VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🟠 Alta VENCERT-2026-109 CVE-2026-87103 Activa
Oct. 28, 2026

Validación Incorrecta de Firma Criptográfica y Tokens en Acronis Cyber Protect 17 (CVE-2026-87103)

Se ha identificado una vulnerabilidad de verificación incorrecta de firma criptográfica y validación de tokens (Improper Verification of Cryptographic Signature, clasificada como CWE-347) en Acronis Cyber Protect 17. Esta deficiencia en la validación de tokens permite que un atacante manipule información sensible o consiga la divulgación de datos protegidos.

Sistemas afectados: Acronis Cyber Protect 17: Versiones para plataformas Linux y Windows anteriores al build 42587 (Acronis Cyber Protect 17 Update 1).

🟠 Alta VENCERT-2026-106 CVE-2026-57197 Activa
Oct. 28, 2026

Explotación de Subida de Archivos Peligrosos sin Autenticación en PuMuKIT (CVE-2026-4337)

Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en montículo (heap-based buffer overflow, clasificada como CWE-122 y CWE-787) en el módulo format_ogg_speex de Asterisk. Esta falla se origina por una operación memcpy sin acotar (unbounded memcpy) al procesar paquetes de datos de audio OGG/Speex, lo que provoca la corrupción de la memoria y el bloqueo repentino (crash) del servicio al leer archivos maliciosos o corruptos.

Sistemas afectados: El conjunto de versiones vulnerables de Asterisk (toolkit de telefonía de código abierto y PBX) incluye: versiones de la rama 20.x anteriores a la 20.20.1, versiones de la rama 21.x anteriores a la 21.12.3, versiones de la rama 22.x anteriores a la 22.10.1, versiones de la rama 23.x anteriores a la 23.4.1 y certified Asterisk: versiones anteriores a 20.7-cert11 y 22.8-cert3.

🟠 Alta VENCERT-2026-104 CVE-2026-4337 Activa
Oct. 27, 2026

Carga No Restringida de Archivos Peligrosos en la Aplicación PuMuKIT (CVE-2026-4337)

Se ha identificado una vulnerabilidad crítica de carga de archivos con tipos peligrosos sin restricciones (Unrestricted Upload of File with Dangerous Type, clasificada como CWE-434) en la aplicación PuMuKIT. Esta falla permite que un atacante no autenticado cargue cualquier tipo de archivo al servidor, dirigiéndolo a cualquier ruta en la que el usuario del servidor web posea permisos de escritura. Esto también podría permitir la eliminación arbitraria de archivos del sistema.

Sistemas afectados: PuMuKIT Application: Todas las versiones actuales de la plataforma de gestión de video educativo y multimedia PuMuKIT.

🟠 Alta VENCERT-2026-108 CVE-2026-57188 Activa
Oct. 27, 2026

Desbordamiento de Búfer en Pila por Manejo de Prefijos XMPP en Asterisk (CVE-2026-57188)

Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en pila (stack-based buffer overflow, clasificada como CWE-787 / escritura fuera de límites) en el módulo res_xmpp de Asterisk. Esta falla se produce durante el manejo de los prefijos de espacio de nombres (XMPP namespace prefix) al procesar paquetes meticulosamente manipulados. Requiere que el módulo res_xmpp esté cargado, que se haya configurado una conexión XMPP en xmpp.conf y que el atacante disponga de una cuenta XMPP

Sistemas afectados: El conjunto de versiones vulnerables de Asterisk incluye: versiones de la rama 20.x anteriores a la 20.20.1, versiones de la rama 21.x anteriores a la 21.12.3, versiones de la rama 22.x anteriores a la 22.10.1, versiones de la rama 23.x anteriores a la 23.4.1 y certified Asterisk: versiones anteriores a 20.7-cert11 y 22.8-cert3

🟠 Alta VENCERT-2026-108 CVE-2026-57190 Activa
Oct. 27, 2026

Inyección SQL en Backends CEL de PostgreSQL y TDS en Asterisk (CVE-2026-57190)

