VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🔴 Crítica VENCERT-2026-105 CVE-2026-118375 Activa
Oct. 28, 2026

Desbordamiento de Búfer Basado en Pila en llama.cpp (CVE-2026-118375)

Se ha descubierto una vulnerabilidad crítica de escritura fuera de límites (out-of-bounds write, clasificada como CWE-787) en la función rdma_recv() del transporte RDMA de ggml-rpc dentro de llama.cpp (versiones desde la b8841 hasta antes de la b11865). Esta falla permite que un par no autenticado sobrescriba la pila (stack) del servidor RPC.

Sistemas afectados: llama.cpp: Versiones comprendidas desde la compilación b8841 hasta la anterior a la b11865 que utilicen el transporte RDMA de ggml-rpc.

🔴 Crítica VENCERT-2026-117 CVE-2026-63190 Activa
Oct. 28, 2026

Bypass de Autenticación y Ejecución de Scripts de Depuración sin Autorización en FearlessCMS (CVE-2026-63190)

Se ha descubierto una vulnerabilidad crítica compuesta por múltiples fallas de seguridad en FearlessCMS (versiones anteriores a la 0.1.4). Cinco scripts de depuración y prueba ubicados en el directorio admin/ realizan operaciones privilegiadas sin verificar la autenticación del usuario mediante isLoggedIn(), omitiendo además controles contra falsificación de solicitudes (CSRF) y permitiendo saltos de directorio (path traversal, CWE-22, CWE-288, CWE-306). Esto permite que un atacante utilice URIs

Sistemas afectados: FearlessCMS: Todas las versiones anteriores a la 0.1.4.

🔴 Crítica VENCERT-2026-118 CVE-2026-14571 Activa
Oct. 28, 2026

Vulnerabilidad de Inyección de Comandos / Procesamiento Inseguro en Sistemas Afectados (CVE-2026-14571)

Se ha identificado una vulnerabilidad bajo el identificador CVE-2026-14571 que afecta a los mecanismos de control y validación de entradas. Esta deficiencia permite que un atacante con o sin autenticación previa manipule parámetros específicos para comprometer la integridad y confidencialidad del servicio subyacente.

Sistemas afectados: Asterisk Open Source: rama 20.x: Versiones anteriores a la 20.20.1, rama 21.x: Versiones anteriores a la 21.12.3, ama 22.x: Versiones anteriores a la 22.10.1, rama 23.x: Versiones anteriores a la 23.4.1 Certified Asterisk: versiones de la rama 20 anteriores a 20.7-cert11, versiones de la rama 22 anteriores a 22.8-cert3

🔴 Crítica VENCERT-2026-110 CVE-2026-105420 Activa
Oct. 28, 2026

Salto de Directorio (Path Traversal) y Ejecución Remota de Código en Wing FTP Server (CVE-2026-105420)

Se ha identificado una vulnerabilidad crítica de salto de directorio (Path Traversal, clasificada como CWE-22) en Wing FTP Server. El servidor no verifica correctamente la carpeta base del usuario, lo que permite que un atacante con privilegios administrativos agregue directorios de usuario mediante scripts y logre escapar del directorio raíz restringido.

Sistemas afectados: Wing FTP Server (Wing Soft Technology): Todas las versiones anteriores a la 8.2.6.

🔴 Crítica VENCERT-2026-102 CVE-2026-93866 Resuelta
Oct. 27, 2026

Vulnerabilidad (Integer Overflow) en WatchGuard Fireware OS Access Portal (CVE-2026-93866)

Se ha descubierto una vulnerabilidad crítica de desbordamiento de enteros (integer overflow, CWE-190) en el manejo de conexiones WebSocket del Access Portal de WatchGuard Fireware OS. Esto permite que un atacante remoto y sin autenticar sobrescriba memoria dinámica (heap buffer overflow, CWE-787) enviando solicitudes manipuladas.

Sistemas afectados: Fireware OS (Rama 2025/2026): Versiones desde la 2025.1 y anteriores a la 2026.4. Fireware OS (Rama 12.x): Versiones desde la 12.0 y anteriores a la 12.12.4. Fireware OS (Modelos específicos T15 / T35): Versiones desde la 12.0 y anteriores a la 12.5.22.

🔴 Crítica VENCERT-2026-103 CVE-2026-106076 Activa
Oct. 27, 2026

Inyección SQL y Ejecución Remota de Código Microsoft 365 (CVE-2026-106076)

Se ha identificado una vulnerabilidad crítica de inyección SQL (CWE-89) en Veeam Backup for Microsoft 365. Esta falla permite que un usuario autenticado como organization-transfer peer inyecte comandos SQL maliciosos en la base de datos de configuración del servidor de respaldo de origen.

Sistemas afectados: Veeam Backup for Microsoft 365: Versión 8.5.0.1014 y todas las compilaciones anteriores de la rama v8.

🔴 Crítica VENCERT-2026-107 CVE: CVE-2026-57191 Activa
Oct. 27, 2026

Desbordamiento de Búfer en Pila por Reproducción de Archivos en Asterisk (CVE-2026-57191)

Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en pila (stack-based buffer overflow, clasificada como CWE-121 y CWE-787) en Asterisk. Esta falla ocurre al procesar determinados flujos o archivos multimedia de entrada, permitiendo que un atacante manipule datos para desbordar los límites del búfer reservado en la pila del sistema.

Sistemas afectados: Asterisk Open Source: Versiones anteriores a 20.20.1, 21.12.3, 22.10.1 y 23.4.1. Certified Asterisk: Versiones anteriores a 20.7-cert11 y 22.8-cert3.

🔴 Crítica VENCERT-2026-100 CVE-2026-35616 Activa
Oct. 26, 2026

Falla de Elusión de Autenticación en Fortinet FortiClient EMS (CVE-2026-35616)

Se ha identificado una vulnerabilidad crítica de elusión de autenticación (Authentication Bypass) en Fortinet FortiClient EMS identificada como CVE-2026-35616. Esta falla permite a un atacante remoto no autenticado omitir los controles de acceso e interactuar directamente con el servidor de administración centralizada.

Sistemas afectados: Soluciones de gestión centralizada Fortinet FortiClient Enterprise Management Server (EMS).

🔴 Crítica VENCERT-2026-098 CVE-2026-109618 Activa
Oct. 22, 2026

Vulnerabilidad de Ejecución Remota de Código en PHP (CVE-2026-109618)

Identificación de la vulnerabilidad crítica CVE-2026-109618 en el motor de PHP (PHP2Shell), la cual permite a atacantes remotos no autenticados comprometer la integridad del servidor y ejecutar código arbitrario a través de una corrupción de memoria.

Sistemas afectados: Versiones de PHP 8.1.x, 8.2.x, 8.3.x, 8.4.x y 8.5.x