Siete nuevos avisos de seguridad
Índice
- Escalada de privilegios en Iperius Backup de Enter
- Ejecución remota de código en Confluence Data Center de Atlassian
- Boletín de seguridad de SAP de noviembre de 2026
- Boletín de seguridad de Microsoft de noviembre de 2026
- Múltiples vulnerabilidades en N-central de N-able
- Múltiples vulnerabilidades en productos de Ivanti
- Múltiples vulnerabilidades en productos de Fortinet
Escalada de privilegios en Iperius Backup de Enter
Iperius Backup, versión 8.8.3 para Windows.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta a Iperius Backup de Enter, un software de copias de seguridad para Windows. La vulnerabilidad ha sido descubierta por Jonas Fernández.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE:
- CVE-2026-112174: CVSS v4.0: 9.3 | CVSS:4.0 AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | CWE-250
Actualizar a Iperius Backup 8.8.9. Según el fabricante, esta versión incorpora permisos restrictivos por defecto que previenen la vulnerabilidad. Al instalar el servicio, aplica dichos permisos a las carpetas de configuración e impide que los usuarios no administradores creen, modifiquen o ejecuten trabajos de copia de seguridad.
CVE-2026-112174: vulnerabilidad de escalada de privilegios local en Iperius Backup 8.8.3, debida a una separación insuficiente entre la interfaz gráfica ejecutada con privilegios elevados y los usuarios locales de bajos privilegios. Cuando se configura el servicio de copias de seguridad para ejecutarse de forma persistente con privilegios de Administrador, un atacante local con bajos privilegios puede utilizar los diálogos nativos de Windows expuestos por la aplicación para ejecutar programas que heredan su contexto elevado. Esto permite ejecutar comandos con privilegios de SYSTEM o Administrador, según el contexto de la aplicación, y comprometer el sistema Windows afectado.
Ejecución remota de código en Confluence Data Center de Atlassian
Confluence Data Center, ramas 1.x a 9.x, cuando esté habilitada la función Remote API (XML-RPC & SOAP). Atlassian identifica 9.2.28 como versión corregida de la rama 9.2 LTS. La función se retiró en Confluence Data Center 10.0.
Atlassian ha publicado un aviso sobre una vulnerabilidad crítica en la biblioteca Apache Axis que utiliza Confluence Data Center. Un atacante remoto sin autenticar podría ejecutar código en el servidor si la API remota está habilitada.
Actualizar cuanto antes a Confluence Data Center 9.2.28 de la rama LTS o a una versión soportada de la rama 10.x o posterior.
Si se aplaza la actualización, deshabilitar Remote API (XML-RPC & SOAP) desde la configuración general y guardar el cambio. Comprobar antes si hay scripts, automatizaciones o complementos que dependan de esa función. Consultar las instrucciones de Atlassian.
CVE-2026-90436: la biblioteca Apache Axis 1.x deserializa de forma insegura determinados mensajes SOAP. En una instancia de Confluence Data Center con la API remota habilitada, el fallo podría permitir la ejecución de código en el servidor antes de que se compruebe la autenticación.
Boletín de seguridad de SAP de noviembre de 2026
Las vulnerabilidades críticas afectan a los siguientes productos y componentes sin las correcciones correspondientes.
- SAP NetWeaver AS ABAP (Internet Communication Manager, ICM) — KRNL64UC 7.53 y KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 y 9.20.
- SAP Web Dispatcher, incluido el integrado en SAP HANA XS Classic y XS Advanced — WEBDISP 7.53, 7.54, 7.77, 7.93 y 9.16, HDB 2.00, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1 y las versiones de KRNL64UC y KERNEL indicadas para ICM.
- SAP Gateway — KRNL64NUC 7.22 y 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53 y 8.04, y KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20 y 9.21.
- SAP NetWeaver AS ABAP y ABAP Platform (proveedor de servicios SAML 2.0) — SAP_BASIS 702, 731, 740, 750 a 758, 816 y 920 a 922.
- SAP NetWeaver Knowledge Management (XML Forms) — KMC-CM 7.50.
- SAP NetWeaver y ABAP Platform (Application Server ABAP) — KRNL64NUC 7.22 y 7.22EXT, KRNL64UC 7.22, 7.22EXT y 7.53, y KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 y 9.16.
- S4CRM — S4CRM 204 a 206, S4CEXT 107 a 109 y BBPCRM 713 y 714.
