Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-76980
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** ZohoCorp ManageEngine OpManager and Firewall Analyzer versions 12.8.709 and below were vulnerable to a Data Exposure vulnerability in the Firewall Analyzer syslog collector.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-75825
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** ZohoCorp ManageEngine OpManager versions 12.8.710 and below with the Application Manager Plugin enabled were vulnerable to an Authentication Bypass vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/09/2026

CVE-2026-19599
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** ZohoCorp ManageEngine OpManager MSP versions 12.8.709 and below were vulnerable to a Remote Code Execution vulnerability in the Notification Profile module.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/09/2026

CVE-2026-96445
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in the Conditional OTP authenticator of Keycloak, an identity and access management solution. The issue occurs when the system evaluates specific HTTP headers to determine if a one-time password (OTP) should be skipped, but fails to verify if those headers came from a trusted source. This could allow an attacker who already has a user's password to bypass the second-factor authentication by providing a specially crafted header in their request.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/09/2026

CVE-2026-86248
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled vulnerability in Apache Tomcat.<br /> <br /> <br /> <br /> This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.25, from 10.1.22 through 10.1.59, from 9.0.92 through 9.0.121.<br /> <br /> <br /> <br /> Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/09/2026

CVE-2026-86350
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Inconsistent interpretation of HTTP/2 requests (&amp;#39;HTTP Request/Response smuggling&amp;#39;) vulnerability in Apache Tomcat caused by a regression in fix for CVE-2026-41293 can trigger request header mix-up.<br /> <br /> <br /> <br /> This issue affects Apache Tomcat: from 11.0.22 through 11.0.25, from 10.1.55 through 10.1.59, from 9.0.118 through 9.0.121.<br /> <br /> <br /> <br /> Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/09/2026

CVE-2026-84791
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** ZohoCorp ManageEngine OpManager and Firewall Analyzer versions 12.8.710 and below were vulnerable to a Broken Access Control vulnerability that allowed an authenticated low-privilege user to modify Change Management report schedule configurations for firewalls outside their assigned scope.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-87022
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper handling of length parameter inconsistency vulnerability in Apache Tomcat allows WebSocket message smuggling when per-message-deflate is used.<br /> <br /> <br /> <br /> This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1 through 9.0.121.<br /> <br /> <br /> <br /> The following versions were EOS at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.56 through 7.0.109. Other unsupported versions may also be affected.<br /> <br /> <br /> <br /> Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.1.22, which fix the issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-96446
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in the Pushed Authorization Request PAR implementation of Keycloak. The issue occurs when the silent authentication path prompt=none is used, which allows the authorization process to skip certain steps if a user is already logged in. Due to this bypass, the security rule that ensures a pushed request URI is used only once is not enforced. An attacker could potentially reuse a request URI to obtain multiple authorization codes for a user who is already signed in, violating security standards like FAPI-2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/09/2026

CVE-2026-78253
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Uncontrolled recursion in QXmlStreamReader::readElementText() in Qt Group Qt allows attackers to cause a denial of service (application crash via stack exhaustion) via a crafted XML document.
Gravedad CVSS v4.0: BAJA
Última modificación:
24/09/2026

CVE-2026-84787
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** ZohoCorp ManageEngine OpManager and Firewall Analyzer versions 12.8.710 and below were vulnerable to a Privilege Escalation vulnerability that allowed an authenticated low-privilege user to gain Administrator privileges through Report Profile import.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/09/2026

CVE-2026-80444
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** URL redirection to untrusted site (&amp;#39;open redirect&amp;#39;) vulnerability in Abis Technology Ltd. Co. AVESİS allows Input Data Manipulation.<br /> <br /> This issue affects AVESİS: from 202608201331 before 202608240351.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026
Suscribirse a Vulnerabilidades