Una al día

Una-al-día nació a raíz de un inocente comentario en un canal IRC hace casi 19 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

• Node.js corrige fallos graves de TLS y Brotli en sus ramas 26, 24 y 22

  Node.js publicó el 21 de octubre de 2026 versiones de seguridad para 26.x, 24.x y 22.x. El lote corrige vulnerabilidades de severidad alta que afectan a la validación TLS y al decodificador Brotli, además de actualizar dependencias críticas como OpenSSL y Undici. Los equipos que despliegan servicios en Node.js tienen una actualización urgente sobre la […]

  La entrada Node.js corrige fallos graves de TLS y Brotli en sus ramas 26, 24 y 22 se publicó primero en Una Al Día.

• Node.js corrige un fallo en Brotli que abre la puerta a ejecución remota de código

  Un fallo de alta severidad en el decodificador Brotli de Node.js puede provocar una escritura fuera de límites y acabar en ejecución remota de código al procesar datos manipulados. Node.js ya ha publicado versiones corregidas para las ramas soportadas: 22.23.4, 24.22.1 y 26.12.1. La última tanda de parches de seguridad de Node.js, publicada el 21 […]

  La entrada Node.js corrige un fallo en Brotli que abre la puerta a ejecución remota de código se publicó primero en Una Al Día.

• PHP publica parches de urgencia por dos fallos críticos PHP2Shell con intentos de explotación

  PHP ha lanzado parches de urgencia para dos vulnerabilidades críticas agrupadas como PHP2Shell que permiten ejecución remota de código sin autenticación. Ya se han detectado intentos de explotación activa, así que la recomendación es actualizar y reiniciar servicios cuanto antes. La comunidad de PHP ha publicado actualizaciones de emergencia para corregir dos vulnerabilidades críticas, conocidas […]

  La entrada PHP publica parches de urgencia por dos fallos críticos PHP2Shell con intentos de explotación se publicó primero en Una Al Día.

• Un ciberataque apaga vitrinas frigoríficas en supermercados franceses

  Un ciberataque permitió manipular a distancia sistemas de refrigeración en supermercados de Francia, elevó temperaturas al activar ciclos de desescarche y obligó a retirar producto. El caso vuelve a señalar un punto débil conocido: interfaces web de gestión OT expuestas a Internet, en este caso asociadas a controladores Danfoss con software desactualizado. El apagado y […]

  La entrada Un ciberataque apaga vitrinas frigoríficas en supermercados franceses se publicó primero en Una Al Día.

• Atacantes aprovechan un fallo crítico en Atlassian Data Center tras publicarse una prueba de concepto

  La vulnerabilidad CVE-2026-21589 en productos Atlassian Data Center ya registra intentos de explotación pocas horas después de difundirse una prueba de concepto. El defecto permite leer ficheros concretos sin autenticación y, en entornos integrados con Crowd, puede facilitar una escalada hasta permisos de administrador. Los intentos de explotación contra CVE-2026-21589 han empezado a aparecer casi […]

  La entrada Atacantes aprovechan un fallo crítico en Atlassian Data Center tras publicarse una prueba de concepto se publicó primero en Una Al Día.

• Dos fallos en LibreOffice y OpenOffice permiten ejecutar código al abrir hojas de cálculo sin avisos de macros

  Dos vulnerabilidades permiten ejecutar código al abrir documentos ofimáticos manipulados sin depender de los avisos clásicos de macros. LibreOffice Calc ya cuenta con corrección, mientras que en Apache OpenOffice la mitigación pasa por recortar superficie de ataque, especialmente desactivando Java hasta que llegue el parche estable. El riesgo no llega por una macro visible ni […]

  La entrada Dos fallos en LibreOffice y OpenOffice permiten ejecutar código al abrir hojas de cálculo sin avisos de macros se publicó primero en Una Al Día.

• Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código

  Se explota activamente CVE-2026-61500 en Rejetto HTTP File Server (HFS), un fallo crítico que permite falsificar una sesión de administrador y acabar en ejecución remota de código. Afecta a HFS 3.0.0 a 3.2.0 y se corrige en 3.2.1, por lo que la actualización resulta prioritaria si el servidor está expuesto a Internet. Administradores y equipos […]

  La entrada Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código se publicó primero en Una Al Día.

• Un fallo en Steam para Windows permite escalar privilegios a SYSTEM sin UAC

  Un proof of concept llamado BrokenPipe muestra cómo un usuario estándar en Windows puede elevar permisos hasta NT AUTHORITY\SYSTEM a través de Steam Client Service, sin contraseña de administrador ni aviso de UAC. Es una escalada local, no remota, y por ahora no consta CVE público ni una corrección verificada específica para este caso. Un […]

  La entrada Un fallo en Steam para Windows permite escalar privilegios a SYSTEM sin UAC se publicó primero en Una Al Día.

• Una campaña explota dos zero-days críticos en Citrix NetScaler para instalar web shells y moverse por la red

  Dos vulnerabilidades zero-day críticas en Citrix NetScaler se explotan activamente para lograr ejecución remota de código sin autenticación y desplegar web shells y herramientas de tunelización. Citrix ya publicó parches y CISA ha marcado una fecha límite, el 30 de septiembre de 2026, para que los organismos federales de EEUU corrijan el riesgo. Una campaña […]

  La entrada Una campaña explota dos zero-days críticos en Citrix NetScaler para instalar web shells y moverse por la red se publicó primero en Una Al Día.

• Una campaña automatizada saquea servidores de desarrollo Vite expuestos para robar secretos de AWS y Azure

  Una oleada de escaneos masivos está buscando servidores de desarrollo de Vite publicados en Internet para extraer ficheros sensibles y hacerse con credenciales de AWS y Microsoft Azure. Los ataques explotan CVE-2026-39364, un fallo que permite leer archivos sin autenticación al eludir los controles de acceso del dev server. La industria de la seguridad ha […]

  La entrada Una campaña automatizada saquea servidores de desarrollo Vite expuestos para robar secretos de AWS y Azure se publicó primero en Una Al Día.