- SAP Web Dispatcher e ICM (nota 3804858) — WEBDISP 7.93 y 9.16, XS_ADVANCED_RUNTIME 1.00 y KERNEL 7.93, 9.16, 9.20 y 9.21.
- SAP BusinessObjects Business Intelligence Platform (Web Intelligence) — ENTERPRISE 430, 2025 y 2027.
Para ICM2SHELL, comprobar también los núcleos afectados desde la versión 7.40 que estén fuera de mantenimiento y las instalaciones de doble pila que ejecuten ABAP. La exposición depende de la versión del núcleo y de su nivel de parche.
SAP ha publicado 35 nuevas notas de seguridad, 4 avisos en GitHub y 3 revisiones de notas anteriores. El boletín incluye 9 vulnerabilidades de severidad crítica, 4 de ellas con una puntuación CVSS de 10,0.
Onapsis Research Labs ha identificado ICM2SHELL, dos vulnerabilidades en ICM y SAP Web Dispatcher que permiten ejecutar código arbitrario sin autenticación o provocar una denegación de servicio.
Aplicar las correcciones de las notas de seguridad de SAP para cada componente. Para ICM2SHELL, priorizar los ICM y Web Dispatcher accesibles desde Internet y actualizar cada instancia afectada, incluidos los Web Dispatcher autónomos y los integrados en SAP HANA XS.
Niveles de parche (PL) que corrigen ICM2SHELL:
- Núcleo de SAP y Web Dispatcher — 7.53 PL 1616 o 1617 según la variante, 7.54 PL 710, 7.77 PL 914 y 9.16 PL 111.
- Rama 7.93 — versión actualizada de Stack Kernel PL 401, PL 402 cuando SAP lo publique o PL 420 y posteriores. El PL 419 sigue afectado.
- Núcleo de SAP 9.18 y 9.20 — 9.18 PL 37 y 9.20 PL 11 o 13 según la variante.
- SAP HANA XS Classic — 2.00.079.11 o 2.00.089.05, según la rama.
- SAP HANA XS Advanced — 1.0 SP05 Patch 4.
Seleccionar el parche corregido más reciente para cada rama y migrar los núcleos afectados fuera de mantenimiento a una versión compatible con soporte. Consultar las preguntas frecuentes de SAP sobre ICM2SHELL.
Medidas temporales para ICM2SHELL:
- Si se aplaza la actualización, valorar el impacto sobre las integraciones y funciones interactivas antes de establecer icm/HTTP/support_websocket_upgrade=FALSE y reiniciar el componente.
- Un Web Dispatcher actualizado a 7.53 PL 1629, 7.54 PL 723, 7.93 PL 430 o 9.16 PL 200, o a un nivel posterior de su rama, puede proteger los servidores a los que se acceda exclusivamente a través de él. La medida requiere que el Web Dispatcher opere fuera del modo PROT=ROUTER.
SAP Gateway (PROXYGATE):
Aplicar la nota SAP 3798345 en cada servidor de aplicaciones. Restringir los orígenes autorizados en prxyinfo y establecer gw/acl_mode_proxy=1 en las ramas para las que SAP indique este ajuste. Restringir el acceso de red al servicio a los equipos autorizados.
ICM2SHELL agrupa dos fallos de corrupción de memoria en el procesamiento de mensajes WebSocket. Un atacante con acceso al puerto HTTP o HTTPS podría ejecutar comandos como el usuario del sistema operativo <sid>adm o interrumpir el servicio. La compatibilidad con WebSocket está habilitada de forma predeterminada.
- CVE-2026-76964: afecta a Internet Communication Manager (ICM) de SAP NetWeaver AS ABAP. Nota SAP 3778530.
- CVE-2026-89126: afecta a SAP Web Dispatcher, incluido el integrado en SAP HANA XS Classic y XS Advanced. Nota SAP 3778556.
- CVE-2026-89103 (PROXYGATE): con una política de proxy permisiva, SAP Gateway puede tratar solicitudes externas como internas y permitir a un atacante sin autenticar ejecutar comandos del sistema operativo.
- CVE-2026-120017: la verificación insuficiente de aserciones SAML en determinadas configuraciones permite eludir la autenticación y suplantar a usuarios, incluidos los privilegiados.
- CVE-2026-109803: un usuario autenticado con acceso a XML Forms podría ejecutar código arbitrario mediante una transformación XSL no autorizada.
