Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en IBM (CVE-2025-27903)

Fecha de publicación:
17/02/2026
Idioma:
Español
IBM DB2 Recovery Expert for LUW 5.5 Interim Fix 002 IBM Db2 Recovery Expert for Linux, UNIX and Windows transmite datos en un canal de comunicación de texto claro que podría permitir a un atacante obtener información sensible utilizando técnicas de man-in-the-middle.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2026

Vulnerabilidad en IBM (CVE-2025-27904)

Fecha de publicación:
17/02/2026
Idioma:
Español
IBM DB2 Recovery Expert for LUW 5.5 Interim Fix 002 IBM Db2 Recovery Expert for Linux, UNIX and Windows es vulnerable a falsificación de petición en sitios cruzados, lo que podría permitir a un atacante ejecutar acciones maliciosas y no autorizadas transmitidas desde un usuario en el que el sitio web confía.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2026

Vulnerabilidad en IBM (CVE-2025-13108)

Fecha de publicación:
17/02/2026
Idioma:
Español
IBM DB2 Merge Backup para Linux, UNIX y Windows 12.1.0.0 podría permitir a un atacante acceder a información sensible en la memoria debido a que el búfer no libera los recursos correctamente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2026

Vulnerabilidad en IBM (CVE-2025-27898)

Fecha de publicación:
17/02/2026
Idioma:
Español
IBM DB2 Recovery Expert para LUW 5.5 Corrección Provisional 002 no invalida la sesión después de un tiempo de espera, lo que podría permitir a un usuario autenticado suplantar a otro usuario en el sistema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2026

Vulnerabilidad en IBM (CVE-2023-38265)

Fecha de publicación:
17/02/2026
Idioma:
Español
IBM Cloud Pak System 2.3.3.6, 2.3.3.7, 2.3.4.0, 2.3.4.1 y 2.3.5.0 podría divulgar información de ubicación de carpetas a un atacante no autenticado que podría facilitar ataques posteriores contra el sistema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2026

Vulnerabilidad en Tenable (CVE-2026-2630)

Fecha de publicación:
17/02/2026
Idioma:
Español
Existe una vulnerabilidad de inyección de comandos donde un atacante remoto y autenticado podría ejecutar código arbitrario en el servidor subyacente donde está alojado Tenable Security Center.
Gravedad CVSS v4.0: ALTA
Última modificación:
18/02/2026

Vulnerabilidad en TOTOLINK A3002RU_V3 (CVE-2026-26736)

Fecha de publicación:
17/02/2026
Idioma:
Español
TOTOLINK A3002RU_V3 V3.0.0-B20220304.1804 se descubrió que contenía un desbordamiento de búfer basado en pila a través del parámetro static_ipv6 en la función formIpv6Setup.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/02/2026

Vulnerabilidad en TOTOLINK A3002RU (CVE-2026-26732)

Fecha de publicación:
17/02/2026
Idioma:
Español
Se descubrió que TOTOLINK A3002RU V2.1.1-B20211108.1455 contenía un desbordamiento de búfer basado en pila a través de los parámetros vpnUser o vpnPassword' en la función formFilter.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/02/2026

Vulnerabilidad en TOTOLINK A3002RU (CVE-2026-26731)

Fecha de publicación:
17/02/2026
Idioma:
Español
Se descubrió que TOTOLINK A3002RU V2.1.1-B20211108.1455 contenía un desbordamiento de búfer basado en pila a través del parámetro 'routernamer'parameter en la función formDnsv6.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/02/2026

Vulnerabilidad en Apache Tomcat (CVE-2026-24733)

