Tres nuevos avisos de seguridad
Índice
- Inyección de comandos en FortiSandbox de Fortinet
- Boletín de seguridad de Microsoft: junio de 2026
- Múltiples vulnerabilidades en OpenSSL
Inyección de comandos en FortiSandbox de Fortinet
- FortiSandbox 5.0: versiones afectadas 5.0.0 a 5.0.5.
- FortiSandbox 4.4: versiones afectadas 4.4.0 a 4.4.8.
- FortiSandbox Cloud 5.0: versiones afectadas 5.0.4 a 5.0.5.
- FortiSandbox PaaS 5.0: versiones afectadas 5.0.4 a 5.0.5.
FortiGuard Labs ha publicado una vulnerabilidad de severidad crítica, que es caso de ser explotada, podría permitir a un atacante ejecutar comandos no autorizados a través de solicitudes HTTP especialmente diseñadas.
Actualizar a alguna de las siguientes versiones:
- FortiSandbox 5.0.6 o superior.
- FortiSandbox 4.4.9 o superior.
- FortiSandbox Cloud 5.0.6 o superior.
- FortiSandbox PaaS 5.0.6 o superior.
CVE-2026-25089: neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo ('inyección de comandos del sistema operativo') podría permitir a un atacante, no autenticado, ejecutar comandos no autorizados mediante solicitudes HTTP especialmente diseñadas. El problema se origina por una validación y depuración insuficientes de la entrada en la gestión de las solicitudes HTTP por parte de la interfaz web.
Boletín de seguridad de Microsoft: junio de 2026
- .NET
- ASP.NET Core
- Active Directory Domain Services
- Azure HorizonDB
- Azure Stack Edge
- Copilot Chat (Microsoft Edge)
- Function Discovery Service (fdwsd.dll)
- GitHub Copilot and Visual Studio Code
- HTTP/2
- Linux MANA Driver
- M365 Copilot
- Microsoft Azure Attestation service and Device Health Attestation Service
- Microsoft Azure Kubernetes Service
- Microsoft Bing
- Microsoft Copilot
- Microsoft Defender for Endpoint
- Microsoft Dynamics 365 (on-premises)
- Microsoft Exchange Online
- Microsoft Exchange Server
- Microsoft Graph
- Microsoft Graphics Component
- Microsoft Kinect
- Microsoft Live Share Canvas SDK
- Microsoft Office
- Microsoft Office Click-To-Run
- Microsoft Office Excel
- Microsoft Office Project
- Microsoft Office SharePoint
- Microsoft Office Word
- Microsoft PC Manager
- Microsoft PowerToys
- Microsoft Teams for Android
- Microsoft UxTheme Library (uxtheme.dll)
- Microsoft Windows DNS
- Nuance PowerScribe
- Office for Android
- Remote Desktop Client
- Role: Windows Hyper-V
- UI Automation Manager (uiamanager.dll)
- Universal Plug and Play (upnp.dll)
- Visual Studio Code
- Windows Administrator Protection
- Windows Ancillary Function Driver for WinSock
- Windows Application Identity (AppID) Subsystem
- Windows BitLocker
- Windows Bluetooth Port Driver
- Windows Bluetooth Service
- Windows Boot Manager
- Windows Collaborative Translation Framework
- Windows Common Log File System Driver
- Windows Cryptographic Services
- Windows DHCP Client
- Windows DHCP Server
- Windows DWM Core Library
- Windows Deployment Services
- Windows HTTP.sys
- Windows Hotpatch Monitoring Service
- Windows Hyper-V
- Windows Internet (wininet.dll)
- Windows Kerberos
- Windows Kernel
- Windows Kernel-Mode Drivers
- Windows Mark of the Web (MOTW)
- Windows Media
- Windows NT OS Kernel
- Windows NTFS
- Windows NTLM
- Windows Narrator Braille
- Windows Network Controller (NC) Host Agent
- Windows Performance Monitor
- Windows Program Compatibility Assistant Service
- Windows Projected File System Filter Driver
- Windows Push Notifications
- Windows RDP
- Windows SDK
- Windows Secure Boot
- Windows Shell
- Windows Storage
- Windows TCP/IP
- Windows Telephony Service
- Windows UEFI
- Windows Universal Disk Format File System Driver (UDFS)
- Windows Win32K - GRFX
- Winlogon
Microsoft ha publicado su boletín mensual de seguridad en el que se incluyen 206 vulnerabilidades: 10 de severidad crítica, 135 de severidad alta, 54 de severidad medias y 5 bajas. Estas vulnerabilidades afectan a varios de sus productos y su explotación podría permitir a un atacante ejecución remota de código o revelación de información.
