Ingeniero de Seguridad: 2026-09-25

1. Desbordamiento de búfer basado en montículo en BIG-IP APM de F5

   INCIBE-CERT, 2026-09-23. Leer, 2 min.

   INCIBE-CERT avisa de CVE-2026-94127, una vulnerabilidad en BIG-IP APM de F5 que podría permitir a un atacante remoto no autenticado ejecutar código arbitrario cuando una política de acceso de APM y un perfil OAuth están configurados en el mismo servidor virtual, y señala que F5 ha confirmado su explotación activa. Las configuraciones en las que APM actúa únicamente como cliente OAuth o servidor de recursos no están afectadas, y hay hotfixes para las ramas 17.1, 17.5 y 21.1.

   Por qué importa para este rol: Mientras el hotfix no pueda instalarse, aplique en el servidor virtual afectado la iRule de mitigación que proporciona F5, la medida provisional que indica INCIBE-CERT.

2. Validación incorrecta de datos de entrada en VeloCloud Orchestrator de Arista

   INCIBE-CERT, 2026-09-23. Leer, 2 min.

   Arista ha confirmado la explotación activa de CVE-2026-93952, una vulnerabilidad en VeloCloud Orchestrator on-premise que podría permitir a un atacante remoto acceder a funciones internas privilegiadas sin credenciales de operador o de cliente, siempre que pueda llegar a la interfaz web y obtener la parte pública del certificado con el que se autentican los equipos VeloCloud Edge. Hay versiones corregidas para las ramas 5.2.3 y 6.4.2, pero al publicarse el aviso Arista todavía no las había publicado para las ramas 6.1.x y 7.0.x.

   Por qué importa para este rol: En las ramas 6.1.x y 7.0.x, sin corrección al publicarse el aviso, las medidas de INCIBE-CERT sobre la interfaz web y la supervisión de conexiones son lo que puede aplicar mientras Arista publica versiones.

Ingeniero de Seguridad