Dos vulnerabilidades permiten ejecutar código al abrir documentos ofimáticos manipulados sin depender de los avisos clásicos de macros. LibreOffice Calc ya cuenta con corrección, mientras que en Apache OpenOffice la mitigación pasa por recortar superficie de ataque, especialmente desactivando Java hasta que llegue el parche estable. El riesgo no llega por una macro visible ni … [Leer más...] acerca de Dos fallos en LibreOffice y OpenOffice permiten ejecutar código al abrir hojas de cálculo sin avisos de macros
General
Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código
Se explota activamente CVE-2026-61500 en Rejetto HTTP File Server (HFS), un fallo crítico que permite falsificar una sesión de administrador y acabar en ejecución remota de código. Afecta a HFS 3.0.0 a 3.2.0 y se corrige en 3.2.1, por lo que la actualización resulta prioritaria si el servidor está expuesto a Internet. Administradores y equipos de seguridad vigilan estos días … [Leer más...] acerca de Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código
Un fallo en Steam para Windows permite escalar privilegios a SYSTEM sin UAC
Un proof of concept llamado BrokenPipe muestra cómo un usuario estándar en Windows puede elevar permisos hasta NT AUTHORITY\SYSTEM a través de Steam Client Service, sin contraseña de administrador ni aviso de UAC. Es una escalada local, no remota, y por ahora no consta CVE público ni una corrección verificada específica para este caso. Un nuevo proof of concept bautizado como … [Leer más...] acerca de Un fallo en Steam para Windows permite escalar privilegios a SYSTEM sin UAC
Una campaña explota dos zero-days críticos en Citrix NetScaler para instalar web shells y moverse por la red
Dos vulnerabilidades zero-day críticas en Citrix NetScaler se explotan activamente para lograr ejecución remota de código sin autenticación y desplegar web shells y herramientas de tunelización. Citrix ya publicó parches y CISA ha marcado una fecha límite, el 30 de septiembre de 2026, para que los organismos federales de EEUU corrijan el riesgo. Una campaña de intrusiones está … [Leer más...] acerca de Una campaña explota dos zero-days críticos en Citrix NetScaler para instalar web shells y moverse por la red
Una campaña automatizada saquea servidores de desarrollo Vite expuestos para robar secretos de AWS y Azure
Una oleada de escaneos masivos está buscando servidores de desarrollo de Vite publicados en Internet para extraer ficheros sensibles y hacerse con credenciales de AWS y Microsoft Azure. Los ataques explotan CVE-2026-39364, un fallo que permite leer archivos sin autenticación al eludir los controles de acceso del dev server. La industria de la seguridad ha detectado una campaña … [Leer más...] acerca de Una campaña automatizada saquea servidores de desarrollo Vite expuestos para robar secretos de AWS y Azure