Fortinet ha lanzado parches fuera de banda para una falla de seguridad crítica que afecta a FortiClient EMS y que, según dijo, ha sido explotada en la naturaleza.

La vulnerabilidad, rastreada como CVE-2026-35616 (puntuación CVSS: 9,1), se ha descrito como una omisión de acceso a la API de autenticación previa que conduce a una escalada de privilegios.

«Una vulnerabilidad de control de acceso inadecuado [CWE-284] en FortiClient EMS puede permitir que un atacante no autenticado ejecute código o comandos no autorizados a través de solicitudes diseñadas», Fortinet dicho en un aviso del sábado.

El problema afecta a las versiones 7.4.5 a 7.4.6 de FortiClient EMS. Se espera que esté completamente parcheado en la próxima versión 7.4.7, aunque la compañía ha lanzó una revisión para abordarlo.

A Simo Kohonen de Defused Cyber ​​y Nguyen Duc Anh se les atribuye el descubrimiento y reporte de la falla. En una publicación en X, Cyber ​​desactivado dicho observó la explotación de día cero de CVE-2026-35616 a principios de esta semana. Según watchTowr, los intentos de explotación contra CVE-2026-35616 se registraron por primera vez en sus honeypots el 31 de marzo de 2026.

La explotación exitosa de la falla podría permitir a un atacante no autenticado eludir las protecciones de autorización y autenticación de API y ejecutar códigos o comandos maliciosos a través de solicitudes diseñadas.

«Fortinet ha observado que esto se explota en la naturaleza e insta a los clientes vulnerables a instalar la revisión para FortiClient EMS 7.4.5 y 7.4.6», añadió la compañía.

El desarrollo se produce pocos días después de que otra vulnerabilidad crítica recientemente parcheada en FortiClient EMS (CVE-2026-21643, puntuación CVSS: 9.1) fuera objeto de explotación activa. Actualmente no se sabe si el mismo actor de amenazas está detrás de la explotación de ambas fallas y si se están utilizando como armas juntas.

Dada la gravedad de las vulnerabilidades, se recomienda a los usuarios que actualicen su FortiClient EMS a la última versión lo antes posible.

«El momento del aumento de la explotación salvaje de este día cero probablemente no sea una coincidencia», dijo el CEO y fundador de watchTowr, Benjamin Harris, a The Hacker News.

«Los atacantes han demostrado repetidamente que los fines de semana festivos son el mejor momento para actuar. Los equipos de seguridad están a la mitad de sus efectivos, los ingenieros de guardia están distraídos y la ventana entre el compromiso y la detección se extiende de horas a días. La Semana Santa, como cualquier otro día festivo, representa una oportunidad».

«Lo que es decepcionante es el panorama general. Esta es la segunda vulnerabilidad no autenticada en FortiClient EMS en cuestión de semanas».

«Entonces, una vez más, las organizaciones que ejecutan FortiClient EMS y están expuestas a Internet deben tratar esto como una situación de respuesta de emergencia, no como algo que se pueda resolver el martes por la mañana. Aplique la revisión. Los atacantes ya tienen una ventaja».

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el lunes agregado una falla de seguridad de gravedad media que afecta a Wing FTP a sus vulnerabilidades explotadas conocidas (KEV) catálogo, citando evidencia de explotación activa.

La vulnerabilidad, CVE-2025-47813 (Puntuación CVSS: 4,3), es una vulnerabilidad de divulgación de información que filtra la ruta de instalación de la aplicación bajo ciertas condiciones.

«Wing FTP Server contiene una generación de mensajes de error que contienen vulnerabilidades de información confidencial cuando se utiliza un valor largo en la cookie UID», dijo CISA.

La deficiencia afecta a todas las versiones del software anteriores a la versión 7.4.3 incluida. El problema se solucionó en la versión 7.4.4, enviada en mayo luego de una divulgación responsable por parte del investigador de seguridad de RCE, Julien Ahrens.

Vale la pena señalar que la versión 7.4.4 también parchea CVE-2025-47812 (puntaje CVSS: 10.0), otro error crítico en el mismo producto que permite la ejecución remota de código. En julio de 2025, la vulnerabilidad se encuentra bajo explotación activa en la naturaleza.

Según los detalles compartidos por Huntress en ese momento, los atacantes lo aprovecharon para descargar y ejecutar archivos Lua maliciosos, realizar reconocimientos e instalar software de administración y monitoreo remoto.

Ahrens, en un exploit de prueba de concepto (PoC), compartido en GitHub, señaló que el punto final en «/loginok.html» no valida adecuadamente el valor de la cookie de sesión «UID». Como resultado, si el valor proporcionado es más largo que el tamaño de ruta máximo del sistema operativo subyacente, genera un mensaje de error que revela la ruta completa del servidor local.

