VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🔴 Crítica VENCERT-2026-049 CVE-2026-9210 En seguimiento
Aug. 11, 2026

Inyección de Comandos en la Interfaz de Gestión Web de Infraestructura Virtualizada.

Una vulnerabilidad de inyección de comandos en la API de configuración de túneles VPN permite a un usuario autenticado con permisos limitados elevar privilegios y ejecutar órdenes arbitrarias en el host del hipervisor principal (pve-cluster).

Sistemas afectados: - Paneles de administración web de hipervisores Linux (Proxmox VE, OpenMediaVault) con módulos de gestión de VPN integrados (OpenVPN / WireGuard). - Servidores de hipervisión expuestos a redes de administración sin doble factor de autenticación (2FA) forzado.

🔴 Crítica VENCERT-2026-048 CVE-2026-8104 Activa
Aug. 10, 2026

Ejecución de Código Remoto (RCE) no autenticada en el agente endpoint de monitoreo de seguridad.

Se ha descubierto un fallo crítico en el protocolo de comunicación cliente-servidor que permite a un atacante en la red local o con acceso a la red de gestión inyectar comandos de sistema arbitrarios con privilegios de root o SYSTEM en los agentes de monitoreo.

Sistemas afectados: Agentes de monitoreo endpoint (Wazuh / agentes SIEM de código abierto) en versiones 4.9.0 a 4.9.4. Endpoint instalados sobre distribuciones Linux (Debian, Ubuntu, RedHat) y Windows Server actuando como nodos cliente.

🔴 Crítica VENCERT-2026-047 CVE-2026-64638 Resuelta
Aug. 7, 2026

Cross-Site Scripting (XSS) a Ejecución de Código (XSS2Shell)

Vulnerabilidad de tipo Scripting Entre Sitios (Cross-Site Scripting - XSS) que permite la escalada a ejecución remota de código (RCE / XSS2Shell) identificada como CVE-2026-64638. El fallo técnico se localiza en la falta de higienización de entradas de usuario (CWE-79) combinada con una inadecuada separación de privilegios entre la capa de interfaz web y el entorno de ejecución del sistema operativo.

Sistemas afectados: Aplicaciones web, paneles de administración y clientes de escritorio vulnerables a la inyección y escalada de código. Versiones anteriores al parche de seguridad correspondiente.

🔴 Crítica VENCERT-2026-044 CVE-2026-8713 Resuelta
Aug. 5, 2026

Eliminación Arbitraria de Archivos No Autenticada en el Plugin Avada Builder para WordPress

Vulnerabilidad de tipo salto de directorio (Path Traversal) que deriva en la eliminación arbitraria de archivos (CWE-22) en el plugin "Avada (Fusion) Builder" para WordPress (CVE-2026-8713).

Sistemas afectados: Sitios web basados en el CMS WordPress que utilicen el plugin constructor afectado: Avada (Fusion) Builder: Todas las versiones anteriores y hasta la versión 3.15.3 inclusive.

🔴 Crítica VENCERT-2026-045 CVE-2026-23550 Activa
Aug. 4, 2026

Escalada de Privilegios (Privilege Escalation) en el Plugin Modular DS (modular-connector) para WordPress

Vulnerabilidad de severidad crítica (CVSS 3.1: 9.8) catalogada como una asignación incorrecta de privilegios (Incorrect Privilege Assignment - CWE-266) en el plugin "Modular DS" (modular-connector) para WordPress.

Sistemas afectados: Plugin Modular DS (modular-connector) en todas sus versiones hasta la 2.5.1 inclusive.

🔴 Crítica VENCERT-2026-042 CVE-2026-53359 Activa
July 7, 2026

Escape de Máquina Virtual (Guest-to-Host) mediante Uso de Memoria Liberada en Linux KVM

La vulnerabilidad (CVE-2026-53359), descubierta por el investigador Hyunwoo Kim (@v4bel), permaneció oculta por aproximadamente 16 años y radica en el código de la Unidad de Gestión de Memoria (MMU) que KVM comparte entre arquitecturas Intel y AMD.

Sistemas afectados: Servidores de virtualización, nodos de nube y centros de datos que utilicen el hipervisor Linux KVM en procesadores Intel o AMD x86. Los entornos ARM64 no se ven afectados por este CVE.

🔴 Crítica VENCERT-2026-038 CVE-2026-6114 Activa
July 7, 2026

Ejecución de Código Remoto (RCE) mediante inyección de funciones en bases de datos relacionales empresariales.

Una validación defectuosa en el módulo de extensiones externas y carga dinámica de librerías permite a un usuario autenticado con permisos de lectura básicos evadir el aislamiento del motor y ejecutar comandos del sistema operativo en el host con privilegios de la cuenta de servicio (postgres o mysql).

Sistemas afectados: Motores de bases de datos relacionales en versiones 15.3 a 17.1 ejecutados sobre plataformas Linux (Debian, RHEL).

🔴 Crítica VENCERT-2026-033 CVE-2026-34260 Resuelta
June 17, 2026

Ejecución Remota de Código (RCE) y Evasión de Autenticación en VMware vCenter Server

Vulnerabilidades de impacto crítico y alto en la plataforma de gestión de virtualización VMware vCenter Server que permiten el compromiso total de la infraestructura.

Sistemas afectados: Entornos de virtualización basados en las siguientes ramas del appliance de gestión de VMware (Broadcom): * VMware vCenter Server: Versiones de la rama 8.0 anteriores a la 8.0 U3c. * VMware vCenter Server: Versiones de la rama 7.0 anteriores a la 7.0 U3r.

🔴 Crítica VENCERT-2026-032 CVE-2024-21182 Resuelta
June 17, 2026

Ejecución Remota de Código (RCE) en Oracle WebLogic Server

Vulnerabilidad de tipo deserialización de datos no confiables (CWE-502) en el componente central (Core Component) de Oracle WebLogic Server (CVE-2024-21182).

Sistemas afectados: Servidores de aplicaciones y entornos empresariales basados en las siguientes ramas soportadas de Oracle WebLogic Server: * Oracle WebLogic Server: Versión 14.1.1.0.0. * Oracle WebLogic Server: Versión 12.2.1.4.0.