- CVE-2026-76965: la ausencia de comprobaciones de autorización en Application Server ABAP permite a un usuario con pocos privilegios ejecutar comandos del sistema operativo.
- CVE-2026-109795: la validación insuficiente de permisos y entradas en funciones remotas de S4CRM permite a un usuario con pocos privilegios inyectar y ejecutar código.
- CVE-2026-89119: un atacante podría inducir a un administrador con sesión iniciada a abrir un enlace manipulado y ejecutar acciones con sus permisos en SAP Web Dispatcher o ICM.
- CVE-2026-109798: el procesamiento de entidades XML externas en solicitudes OLAP de Web Intelligence permite a un atacante autenticado leer archivos restringidos o acceder a recursos internos.
Boletín de seguridad de Microsoft de noviembre de 2026
- Outlook para Windows incluido en Microsoft 365 Apps para empresas, Office LTSC 2021 y Office LTSC 2024, en ediciones de 32 y 64 bits.
- Windows y Windows Server, incluidos los componentes Windows Search, LDAP, Kerberos, DNS, DHCP, iSCSI, Xbox Live Networking Service, DirectMusic, Color Management, Media Foundation y Virtual Filtering Platform.
- Microsoft Exchange Server, SQL Server, SharePoint Server y Azure DevOps Server.
- Visual Studio Code, ASP.NET Core, Aspire Dashboard y Azure Privileged Identity Management (PIM), mediante Microsoft Graph.
- Azure OpenAI, cuya corrección ha aplicado Microsoft en el servicio.
Consultar las ediciones, compilaciones y demás productos afectados en la guía de actualizaciones de Microsoft.
Microsoft ha publicado sus actualizaciones de seguridad de noviembre. Entre los fallos descritos figuran 23 vulnerabilidades críticas y una de severidad media en Outlook que se está explotando activamente. Los fallos podrían permitir ejecutar código, elevar privilegios o suplantar a usuarios.
Aplicar las actualizaciones de noviembre correspondientes a cada producto y rama. Priorizar los equipos que utilizan Outlook para Windows y comprobar estas compilaciones:
- Office LTSC 2021 a 16.0.14334.21048 o posterior.
- Office LTSC 2024 a 16.0.17932.21140 o posterior.
- Microsoft 365 Apps para empresas a la compilación corregida que corresponda al canal de actualización, según las notas de seguridad de Office.
Para Windows y los productos de servidor, seleccionar el paquete KB aplicable en la guía de MSRC. Actualizar Visual Studio Code a 1.145.3 o posterior y Aspire Dashboard a 13.6.5 o posterior. Microsoft ya ha aplicado la corrección de Azure OpenAI.
- CVE-2026-124194: al abrir un archivo de mensaje manipulado, Outlook puede conectarse a un recurso externo sin mostrar la advertencia habitual. Esto podría revelar el hash NTLMv2 del usuario y facilitar su suplantación. Microsoft confirma explotación activa.
- CVE-2026-109467: un usuario con permisos de lectura de un proyecto de Azure DevOps podría provocar una ejecución no autorizada de canalizaciones y ejecutar código en sus agentes.
- CVE-2026-120002: un control de autorización incorrecto en SharePoint Server podría permitir a un usuario autenticado elevar privilegios.
- CVE-2026-112967: un desbordamiento de búfer en Windows Xbox Live Networking Service podría permitir la ejecución remota de código.
- CVE-2026-116928: una escritura fuera de límites en Windows Search podría permitir ejecutar código. Microsoft documenta un escenario en el que Exchange procesa automáticamente un archivo adjunto para indexarlo.
- CVE-2026-116945: un desbordamiento de búfer en SQL Server podría permitir la ejecución remota de código.
- CVE-2026-119958: una escritura fuera de límites en Windows LDAP podría permitir a un atacante sin autenticar ejecutar código con los permisos del servicio.
- CVE-2026-119990. la falta de autenticación en una función de Azure OpenAI podía permitir una elevación de privilegios. Microsoft ha corregido el servicio.
- CVE-2026-85844: una vía alternativa de autenticación en Windows Kerberos podría permitir a un atacante elevar privilegios.
- CVE-2026-88218: una doble liberación de memoria en Windows DNS podría permitir la ejecución remota de código.
- CVE-2026-88234: la liberación de una referencia de memoria no válida en Windows iSCSI podría permitir la ejecución remota de código.