Fecha de publicación:
17/02/2026
Idioma:
Español
Vulnerabilidad de validación de entrada inadecuada en Apache Tomcat.<br /> <br /> Tomcat no limitaba las solicitudes HTTP/0.9 al método GET. Si una restricción de seguridad estaba configurada para permitir solicitudes HEAD a una URI pero denegar solicitudes GET, el usuario podía eludir esa restricción en las solicitudes GET enviando una solicitud HEAD (inválida según la especificación) usando HTTP/0.9.<br /> <br /> Este problema afecta a Apache Tomcat: desde 11.0.0-M1 hasta 11.0.14, desde 10.1.0-M1 hasta 10.1.49, desde 9.0.0.M1 hasta 9.0.112.<br /> <br /> Las versiones más antiguas, EOL, también están afectadas.<br /> <br /> Se recomienda a los usuarios actualizar a la versión 11.0.15 o posterior, 10.1.50 o posterior o 9.0.113 o posterior, lo que soluciona el problema.
Gravedad: Pendiente de análisis
Última modificación:
18/02/2026

Vulnerabilidad en Apache Tomcat Native (CVE-2026-24734)

Fecha de publicación:
17/02/2026
Idioma:
Español
Vulnerabilidad de validación de entrada incorrecta en Apache Tomcat Native, Apache Tomcat.<br /> <br /> Al usar un respondedor OCSP, Tomcat Native (y el puerto FFM de Tomcat del código de Tomcat Native) no completó las verificaciones de verificación o frescura en la respuesta OCSP, lo que podría permitir que se eluda la revocación del certificado.<br /> <br /> Este problema afecta a Apache Tomcat Native: de 1.3.0 a 1.3.4, de 2.0.0 a 2.0.11; Apache Tomcat: de 11.0.0-M1 a 11.0.17, de 10.1.0-M7 a 10.1.51, de 9.0.83 a 9.0.114.<br /> <br /> Las siguientes versiones estaban al final de su vida útil (EOL) en el momento en que se creó el CVE, pero se sabe que están afectadas: de 1.1.23 a 1.1.34, de 1.2.0 a 1.2.39. Las versiones EOL más antiguas no están afectadas.<br /> <br /> Se recomienda a los usuarios de Apache Tomcat Native que actualicen a las versiones 1.3.5 o posteriores o 2.0.12 o posteriores, que solucionan el problema.<br /> <br /> Se recomienda a los usuarios de Apache Tomcat que actualicen a las versiones 11.0.18 o posteriores, 10.1.52 o posteriores o 9.0.115 o posteriores que solucionan el problema.
Gravedad: Pendiente de análisis
Última modificación:
18/02/2026

Vulnerabilidad en Apache Tomcat (CVE-2025-66614)

Fecha de publicación:
17/02/2026
Idioma:
Español
Vulnerabilidad de validación de entrada inadecuada.<br /> <br /> Este problema afecta a Apache Tomcat: desde 11.0.0-M1 hasta 11.0.14, desde 10.1.0-M1 hasta 10.1.49, desde 9.0.0-M1 hasta 9.0.112.<br /> <br /> Las siguientes versiones estaban al final de su vida útil (EOL) en el momento en que se creó el CVE, pero se sabe que están afectadas: 8.5.0 hasta 8.5.100. Las versiones EOL más antiguas no están afectadas.<br /> Tomcat no validaba que el nombre de host proporcionado a través de la extensión SNI fuera el mismo que el nombre de host proporcionado en el campo de encabezado de host HTTP. Si Tomcat estaba configurado con más de un host virtual y la configuración TLS para uno de esos hosts no requería autenticación de certificado de cliente pero otro sí lo hacía, era posible para un cliente omitir la autenticación de certificado de cliente enviando diferentes nombres de host en la extensión SNI y el campo de encabezado de host HTTP.<br /> <br /> La vulnerabilidad solo se aplica si la autenticación de certificado de cliente solo se impone en el Conector. No se aplica si la autenticación de certificado de cliente se impone en la aplicación web.<br /> <br /> Se recomienda a los usuarios actualizar a la versión 11.0.15 o posterior, 10.1.50 o posterior o 9.0.113 o posterior, que solucionan el problema.
Gravedad: Pendiente de análisis
Última modificación:
18/02/2026