Hilos · 5 noticias en 19 días
WordPress: instalar el parche de la falla ya explotada CVE-2026-119977 puede exponer el sitio una última vez (06/11)
- Noticias
- 5
- Briefings
- 5
- Empieza
- Última
-
CVE-2026-111862: Rank Math PRO distribuyó por su propio canal oficial una versión troyanizada con un backdoor que se regenera solo, CVSS 9.8 (19/10)
El plugin SEO pago —el que se baja de rankmath.com, no el gratuito de WordPress.org— sirvió copias maliciosas de la versión 3.0.123 a través de su sistema oficial de descarga y actualización. La ventana es el único criterio válido para saber si una copia está comprometida: todo lo bajado o actualizado entre las 20:02 UTC del 15/10 y las 07:12 UTC del 16/10; el número de versión por sí solo no alcanza. El backdoor se vuelve a crear cada vez que alguien visita el sitio y, según el aviso del fabricante y los de terceros, puede dejar backdoors PHP en carpetas de plugins, themes y mu-plugins, crear cuentas de administrador, modificar.htaccess, agregar un archivo falso del core de WordPress, y plantar tareas programadas y claves SSH. Rank Math quitó los archivos y publicó la 3.0.124 limpia, pero el parche no borra lo que ya quedó en el servidor: cualquier sitio que haya activado la 3.0.123 en esa ventana se trata como comprometido, se rotan todos los secretos alcanzables —contraseñas, credenciales de base de datos, API keys— y se bloquea rank1cdn[.]com. Lo que no se sabe es grande: cómo entraron los archivos maliciosos al sistema de distribución, cuántos clientes los recibieron, si las actualizaciones automáticas los empujaron, los hashes del paquete limpio y del contaminado, y quién está detrás. The Hacker News
-
Una falla en Microsoft Authenticator dejaba a una app Android sin permisos robar tokens de cuentas de trabajo (27/10)
CVE-2026-80097, que Microsoft puntúa 8,6 e "Importante", la encontró Ofek Levin por un programa de fellowship de la firma Enclave y Microsoft la arregló en el Patch Tuesday de septiembre. El mecanismo es prolijo: Authenticator funciona como broker que emite tokens de inicio de sesión para apps de Microsoft como Teams y Outlook, y expone una actividad llamada AccountChooserActivity que cualquier app del dispositivo puede lanzar; la app del atacante pasaba el nombre de la app que decía ser —Teams— y Authenticator armaba el pedido de token con esos valores. Había un chequeo de firma que debía frenar eso, pero comparaba contra la firma real de Teams, que estaba presente en el dispositivo, así que pasaba; Authenticator podía ver la identidad de la app que llamaba y no la usaba para decidir si emitir el token. En las pruebas de Enclave, los tokens de Microsoft Graph robados servían para leer y mandar correo, leer y escribir archivos y leer y escribir calendarios, limitados a la cuenta de trabajo logueada en ese dispositivo. La versión arreglada es Authenticator para Android 6.2606.4246 o posterior, y se puede forzar el mínimo por gestión de dispositivos Android. Dos puntos en disputa y uno abierto: Enclave dice que su prueba de concepto no necesitaba interacción del usuario más allá de tener una cuenta logueada, mientras Microsoft sostiene que hace falta una app maliciosa en el dispositivo y que el usuario complete un flujo de autenticación, y su CVSS refleja eso; Microsoft dice que no fue explotada y la califica como "menos probable", y al 26 de octubre no está en el catálogo de CISA; y el artículo no aclara si actualizar revoca los tokens que una app maliciosa ya hubiera obtenido. The Hacker News
-
CISA confirma explotación activa de una falla en el core de WordPress que se abre justo durante la actualización (04/11)
CVE-2026-119977, 8,1 de CVSS, es una condición de carrera time-of-check time-of-use que puede terminar en ejecución de código arbitrario. El vector es lo que la hace fea: según CISA el problema son "rutas de staging predecibles y accesibles por web usadas durante las actualizaciones de paquete completo del core", así que un atacante sin autenticar aprovecha la ventana breve en la que el sitio se está actualizando a sí mismo. El volumen ya se ve: Wordfence reportó más de 18.500 pedidos contra rutas de instalador setup-config.php en staging en las primeras 21 horas desde la divulgación, y después 12.632 ataques bloqueados en 24 horas; Previdian registró tres intentos el 30 de octubre desde una IP geolocalizada en Reino Unido. Los parches salieron a fines de octubre —el aviso es GHSA-4w3m-c66w-69mg— y las agencias civiles federales de Estados Unidos tienen hasta el 6 de noviembre. No hay mitigación alternativa descrita: hay que parchear. The Hacker News