Actualizar a la última versión disponible indicada por el fabricante.
Las vulnerabilidades de severidad crítica se describen a continuación:
- CVE-2026-26142: la deserialización de datos no confiables en Nuance PowerScribe podría permitir que un atacante no autorizado ejecute código a través de una red.
- CVE-2026-42904: el desbordamiento de búfer basado en el montículo en Windows TCP/IP permite que un atacante no autorizado eleve sus privilegios sobre una red adyacente.
- CVE-2026-44815: un desbordamiento de búfer basado en pila en el cliente DHCP de Windows permite que un atacante no autorizado ejecute código a través de una red.
- CVE-2026-45602: no existe ninguna solución para este problema en el servidor DHCP de Windows que permita a un atacante no autorizado manipular una red.
- CVE-2026-45657: el uso de código liberado en el kernel de Windows permite que un atacante no autorizado ejecute código a través de una red.
- CVE-2026-47281: una validación de entrada incorrecta en Visual Studio Code permite que un atacante no autorizado eleve sus privilegios en una red.
- CVE-2026-47291: el desbordamiento de enteros o el ajuste automático de valores en el archivo HTTP.sys de Windows permite que un atacante no autorizado ejecute código a través de una red.
- CVE-2026-47643: el control externo del nombre o la ruta de archivo en Azure Stack Edge permite que un atacante no autorizado ejecute código a través de una red.
- CVE-2026-48567: la elusión de la autenticación mediante suplantación de identidad en Azure HorizonDB permite a un atacante no autorizado elevar sus privilegios en una red.
- CVE-2026-48579: una autorización incorrecta en Microsoft Exchange Online permite que un atacante no autorizado divulgue información a través de una red.
Los códigos CVE asignados a las vulnerabilidades no críticas reportadas pueden consultarse en las referencias.
Múltiples vulnerabilidades en OpenSSL
Las siguientes versiones OpenSSL están afectadas:
- 4.0
- 3.6
- 3.5
- 3.4
- 3.0
- 1.1.1
- 1.0.2
Las versiones que carecen de soporte: 3.1, 3.2 y 3.3 no han sido analizadas y se desconoce si están afectadas por alguna de las vulnerabilidades.
OpenSSL ha informado de 18 vulnerabilidades nuevas, 1 de severidad crítica, 10 altas, 3 medias y 4 bajas. En caso de ser explotadas podrían provocar fallos en el proceso, corrupción del montículo o ejecución de código en remoto, entre otras acciones.
Según la versión que disponga, actualizar el producto a alguna de las siguientes versiones:
- OpenSSL 4.0: actualizar a OpenSSL 4.0.1
- OpenSSL 3.6: actualizar a OpenSSL 3.6.3.
- OpenSSL 3.5: actualizar a OpenSSL 3.5.7.
- OpenSSL 3.4: actualizar a OpenSSL 3.4.6.
- OpenSSL 3.0: actualizar a OpenSSL 3.0.21.
- OpenSSL 1.1.1: actualizar a OpenSSL 1.1.1zh (únicamente para usuarios con soporte premium)
- OpenSSL 1.0.2 users should upgrade to OpenSSL 1.0.2zq (únicamente para usuarios con soporte premium)
CVE-2026-45447: un mensaje especialmente diseñado y que esté firmado con PKCS#7 o S/MIME podría provocar un uso después de la liberación de memoria durante la verificación de la firma PKCS#7. Un uso después de la liberación podría provocar fallos en el proceso, corrupción del montón o, potencialmente, la ejecución de código en remoto.
Al procesar un mensaje firmado con PKCS#7 o S/MIME, si el campo SignedData digestAlgorithms está presente como un ASN.1 SET vacío, OpenSSL podría liberar incorrectamente un caller-owned BIO durante PKCS7_verify(). Un uso posterior del BIO por la aplicación que realiza la llamada da lugar a una condición de uso después de la liberación. Habitualmente, esto sucede cuando la aplicación luego llama BIO_free() sobre el BIO pasado originalmente a PKCS7_verify(). Dependiendo del comportamiento de quien ha realizado la asignación y de los patrones de uso del BIO específicos de la aplicación, esto puede provocar un bloqueo u otra corrupción de memoria. En algunos contextos de aplicación, esto podría permitir la ejecución de código en remoto.