Se ha identificado la vulnerabilidad CVE-2026-56155 en Microsoft Active Directory Federation Services (AD FS), la cual está siendo explotada activamente y ha sido incorporada al catálogo Known Exploited Vulnerabilities (KEV) de CISA. Esta falla permite que un atacante con acceso inicial al entorno extraiga material criptográfico del contenedor Distributed Key Manager (DKM) para falsificar tokens de autenticación mediante un ataque Golden SAML, comprometiendo aplicaciones locales y servicios en la nube integrados con AD FS. Se recomienda aplicar de forma inmediata las actualizaciones de seguridad publicadas por Microsoft, realizar la remediación del DKM según la guía oficial y verificar posibles indicadores de compromiso antes de completar el proceso de mitigación.

Se ha identificado la explotación activa de la vulnerabilidad CVE-2026-50522 en servidores Microsoft SharePoint on-premises, la cual permite la ejecución remota de código (RCE) sin autenticación. Los atacantes buscan comprometer las machine keys de IIS para obtener acceso persistente con privilegios elevados. Se recomienda aplicar los parches de seguridad de inmediato, regenerar las claves de máquina y verificar posibles indicadores de compromiso.

La vulnerabilidad CVE-2025-68686 afecta al servicio SSL-VPN de FortiOS y permite a un atacante remoto no autenticado eludir las mitigaciones contra enlaces simbólicos maliciosos (symlinks) mediante solicitudes HTTP especialmente manipuladas. Se trata de una vulnerabilidad de post-explotación, por lo que requiere que el dispositivo haya sido comprometido previamente, generalmente mediante vulnerabilidades como CVE-2022-42475, CVE-2023-27997 o CVE-2024-21762, para mantener el acceso persistente incluso después de aplicar actualizaciones.

Se ha confirmado una vulnerabilidad de día cero (zero-day) en la interfaz web del software Cisco Secure Firewall Management Center (FMC), catalogada bajo la debilidad CWE-259. El fallo permite a un atacante remoto y no autenticado iniciar sesión utilizando una cuenta de bajos privilegios debido a la presencia de credenciales estáticas (codificadas rígidamente en el software). Aunque el acceso es inicialmente limitado, la explotación otorga visibilidad sobre configuraciones de red sensibles y puede encadenarse con otras vulnerabilidades para elevar privilegios hasta obtener control total del sistema.

Se ha detectado la explotación activa de la cadena de vulnerabilidades conocida como wp2shell, que afecta al núcleo de WordPress. Esta amenaza combina un fallo de confusión de rutas en la API REST (CVE-2026-63030) con una inyección SQL en la clase WP_Query (CVE-2026-60137). La combinación de ambos fallos permite a un atacante no autenticado ejecutar código remoto de manera arbitraria en instalaciones por defecto, sin necesidad de credenciales ni de plugins de terceros.

El CVE-2026-55200 es una vulnerabilidad crítica identificada en la biblioteca de red libssh2, que afecta directamente a las versiones 1.11.1 y anteriores. Este fallo de seguridad radica en una debilidad durante el procesamiento de conexiones y la validación de paquetes en el protocolo SSH, esta brecha podría permitir a un atacante no autenticado comprometer los sistemas expuestos, desencadenando una denegación de servicio (DoS) o facilitando la ejecución remota de código (RCE).

Se ha identificado la vulnerabilidad CVE-2026-11645, una falla de seguridad de tipo lectura y escritura fuera de límites (Out-of-Bounds Read/Write) en el motor de JavaScript V8 utilizado por los navegadores basados en Chromium. Un atacante remoto podría explotar esta vulnerabilidad mediante una página web especialmente diseñada para ejecutar código arbitrario dentro del entorno aislado del navegador (sandbox). Google confirmó la existencia de explotación activa de esta vulnerabilidad antes de la disponibilidad del parche correspondiente.

Se ha identificado la vulnerabilidad CVE-2026-54420, una falla de seguridad en LiteSpeed cPanel Plugin que permite el seguimiento indebido de enlaces simbólicos (symlink following) en entornos de hosting compartido que utilizan CloudLinux y CageFS. Un usuario con acceso limitado mediante FTP o una web shell podría aprovechar esta condición para acceder, modificar o interferir con archivos pertenecientes a otras cuentas alojadas en el mismo servidor. Se ha confirmado explotación activa de esta vulnerabilidad durante mayo de 2026.

Se ha confirmado la explotación activa de una cadena de vulnerabilidades críticas que afecta a la plataforma de gestión Ubiquiti UniFi OS. Cuando se explotan de forma conjunta, estas fallas permiten a un atacante con acceso a la red evadir los controles de autenticación, acceder a archivos confidenciales del sistema y ejecutar comandos arbitrarios con privilegios máximos (root), logrando el control total del dispositivo sin necesidad de contar con credenciales previas.

Una vulnerabilidad de control de acceso inadecuado en la extensión Joomla Content Editor (JCE) permite a usuarios no autenticados crear nuevos perfiles de editor, lo que da lugar a la carga y ejecución de código PHP arbitrario en el servidor.