«Los exploits exitosos pueden permitir que un atacante autenticado obtenga la ruta del servidor local de la aplicación, lo que puede ayudar a explotar vulnerabilidades como CVE-2025-47812», el investigador agregado.

Actualmente no hay detalles sobre cómo se explota la vulnerabilidad en la naturaleza y si se abusa de ella junto con CVE-2025-47812. A la luz de los últimos acontecimientos, se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen las correcciones necesarias antes del 30 de marzo de 2026.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el miércoles agregado una falla de seguridad crítica que afecta a n8n a sus vulnerabilidades explotadas conocidas (KEV) catálogo, basado en evidencia de explotación activa.

La vulnerabilidad, rastreada como CVE-2025-68613 (Puntuación CVSS: 9,9), se refiere a un caso de inyección de expresión que conduce a la ejecución remota de código. n8n solucionó la deficiencia de seguridad en diciembre de 2025 en las versiones 1.120.4, 1.121.1 y 1.122.0. CVE-2025-68613 es la primera vulnerabilidad n8n que se incluye en el catálogo KEV.

«N8n contiene un control inadecuado de la vulnerabilidad de los recursos de código administrados dinámicamente en su sistema de evaluación de expresiones de flujo de trabajo que permite la ejecución remota de código», dijo CISA.

Según los mantenedores de la plataforma de automatización del flujo de trabajo, un atacante autenticado podría aprovechar la vulnerabilidad para ejecutar código arbitrario con los privilegios del proceso n8n.

La explotación exitosa de la falla podría resultar en un compromiso total de la instancia, lo que permitiría al atacante acceder a datos confidenciales, modificar flujos de trabajo o ejecutar operaciones a nivel de sistema.

Actualmente no hay detalles sobre cómo se está explotando la vulnerabilidad en la naturaleza. Datos de la Fundación Shadowserver muestra que hay más de 24.700 casos sin parches expuestos en línea, más de 12.300 de ellos ubicados en América del Norte y 7.800 en Europa a principios de febrero de 2026.

La adición de CVE-2025-68613 se produce cuando Pillar Security reveló dos fallas críticas en n8n, una de las cuales, CVE-2026-27577 (puntaje CVSS: 9.4), se clasificó como «exploits adicionales» descubiertos en el sistema de evaluación de expresiones de flujo de trabajo después de CVE-2025-68613.

Se ordenó a las agencias del Poder Ejecutivo Civil Federal (FCEB) que parchearan sus instancias n8n antes del 25 de marzo de 2026, según lo dispuesto por una Directiva Operativa Vinculante (BOD 22-01) emitida en noviembre de 2021.

Microsoft abordó 83 vulnerabilidades que abarcan su amplia cartera de software empresarial y servicios subyacentes en su última actualización de seguridad. El lanzamiento del martes de parches de la compañía no contenía vulnerabilidades de día cero explotadas activamente y seis defectos que describió como más propensos a ser explotados.

El lote de parches del proveedor marca la primera actualización mensual sin un día cero explotado activamente en seis meses.

La «falta de errores bajo ataque activo es un cambio agradable con respecto al mes pasado», cuando Microsoft informó seis vulnerabilidades explotadas activamente, dijo Dustin Childs, jefe de concientización sobre amenazas en la Iniciativa Día Cero de Trend Micro, en un publicación de blog Martes.

Dos vulnerabilidades abordadas este mes: CVE-2026-21262 y CVE-2026-26127 – figuraban como de conocimiento público en el momento de su publicación. “Estos insectos ladran más que muerden”, dijo Satnam Narang, ingeniero de investigación senior de Tenable.

Más de la mitad de los defectos de la actualización de este mes pueden provocar privilegios elevados, y seis de esas vulnerabilidades… CVE-2026-23668, CVE-2026-24289, CVE-2026-24291, CVE-2026-24294, CVE-2026-25187 y CVE-2026-26132 – fueron calificados como más propensos a ser explotados, añadió Narang.

Un defecto de divulgación de información en Microsoft Excel: CVE-2026-26144 — muestra un escenario de ataque que probablemente ocurra con más frecuencia, según Childs. «Un atacante podría usarlo para hacer que el agente Copilot extraiga datos del objetivo», esencialmente convirtiéndolo en una operación sin clic, escribió.

Los investigadores también se centraron en un par de defectos en Microsoft Office con calificaciones CVSS de 8,4: CVE-2026-26110 y CVE-2026-26113 – que los atacantes pueden activar para ejecutar código arbitrario. El plano de vista previa de Microsoft Office puede servir como vector de ataque para ambas vulnerabilidades.

