1. CVE-2026-20349 — Vulnerabilidad de inspección del montón en Cisco Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD)
Proveedor/producto: Cisco / Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD)
Añadido: 2026-08-11 · Fecha límite de CISA: 2026-08-14 · Uso conocido por ransomware: Desconocido
CWE: CWE-244
Cisco Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD) contienen una vulnerabilidad de inspección del montón que podría permitir a un atacante remoto no autenticado provocar una recarga inesperada del dispositivo, resultando en una condición de denegación de servicio (DoS).
Acción requerida por CISA: Aplique las mitigaciones conforme a las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de CISA «Prioritizing Security Updates Based on Risk» (consulte la URL en las Notas) y de los «Forensics Triage Requirements» de CISA (consulte la URL en las Notas). Siga la guía aplicable de la BOD 26-04 para servicios en la nube o deje de utilizar el producto si no hay mitigaciones disponibles. Las partes interesadas son responsables de evaluar la exposición a Internet de cada activo y de garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Referencias de CISA: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-vpn-dos-dzv4mQFF ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20349
Ver CVE-2026-20349 en el catálogo de CISA →
2. CVE-2026-68820 — Vulnerabilidad de use-after-free en el controlador de funciones auxiliares para WinSock de Microsoft Windows
Proveedor/producto: Microsoft / Windows Ancillary Function Driver for WinSock
Añadido: 2026-08-11 · Fecha límite de CISA: 2026-08-25 · Uso conocido por ransomware: Desconocido
CWE: CWE-416
El controlador de funciones auxiliares para WinSock de Microsoft Windows contiene una vulnerabilidad de use-after-free que permite a un atacante autorizado elevar privilegios localmente.
Acción requerida por CISA: Aplique las mitigaciones conforme a las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de CISA «Prioritizing Security Updates Based on Risk» (consulte la URL en las Notas) y de los «Forensics Triage Requirements» de CISA (consulte la URL en las Notas). Siga la guía aplicable de la BOD 26-04 para servicios en la nube o deje de utilizar el producto si no hay mitigaciones disponibles. Las partes interesadas son responsables de evaluar la exposición a Internet de cada activo y de garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Referencias de CISA: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2026-68820 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-68820
Ver CVE-2026-68820 en el catálogo de CISA →
3. CVE-2026-72898 — Vulnerabilidad de inyección SQL en Metabase
Proveedor/producto: Metabase / Metabase
Añadido: 2026-08-11 · Fecha límite de CISA: 2026-08-14 · Uso conocido por ransomware: Desconocido
CWE: CWE-89
Metabase contiene una vulnerabilidad de inyección SQL que permite a un atacante remoto no autenticado inyectar SQL arbitrario en la base de datos de la aplicación Metabase, lo cual puede otorgarle acceso de administrador a la instancia. Desde allí, el atacante podría cambiar la configuración de la aplicación, robar las credenciales almacenadas para las bases de datos conectadas, leer cualquier dato accesible a través de esas conexiones y exportar datos.
Acción requerida por CISA: Aplique las mitigaciones conforme a las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de CISA «Prioritizing Security Updates Based on Risk» (consulte la URL en las Notas) y de los «Forensics Triage Requirements» de CISA (consulte la URL en las Notas). Siga la guía aplicable de la BOD 26-04 para servicios en la nube o deje de utilizar el producto si no hay mitigaciones disponibles. Las partes interesadas son responsables de evaluar la exposición a Internet de cada activo y de garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Referencias de CISA: https://www.metabase.com/blog/security-update ; https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-72898