- CVE-2026-88243: una lectura fuera de límites en Windows DHCP Server podría permitir la ejecución remota de código.
- CVE-2026-95882 y CVE-2026-95901: un desbordamiento de búfer en la pila y una doble liberación de memoria, respectivamente, podrían permitir la ejecución remota de código en DirectMusic.
- CVE-2026-96067 y CVE-2026-96078: un desbordamiento de entero y un desbordamiento de búfer, respectivamente, podrían permitir la ejecución remota de código en Microsoft Color Management.
- CVE-2026-96157: un desbordamiento de búfer en Windows Media Foundation podría permitir la ejecución remota de código.
- CVE-2026-120779: una inyección de código en Visual Studio Code podría permitir que un servidor MCP malicioso ejecute código con los permisos del usuario tras su interacción.
- CVE-2026-114162: un control de autorización incorrecto en Microsoft Graph podría permitir asignar roles privilegiados en un entorno con Azure PIM.
- CVE-2026-118740: la falta de autorización en Aspire Dashboard podría permitir suplantar a un usuario, acceder a información o modificar la telemetría.
- CVE-2026-109454: un fallo de cross-site scripting en SharePoint podría permitir a un usuario autenticado suplantar a otro.
- CVE-2026-114146: un control de autorización incorrecto en ASP.NET Core podría permitir actuar con los permisos de un usuario privilegiado si este sigue un enlace manipulado.
- CVE-2026-80095: un fallo de cross-site scripting en SharePoint podría permitir a un usuario autenticado elevar privilegios.
- CVE-2026-95962: el uso de memoria después de liberarla en Windows Virtual Filtering Platform podría permitir la ejecución remota de código.
Múltiples vulnerabilidades en N-central de N-able
Servidores N-central con versiones anteriores a 2026.4 Hotfix 2, compilación 2026.4.1.26, tanto en instalaciones locales como alojadas por N-able.
N-able ha publicado una actualización que corrige 7 vulnerabilidades en N-central, 2 de severidad crítica y 5 altas. Los fallos críticos podrían permitir manipular el procesamiento de esquemas XML o hacer que el servidor envíe peticiones a otros sistemas.
- En instalaciones locales, actualizar el servidor a N-central 2026.4 Hotfix 2, compilación 2026.4.1.26. Para instalaciones anteriores a 2025.4, consultar la ruta de actualización en las notas de N-able.
- En instalaciones alojadas, N-able actualiza el servidor. Los clientes deben actualizar sus agentes y sondas en ambos tipos de instalación.
- Actualizar primero los agentes y después las sondas. Patch Management Engine (PME) se distribuye automáticamente. Comprobar su versión antes de actualizar las sondas para conservar la comunicación y funciones como la caché local de parches.
El hotfix deshabilita temporalmente la función de control remoto integrada.
- CVE-2026-125883: una restricción insuficiente de las entidades XML externas podría permitir alterar los esquemas utilizados por N-central para validar documentos.
- CVE-2026-125881: una falsificación de peticiones del lado del servidor (SSRF) en la validación de esquemas de importación podría hacer que N-central envíe peticiones a destinos de red elegidos por un atacante.
Múltiples vulnerabilidades en productos de Ivanti
- Ivanti Endpoint Manager (EPM), versión 2024 SU7 y anteriores.
- Ivanti Cloud Services Appliance (CSA), exclusivamente la versión 5.0.8.
Ivanti ha publicado 3 vulnerabilidades, 2 de severidad crítica y una media. Los fallos críticos podrían permitir a un atacante remoto sin autenticar ejecutar código en el servidor central de EPM o modificar el registro de certificados de confianza en CSA.
- Actualizar EPM a 2024 SU8 mediante el portal de descargas ILS, siguiendo el boletín de Ivanti para EPM.
- Actualizar CSA a 5.0.8.1, disponible en el boletín de Ivanti para CSA.
Si se aplaza la actualización de CSA, Ivanti indica que una configuración de doble interfaz de red conforme a sus instrucciones limita el acceso a la función vulnerable a la interfaz interna.
- CVE-2026-121653: una inyección SQL en el servidor central de EPM podría permitir a un atacante remoto sin autenticar ejecutar código arbitrario.
- CVE-2026-121683: una falta de autenticación en una función de CSA permite a un atacante remoto añadir o eliminar entradas del registro de certificados de confianza de los servidores centrales de EPM.
Múltiples vulnerabilidades en productos de Fortinet
Las siguientes versiones están afectadas por al menos una de las vulnerabilidades descritas.