«Las vulnerabilidades de ejecución remota de código en las aplicaciones de Office plantean riesgos importantes para las organizaciones, ya que los documentos se comparten ampliamente por correo electrónico, archivos compartidos y plataformas de colaboración», dijo en un correo electrónico Mike Walters, presidente y cofundador de Action1.

«Si son explotados, los atacantes podrían hacerse con el control de los sistemas de los usuarios, implementar ransomware, robar datos corporativos o moverse lateralmente a través de redes internas», añadió. «Incluso un solo documento malicioso podría comprometer un punto final y dar a los atacantes un punto de apoyo dentro de la organización».

La lista completa de vulnerabilidades abordadas este mes está disponible en Centro de respuesta de seguridad de Microsoft.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el lunes agregado tres fallas de seguridad en sus vulnerabilidades explotadas conocidas (KEV) catálogo, basado en evidencia de explotación activa.

La lista de vulnerabilidades es la siguiente:

• CVE-2021-22054 (Puntuación CVSS: 7,5) – Una falsificación de solicitud del lado del servidor (SSRF) vulnerabilidad en Omnissa Workspace One UEM (anteriormente VMware Workspace One UEM) que podría permitir que un actor malicioso con acceso de red a UEM enviar solicitudes sin autenticación y obtener acceso a información sensible.
• CVE-2025-26399 (Puntuación CVSS: 9,8): una vulnerabilidad de deserialización de datos no confiables en el componente AjaxProxy de SolarWinds Web Help Desk que podría permitir a un atacante ejecutar comandos en la máquina host.
• CVE-2026-1603 (Puntuación CVSS: 8,6): una omisión de autenticación que utiliza una ruta alternativa o una vulnerabilidad de canal en Ivanti Endpoint Manager que podría permitir que un atacante remoto no autenticado filtre datos de credenciales almacenados específicos.

La adición de CVE-2025-26399 se produce a raíz de informes de Microsoft y Huntress de que los actores de amenazas están explotando fallas de seguridad en SolarWinds Web Help Desk para obtener acceso inicial. Se cree que la actividad es obra del equipo de ransomware Warlock.

CVE-2021-22054, por otro lado, fue señalado por GreyNoise en marzo de 2025 como explotado junto con varias otras vulnerabilidades de la SSRF en otros productos como parte de una campaña coordinada.

Actualmente no hay detalles sobre cómo se está utilizando CVE-2026-1603 como arma en la naturaleza. Al momento de escribir este artículo, Ivanti boletín de seguridad no se ha actualizado para reflejar el estado de explotación.

Para contrarrestar el riesgo que representan las amenazas activas, se ordenó a las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen la solución para la mesa de ayuda web de SolarWinds antes del 12 de marzo de 2026 y las dos restantes antes del 23 de marzo de 2026.

«Este tipo de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y plantean riesgos significativos para la empresa federal», dijo CISA.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el martes agregado una falla de seguridad recientemente revelada que afecta las operaciones de Broadcom VMware Aria a sus vulnerabilidades explotadas conocidas (KEV) catálogo, citando explotación activa en la naturaleza.

La vulnerabilidad de alta gravedad, CVE-2026-22719 (Puntuación CVSS: 8,1), se ha descrito como un caso de inyección de comandos que podría permitir que un atacante no autenticado ejecute comandos arbitrarios.

«Un actor malicioso no autenticado puede aprovechar este problema para ejecutar comandos arbitrarios, lo que puede llevar a la ejecución remota de código en VMware Aria Operations mientras se realiza la migración de productos asistida por soporte», dijo la compañía. dicho en un aviso publicado a finales del mes pasado.

La deficiencia se solucionó, junto con CVE-2026-22720, una vulnerabilidad de secuencias de comandos entre sitios almacenados, y CVE-2026-22721, una vulnerabilidad de escalada de privilegios que podría resultar en acceso administrativo. Afecta a los siguientes productos:

• VMware Cloud Foundation y VMware vSphere Foundation 9.xxx: corregido en 9.0.2.0
• Operaciones de VMware Aria 8.x: corregido en 8.18.6

Los clientes que no puedan aplicar el parche inmediatamente pueden descargar y ejecutar un script de shell («aria-ops-rce-workaround.sh») como raíz de cada nodo del dispositivo virtual de operaciones Aria.

Actualmente no hay detalles sobre cómo se está explotando la vulnerabilidad en la naturaleza, quién está detrás de ella y la escala de dichos esfuerzos.

