Se ha identificado la vulnerabilidad CVE-2026-56155 en Microsoft Active Directory Federation Services (AD FS), la cual está siendo explotada activamente y ha sido incorporada al catálogo Known Exploited Vulnerabilities (KEV) de CISA. Esta falla permite que un atacante con acceso inicial al entorno extraiga material criptográfico del contenedor Distributed Key Manager (DKM) para falsificar tokens de autenticación mediante un ataque Golden SAML, comprometiendo aplicaciones locales y servicios en la nube integrados con AD FS. Se recomienda aplicar de forma inmediata las actualizaciones de seguridad publicadas por Microsoft, realizar la remediación del DKM según la guía oficial y verificar posibles indicadores de compromiso antes de completar el proceso de mitigación.

Se ha identificado la explotación activa de la vulnerabilidad CVE-2026-50522 en servidores Microsoft SharePoint on-premises, la cual permite la ejecución remota de código (RCE) sin autenticación. Los atacantes buscan comprometer las machine keys de IIS para obtener acceso persistente con privilegios elevados. Se recomienda aplicar los parches de seguridad de inmediato, regenerar las claves de máquina y verificar posibles indicadores de compromiso.

La vulnerabilidad CVE-2025-68686 afecta al servicio SSL-VPN de FortiOS y permite a un atacante remoto no autenticado eludir las mitigaciones contra enlaces simbólicos maliciosos (symlinks) mediante solicitudes HTTP especialmente manipuladas. Se trata de una vulnerabilidad de post-explotación, por lo que requiere que el dispositivo haya sido comprometido previamente, generalmente mediante vulnerabilidades como CVE-2022-42475, CVE-2023-27997 o CVE-2024-21762, para mantener el acceso persistente incluso después de aplicar actualizaciones.

Se ha confirmado una vulnerabilidad de día cero (zero-day) en la interfaz web del software Cisco Secure Firewall Management Center (FMC), catalogada bajo la debilidad CWE-259. El fallo permite a un atacante remoto y no autenticado iniciar sesión utilizando una cuenta de bajos privilegios debido a la presencia de credenciales estáticas (codificadas rígidamente en el software). Aunque el acceso es inicialmente limitado, la explotación otorga visibilidad sobre configuraciones de red sensibles y puede encadenarse con otras vulnerabilidades para elevar privilegios hasta obtener control total del sistema.

Se ha detectado la explotación activa de la cadena de vulnerabilidades conocida como wp2shell, que afecta al núcleo de WordPress. Esta amenaza combina un fallo de confusión de rutas en la API REST (CVE-2026-63030) con una inyección SQL en la clase WP_Query (CVE-2026-60137). La combinación de ambos fallos permite a un atacante no autenticado ejecutar código remoto de manera arbitraria en instalaciones por defecto, sin necesidad de credenciales ni de plugins de terceros.