Se ha identificado una falla de seguridad muy grave que afecta a los servidores web que utilizan el panel de control cPanel en combinación con el complemento LiteSpeed. Este error permite que un usuario de hosting común, o un atacante que haya comprometido una cuenta básica de cliente, pueda saltarse las barreras de seguridad y obtener acceso con los privilegios más altos del servidor (permisos de "root" o superusuario). Al conseguir este control total, un intruso podría comprometer el resto de los sitios web alojados en la misma máquina, acceder a bases de datos de otros clientes, alterar configuraciones del sistema e instalar programas maliciosos de manera permanente.

Se ha identificado una falla de seguridad extremadamente grave que afecta a la cadena de suministro del ecosistema de desarrollo de TanStack en el registro npm. Este fallo de diseño permitió que un atacante externo publicara de forma no autorizada versiones maliciosas de múltiples paquetes oficiales bajo la organización @tanstack/* sin poseer credenciales de mantenimiento. Al descargar e instalar estas dependencias comprometidas, un intruso puede ejecutar código arbitrario de manera silenciosa, comprometer el entorno local o el servidor de compilación (CI/CD) de la víctima, y exfiltrar masivamente secretos del sistema, credenciales de nube y llaves de acceso para continuar propagando el ataque.

Se ha identificado una vulnerabilidad de seguridad crítica en el núcleo del sistema de gestión de contenidos (CMS) Drupal que afecta a las instalaciones configuradas con un motor de base de datos PostgreSQL. Este fallo permite que un atacante remoto y no autenticado pueda inyectar comandos SQL arbitrarios de manera directa y maliciosa enviando peticiones web especialmente diseñadas para manipular la base de datos. Al explotar con éxito esta vulnerabilidad, un atacante anónimo puede omitir por completo las barreras de autenticación del sitio, exfiltrar información confidencial como hashes de contraseñas, modificar o eliminar registros y, bajo configuraciones con privilegios de base de datos elevados, ejecutar comandos a nivel de sistema operativo en el servidor anfitrión.

Se ha descubierto una falla de seguridad muy grave en los cortafuegos Palo Alto Networks (PAN-OS) que protegen la frontera digital de las empresas. Este problema permite a atacantes en internet tomar el control total del equipo con los privilegios más altos de administrador ("root") sin conocer ningún usuario o contraseña. El error ocurre en la pantalla de inicio de sesión de red ("portal cautivo"), el cual se bloquea al recibir datos maliciosos que saturan su memoria de procesamiento. Debido a que este fallo está siendo aprovechado en ataques reales en todo el mundo, es sumamente urgente actualizar los equipos de inmediato o aplicar las medidas de bloqueo temporal recomendadas para evitar intrusiones en la red corporativa.

Fallo de lógica en el kernel Linux que permite a un usuario local sin privilegios obtener acceso de superusuario (root) de forma 100% fiable mediante una corrupción determinista de la caché de páginas en memoria RAM.

Vulnerabilidad crítica de control de acceso en la API de FortiClientEMS que permite a atacantes no autenticados eludir la seguridad y ejecutar comandos o código arbitrario en el servidor de gestión.

Vulnerabilidad de Scripting entre Sitios (XSS) ciego y almacenado de tipo DOM que permite a un atacante no autenticado inyectar código malicioso en los registros del sistema para secuestrar sesiones administrativas.

Fallo de seguridad tipo Server-Side Request Forgery (SSRF) que permite a usuarios autenticados eludir filtros de red mediante redirecciones HTTP automáticas para acceder a infraestructura interna y exfiltrar metadatos sensibles de la nube.

Se ha identificado una vulnerabilidad crítica en la biblioteca LibRaw (específicamente en la funcionalidad x3f_thumb_loader) que permite un desbordamiento de búfer en el montículo (heap-based buffer overflow) al procesar archivos maliciosos especialmente diseñados. Actualmente, no existe un parche oficial disponible por parte de los proveedores de varias distribuciones Linux.

Se ha detectado una vulnerabilidad crítica de tipo "Double Free" en las extensiones del servicio Internet Key Exchange (IKE) de Windows. Esta falla permite a un atacante no autenticado ejecutar código arbitrario con privilegios de SYSTEM a través de la red, simplemente enviando paquetes UDP malformados a un sistema vulnerable.