Una falla crítica en el kernel de Linux (CVE-2026-98432, CVSS 9,8) permite a un atacante remoto ejecutar código como root sin autenticarse. Ubuntu y RHEL aún no tienen parche; Debian, Oracle Linux y Amazon Linux ya lo publicaron.
PHP corrigió dos vulnerabilidades críticas (CVSS 9,2) que permiten a un atacante remoto ejecutar código en el servidor sin autenticarse. Se reportaron ataques antes de los parches: actualice a 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
Elementor 4.3.0 y 4.3.1 permiten que un atacante cree cuentas de administrador si un administrador abre un enlace preparado (CSRF, CVSS 8,8). Actualice a 4.3.2 y revise los usuarios administradores.
Una falla crítica en el campo de subida de archivos de Elementor Pro (CVE-2026-32475, CVSS 9,0) permite subir y ejecutar código PHP sin autenticación. Actualice a 4.2.2 y revise la carpeta de formularios.
Una cadena de vulnerabilidades en el núcleo de WordPress (wp2shell, CVE-2026-63030 y CVE-2026-60137) permite ejecutar código sin autenticación y está siendo explotada. Actualice a 7.0.2, 6.9.5 o 6.8.6 y revise su sitio.
