ztevenreal
- Adobe corrigió dos fallas críticas de AEM que permiten la ejecución de código y el llegada a archivos sin interacción del adjudicatario
- CISA agregó CVE-2025-54253 y CVE-2025-54254 a KEV, confirmando la explotación activa
- Las agencias deben parchear antaño del 5 de noviembre; Se insta al sector privado a seguir el ejemplo correcto al peligro generalizado.
Adobe recientemente corrigió dos fallas en su producto Experience Manager, incluida una de máxima agravación que permite a actores maliciosos ejecutar código injusto.
Si proporcionadamente la compañía dijo que “no está al tanto” de los exploits existentes, sí dijo que vio exploits de prueba de concepto (PoC) disponibles. Encima, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) lo agregó a KEV (el catálogo de vulnerabilidades explotadas conocidas), lo que significa que se está utilizando en ataques.
Adobe Experience Manager (AEM) es el sistema de mandato de contenidos (CMS) de nivel empresarial de Adobe que se utiliza para crear y diligenciar sitios web, aplicaciones móviles y experiencias digitales. Ayuda a las grandes organizaciones a crear, organizar y entregar contenido personalizado a través de diferentes canales.
Añadido al KEV de CISA
Los dos fallos en cuestión se rastrean como CVE-2025-54253 y CVE-2025-54254. La primera se describe como una “vulnerabilidad de configuración incorrecta” de la que se puede atropellar para eludir los mecanismos de seguridad y tiene una puntuación de agravación de 10/10 (crítica).
Esta última es una “restricción inadecuada de la vulnerabilidad de narración de entidad externa XML (‘XXE)’ que resulta en lecturas arbitrarias del sistema de archivos y permite a los atacantes alcanzar a archivos confidenciales, sin ninguna interacción del adjudicatario. Se le otorgó una puntuación de agravación de 8,6/10 (ingreso).
Uno y otro errores se encontraron en las versiones 6.5.23 y anteriores de Adobe Experience Manager. El parche, osado en agosto de este año, lleva la utensilio a la lectura 6.5.0-0108.
El 15 de octubre, CISA agregó ambas fallas a su catálogo KEV, confirmando informes de tropelía en la naturaleza. Cuando se agrega un error a KEV, las agencias del Poder Ejecutor Civil Federal (FCEB) tienen un plazo de tres semanas para aplicar las correcciones y mitigaciones disponibles o dejar de usar las herramientas vulnerables por completo.
En el caso de Adobe, las agencias tienen hasta el 5 de noviembre de 2025 para aplicar los parches.
Si proporcionadamente la plazo coto de CISA solo se aplica a las agencias FCEB, se recomienda a otras agencias y empresas del sector privado que sigan el ejemplo, ya que los ciberdelincuentes rara vez diferencian entre las dos y atacarán a quien sea relajado.
A través de Las noticiero de los piratas informáticos
Siga TechRadar en Google News y agréganos como fuente preferida para cobrar noticiero, reseñas y opiniones de nuestros expertos en sus feeds. ¡Asegúrate de hacer clic en el pulsador Seguir!
Y por supuesto además puedes Siga TechRadar en TikTok para noticiero, reseñas, unboxings en forma de video y reciba actualizaciones periódicas de nuestra parte en WhatsApp además.
