Etiqueta: rce
El equipo de seguridad de PHP anunció para el miércoles 21 de octubre a las 14:00 UTC (11:00 en Argentina) una actualización que corrige dos vulnerabilidades críticas con CVSS v4.0 de 9,2. Los detalles se filtraron antes del fin del embargo.
CVE-2026-32475 permite subir un PHP sin autenticación por el campo File Upload de los formularios de Elementor Pro (CVSS 9.0, afecta hasta la 4.2.1, corregida en la 4.2.2): Wordfence bloqueó más de 190.000 intentos entre el 19 y el 23 de agosto. En paralelo, CVE-2026-19949 en All-in-One WP Migration and Backup (CVSS 8.8, hasta la 7.109, corregida en la 7.110) deja una inyección SQL que se dispara al restaurar un backup y termina en ejecución remota. Al 3 de septiembre quedaban unos 3,25 millones de sitios sin actualizar.
XBOW encontró dos fallas de inyección de comandos (CVE-2026-32194 y CVE-2026-32191, ambas CVSS 9.8) en la capa de procesamiento de imágenes de Bing: un SVG con una referencia que empieza con pipe llegaba al shell vía delegates de ImageMagick y corría como NT AUTHORITY\SYSTEM en Windows y como root en Linux.
wp2shell (CVE-2026-63030 + CVE-2026-60137) es un RCE pre-auth en el core de WordPress, con explotación activa y entrada al KEV de CISA el 21 de julio; parches en 6.9.5/7.0.2/6.8.6. Reflexión en primera persona sobre qué significa administrar WordPress cuando la falla no está en un plugin sino en el corazón del CMS que corre el 40% de la web.
Dos fallos del núcleo de WordPress (CVE-2026-63030 y CVE-2026-60137) se encadenan para ejecutar código sin autenticación en una instalación por defecto, sin plugins; los parches 6.9.5 y 7.0.2 salieron el 17/7 y CISA sumó ambos al KEV el 21/7.
Microsoft divulgó AutoJack, una cadena de explotación que convierte a un agente de IA con navegación web en vehículo para ejecución remota de código. Con visitar una página maliciosa alcanza: localhost ya no es una frontera de confianza para quien construye agentes.
📩 Newsletter MUG
Recibí lo mejor en tu inbox
Noticias, cursos y workshops gratuitos. Sin spam.
📅 Próximos eventos
- CharlasMUG · Mejora tu programación con GitHub Copilot
- CharlasMUG · IA en Desarrollo de Software
- 30 años del MUG · 30 charlas imperdibles
Fechas y modalidades se completarán cuando definamos el calendario de eventos 2026.
🎓 Capacitate con la comunidad
¿Querés ir más profundo?
Cursos en vivo con instructores MVP, workshops gratuitos y contenido self-paced.
Ver cursos →
💬 Últimos comentarios