Especialista en Ciberseguridad: 2026-09-25
4 minutos en total
Validación incorrecta de datos de entrada en VeloCloud Orchestrator de Arista
INCIBE-CERT, 2026-09-23. Leer, 2 min.
Arista ha confirmado la explotación activa de CVE-2026-93952, una vulnerabilidad en VeloCloud Orchestrator on-premise que podría permitir a un atacante remoto acceder a funciones internas privilegiadas sin credenciales de operador o de cliente, siempre que pueda llegar a la interfaz web y obtener la parte pública del certificado con el que se autentican los equipos VeloCloud Edge. Hay versiones corregidas para las ramas 5.2.3 y 6.4.2, pero al publicarse el aviso Arista todavía no las había publicado para las ramas 6.1.x y 7.0.x.
Por qué importa para este rol: Confirme si su organización o un proveedor opera VeloCloud Orchestrator on-premise, porque Arista confirma que la vulnerabilidad ya se explota y no todas las ramas tienen corrección.
Inclusión de archivos PHP en WordPress
INCIBE-CERT, 2026-09-23. Leer, 2 min.
INCIBE-CERT informa de CVE-2026-87902, una vulnerabilidad de WordPress que podría permitir a un atacante remoto no autenticado incluir un archivo PHP local situado fuera de los directorios del tema activo y, bajo determinadas condiciones, ejecutar código de forma remota. La solución es actualizar a WordPress 7.1.2, y la corrección también se incorporó a versiones de las ramas anteriores hasta la 4.7.37.
Por qué importa para este rol: Haga inventario de los sitios WordPress de su organización, incluidos los que siguen en ramas antiguas, ya que cada rama afectada desde la 4.7 tiene su propia versión corregida.
El cuestionario de esta edición ya cerró.