

🔴 Crítica VENCERT-2026-044 CVE-2026-8713 Resuelta
Aug. 5, 2026

Eliminación Arbitraria de Archivos No Autenticada en el Plugin Avada Builder para WordPress

Vulnerabilidad de tipo salto de directorio (Path Traversal) que deriva en la eliminación arbitraria de archivos (CWE-22) en el plugin "Avada (Fusion) Builder" para WordPress (CVE-2026-8713).

Sistemas afectados: Sitios web basados en el CMS WordPress que utilicen el plugin constructor afectado: Avada (Fusion) Builder: Todas las versiones anteriores y hasta la versión 3.15.3 inclusive.