-
Paint tiene una ejecución remota de código sin clic (CVE-2026-83844) y el parche no llega por Windows Update (06/11)
Es una lectura fuera de límites de 8,1 de CVSS que Microsoft califica de Importante, y según el aviso un atacante podría mandar "un paquete especialmente armado a un servicio afectado por la red" sin iniciar sesión y sin que el usuario haga nada; el aviso no nombra cuál es el servicio afectado. El detalle operativo es el que hace falta anotar: Paint recibe el arreglo únicamente por una actualización de la Microsoft Store, no por Windows Update, así que un parque con Windows Update al día puede seguir vulnerable. Hay además una contradicción entre fuentes que conviene mirar antes de declarar nada parcheado: el registro de CVE y el NVD listan Paint como afectado solo por debajo de la build 11.2605.91.0, mientras el aviso de Microsoft nombra 11.2609.401.0 como la build arreglada. Microsoft la publicó el 13 de octubre sin explotación conocida ni divulgación pública, y no estaba en el catálogo KEV de CISA al momento del chequeo. El aviso no lista workaround; la sugerencia del investigador que lo levantó fue desinstalar Paint donde no se use, sin probarlo. The Hacker News · Cybernews
-
WordPress: instalar el parche de la falla ya explotada CVE-2026-119977 puede exponer el sitio una última vez (06/11)
La falla es del núcleo de WordPress, no de un plugin, y afecta de la versión 4.7 a la 7.1.3; la encontró Umut Bayram de Picus Security y dice que viene desde la 2.7. El mecanismo: un atacante no autenticado que adivine el nombre de una carpeta temporal bajo wp-content/upgrade y llegue al instalador antes de que WordPress la borre puede ejecutar código en el servidor. La vuelta de tuerca es la que hay que tener en cuenta antes de actualizar: la propia actualización que instala el arreglo descomprime archivos con el código viejo del actualizador que todavía está en el sitio, y en sitios con 5.9 o posterior ese código nombra la carpeta según el archivo descargado, así que el nombre es predecible durante esa única actualización. Quien pegue en esa ventana puede armar una copia temporal de WordPress, loguearse y correr PHP con los permisos del servidor web; las ramas 4.4 a 5.8 le agregan caracteres aleatorios al nombre, lo que lo esconde salvo que se filtre por otro lado. Los paquetes completos siempre traen el instalador y por lo tanto están expuestos, los parciales solo si lo incluyen, y en las pruebas del investigador las actualizaciones dentro de la misma rama recibían paquetes parciales mientras los saltos de rama recibían completos. La explotación ya está andando: CISA lo metió en su catálogo KEV esa semana, Wordfence vio intentos de ataque nueve minutos después de desplegar su regla de firewall el día del lanzamiento y detectó dos fuentes chequeando grupos chicos de sitios durante unas 14,5 horas, lo que lee como intentos de agarrar sitios a mitad de actualización; hay repos públicos de GitHub con código descrito como exploit, sin confirmar que funcione. Hay además una discrepancia de severidad: Wordfence le pone 8,1 y el aviso de WordPress la califica de baja. La mitigación antes de actualizar es bloquear el acceso web a wp-content/upgrade en la configuración del servidor y verificar que devuelva 403 —no poner un.htaccess adentro de esa carpeta, porque el actualizador viejo le borra el contenido—, o hacer la actualización a mano fuera del directorio servido; wp core update de WP-CLI usa el mismo actualizador vulnerable y no evita el riesgo. The Hacker News
El hilo se arma solo en cada build: junta noticias de días distintos que nombran a la misma entidad y repiten vocabulario que casi no aparece en el resto del archivo. Nadie lo edita a mano, así que puede dejar afuera una noticia o sumar una de al lado.