Se ha identificado una vulnerabilidad de inyección SQL (clasificada como CWE-89) en los backends de registro de eventos de canales (Channel Event Log, CEL) cel_pgsql y cel_tds de Asterisk. Esta falla ocurre cuando se introducen datos no confiables en la columna eventtype de CEL a través de la aplicación de plan de marcación (dialplan) CELGenUserEvent. Requiere que dichos backends estén cargados/configurados y que se invoque la aplicación sin validar correctamente los datos de entrada.

Sistemas afectados: El conjunto de versiones vulnerables de Asterisk incluye: versiones de la rama 20.x anteriores a la 20.20.1, versiones de la rama 21.x anteriores a la 21.12.3, versiones de la rama 22.x anteriores a la 22.10.1, versiones de la rama 23.x anteriores a la 23.4.1 y certified Asterisk: versiones anteriores a 20.7-cert11 y 22.8-cert3.

🟠 Alta VENCERT-2026-101 CVE-2026-76519 Activa
Oct. 26, 2026

Vulnerabilidad de Path Traversal en Cisco Secure Email Gateway (CVE-2026-76519)

Se ha identificado una vulnerabilidad de salto de directorio (Path Traversal) en Cisco Secure Email Gateway, registrada bajo el código CVE-2026-76519. La falla se encuentra asociada al motor de escaneo de contenido y herramientas de AMP, permitiendo a un atacante remoto no autenticado leer o sobrescribir archivos del sistema mediante el envío de archivos o correos maliciosos.

Sistemas afectados: Dispositivos y soluciones Cisco Secure Email Gateway (anteriormente Cisco Email Security Appliance - ESA) que tengan habilitadas las herramientas de escaneo de contenido (Content Scanner Tools) y la integración con el motor Cisco Advanced Malware Protection (AMP).

🟠 Alta VENCERT-2026-096 CVE-2026-9923 Resuelta
Oct. 19, 2026

Uso Después de Liberación (Use-After-Free) en el Motor de Renderizado Skia (Google Chrome / Chromium)

El fallo técnico se produce por una gestión inadecuada del ciclo de vida de los objetos gráficos en la memoria heap durante el renderizado de elementos visuales.

Sistemas afectados: • Google Chrome: Versiones anteriores a 148.0.7778.216. • Entornos y distribuciones Linux con paquetes dependientes del motor (por ejemplo, webkit2gtk3-jsc en versiones anteriores a 2.54.0-1).

🟠 Alta VENCERT-2026-097 CVE-2026-9854 Resuelta
Oct. 18, 2026

Escalada de Privilegios Local en el Mecanismo RBAC de Hitachi Energy MicroSCADA X SYS600

El fallo técnico se debe a una validación e imposición inadecuada de límites de privilegios dentro de las herramientas de ingeniería del sistema.

Sistemas afectados: Sistemas de automatización de energía y control industrial (OT/ICS): • Hitachi Energy MicroSCADA X SYS600 (todas las versiones anteriores a la actualización con la corrección aplicada).

🟠 Alta VENCERT-2026-091 CVE-2026-95845 Resuelta
Sept. 23, 2026

Agotamiento de Recursos y Denegación de Servicio (DoS) en Broker MQTT Moquette

Vulnerabilidad de asignación de recursos sin límites ni regulación (CWE-770) en el broker MQTT ligero basado en Java, Moquette. El fallo técnico radica en que el broker no establece una restricción ni límite superior en la longitud máxima de las colas de mensajes pendientes por sesión. Al procesar el flujo de datos, los mensajes se acumulan sin un control de retención (backpressure) o descarte configurado.

Sistemas afectados: Infraestructura de mensajería IoT y servicios backend que utilicen el broker Moquette: • Moquette: Versiones 0.18.0 y anteriores (todas las ramas previas a la 0.18.1).