- FortiOS de 8.0.0 a 8.0.1, de 7.6.0 a 7.6.7, de 7.4.0 a 7.4.12 y de 7.2.0 a 7.2.13.
- FortiManager y FortiAnalyzer de 8.0.0 a 8.0.2, de 7.6.0 a 7.6.7, de 7.4.0 a 7.4.11 y todas las versiones de la rama 7.2.
- FortiManager Cloud y FortiAnalyzer Cloud de 8.0.1 a 8.0.2, de 7.6.0 a 7.6.7, de 7.4.1 a 7.4.11 y todas las versiones de la rama 7.2.
- FortiAnalyzer-BigData de 7.6.0 a 7.6.2 para CVE-2026-126170. Fortinet también identifica este producto en el boletín de CVE-2026-126260, sin detallar las versiones afectadas.
- FortiSASE 26.3.1 y 26.3.1_a, y todas las versiones de las ramas 26.2, 26.1, 25.4, 25.3, 25.2, 25.1.a y 25.1.
- FortiSASE-Sovereign en las ramas 25, 25.3 y 25.4.
Fortinet ha publicado 8 vulnerabilidades de severidad crítica que, según el servicio y la configuración, un atacante podría ejecutar código o comandos, acceder a dominios virtuales ajenos, difundir anuncios de enrutamiento manipulados o provocar una denegación de servicio.
- Actualizar FortiOS a 8.0.2, 7.6.8, 7.4.13 o 7.2.14, o a una versión posterior de la rama utilizada.
- Actualizar FortiManager, FortiAnalyzer y sus variantes Cloud a 7.6.8 o 7.4.12, o a una versión posterior de la rama utilizada. En la rama 7.2, migrar a una rama corregida para resolver CVE-2026-126229. En la rama 8.0, instalar 8.0.2 para aplicar las correcciones disponibles y actualizar a 8.0.3 o posterior cuando se publique la corrección de CVE-2026-126170.
- Actualizar FortiAnalyzer-BigData a 7.6.3 o posterior cuando esté disponible para corregir CVE-2026-126170. Para CVE-2026-126260, confirmar con Fortinet la versión corregida aplicable a este producto.
- En FortiSASE, Fortinet aplicó la corrección en 26.3.2. Para las ramas anteriores afectadas y para FortiSASE-Sovereign 25, 25.3 y 25.4, migrar a una versión corregida.
Hasta instalar la corrección de CVE-2026-126170, deshabilitar la API JSON en los perfiles de administrador afectados mediante set rpc-permit none, según el boletín FG-IR-26-219.
Para CVE-2026-126259, Fortinet ofrece un parche virtual en la actualización FMWP 26.082. Consultar el boletín FG-IR-26-273.
- CVE-2026-126253: un fallo en la autenticación de OSPF permite a un atacante desde una red adyacente difundir anuncios de estado de enlace (LSA) manipulados sin autenticarse.
- CVE-2026-126229: el uso de una clave controlada por el usuario en dmserver permite a un administrador autenticado acceder a otros dominios virtuales (VDOM) mediante peticiones HTTP manipuladas.
- CVE-2026-126261: una comprobación de autorización incorrecta antes de verificar la contraseña de registro permite a un atacante sin autenticar ejecutar código o comandos si puede acceder al servicio FGFM de FortiManager.
- CVE-2026-126170: una codificación incorrecta de la salida de la API JSON-RPC permite ejecutar código o comandos mediante peticiones HTTP manipuladas sin autenticación. La explotación requiere que la API JSON esté habilitada.
- CVE-2026-126254: un error de truncamiento numérico en BGP permite que un vecino iBGP configurado provoque una denegación de servicio mediante paquetes manipulados.
- CVE-2026-126260: una falsificación de solicitudes del lado del servidor (SSRF) en OFTP podría permitir a un atacante sin autenticar ejecutar código o comandos mediante paquetes manipulados.
- CVE-2026-126259: un fallo de autenticación en el procesamiento de paquetes de alta disponibilidad permite ejecutar comandos con privilegios de superadministrador. Afecta a configuraciones con FGSP y standalone-config-sync, o con escalado automático.
- CVE-2026-126262: una inyección SQL en OFTP podría permitir ejecutar código o comandos sin autenticación en FortiAnalyzer y en FortiManager con las funciones de FortiAnalyzer habilitadas.