«Broadcom está al tanto de los informes sobre una posible explotación de CVE-2026-22719 en estado salvaje, pero no podemos confirmar de forma independiente su validez», señaló la compañía en una actualización de su boletín.

A la luz de la explotación activa, las agencias del Poder Ejecutivo Civil Federal (FCEB) deben aplicar las correcciones antes del 24 de marzo de 2026.

Google reveló el lunes una vulnerabilidad de día cero explotada activamente, advirtiendo que el defecto de alta gravedad que afecta a un componente de pantalla de código abierto de Qualcomm para dispositivos Android «puede estar bajo explotación limitada y dirigida».

La vulnerabilidad de la corrupción de la memoria CVE-2026-21385 – que el equipo de seguridad de Android de Google informó a Qualcomm el 18 de diciembre, afecta a 234 conjuntos de chips, dijo Qualcomm en un boletín de seguridad. Qualcomm dijo que notificó a los clientes sobre la vulnerabilidad el 2 de febrero.

Qualcomm se negó a decir cuándo ocurrió el primer caso conocido de explotación, cuántas víctimas se vieron afectadas directamente y qué ocurrió durante el período de 10 semanas entre el informe y la divulgación pública de la vulnerabilidad.

«Felicitamos a los investigadores del Grupo de Análisis de Amenazas de Google por utilizar prácticas de divulgación coordinadas», dijo un portavoz de Qualcomm a CyberScoop. «Las correcciones estuvieron disponibles para nuestros clientes en enero de 2026. Alentamos a los usuarios finales a aplicar actualizaciones de seguridad a medida que estén disponibles por parte de los fabricantes de dispositivos».

Un portavoz de Google dijo que Qualcomm marcó la vulnerabilidad como explotada. «No tenemos ninguna información ni acceso a los informes de explotación», añadió el portavoz.

Google solucionó 129 defectos en su actualización de seguridad mensual para dispositivos Android, lo que refleja un aumento en las divulgaciones de vulnerabilidades por parte del proveedor. La última actualización de seguridad de la compañía contiene la mayor cantidad de vulnerabilidades de Android parcheadas en un solo mes desde abril de 2018.

El programa público de divulgación e informes de vulnerabilidades de Google para Android ha sido desigual. La empresa normalmente publicaba docenas de parches de seguridad cada mes, pero esa cadencia se ha convertido en una rutina más ocasional.

En lo que va del año, Google abordó una vulnerabilidad de Android en enero y ninguna en febrero. También hubo pausas ocasionales el año pasado cuando Google no informó ninguna vulnerabilidad en julio y octubre, seis en agosto y dos vulnerabilidades en noviembre. Sin embargo, las divulgaciones para 2025 alcanzaron su punto máximo con 120 defectos en septiembre y repuntaron nuevamente en diciembre con 107 vulnerabilidades, incluidas dos de día cero.

Google respondió anteriormente a preguntas sobre caídas en la cantidad de vulnerabilidades que revela cada mes, señalando que sigue centrado en los defectos que representan el mayor peligro.

«Android detiene la mayor parte de la explotación de vulnerabilidades en la fuente con un amplio refuerzo de la plataforma, como nuestro uso del lenguaje Rust, seguro para la memoria, y protecciones antiexplotación avanzadas», dijo un portavoz de Google en diciembre. «Android y Pixel abordan continuamente las vulnerabilidades de seguridad conocidas y priorizan reparar y parchar primero las de mayor riesgo».

El boletín de seguridad de Android de marzo incluye dos niveles de parche (2026-03-01 y 2026-03-05), lo que permite a los socios de Android abordar vulnerabilidades comunes en diferentes dispositivos. Los fabricantes de dispositivos Android lanzan parches de seguridad según su propio calendario después de haber personalizado las actualizaciones del sistema operativo para su hardware específico.

La actualización de seguridad principal contiene 63 vulnerabilidades, incluidas 32 en el marco, 19 en el sistema y 12 que afectan a Google Play. Casi la mitad de esas vulnerabilidades tienen identificadores CVE a partir de 2025.

El segundo parche aborda 66 vulnerabilidades, incluidas 15 vulnerabilidades que afectan al kernel, un defecto de un componente Arm, siete fallas de Imagination Technologies y siete vulnerabilidades en los componentes de Unisoc.

El segundo nivel de parche también contiene correcciones para ocho vulnerabilidades en componentes de Qualcomm de código cerrado y siete defectos de alta gravedad en componentes de Qualcomm de código abierto, incluido CVE-2026-21385.

Google dijo que el código fuente de todas las vulnerabilidades abordadas en el boletín de seguridad de Android de este mes se publicará en el repositorio del Proyecto de Código Abierto de Android el miércoles.