Vulnerabilidades en productos Apache

Se han identificado varias vulnerabilidades críticas y de alto impacto en Apache Fory, las cuales podrían permitir a un actor malicioso provocar denegación de servicio (DoS) o la ejecución arbitraria de código. Productos afectados Apache Fury (C++): versiones desde la 0.14.0 hasta anteriores a la 1.5.0. Apache Fury (Java / Multi-lenguaje): versiones desde la 0.16.0 hasta anteriores a la 1.5.0. Impacto Las vulnerabilidades se han identificado como: - CVE-2026-71558: con una puntuación de 9.8 en CVSS v3.1. Existe una vulnerabilidad de confusión de tipos en la deserialización de Apache Fory C++ que podría permitir a un actor malicioso remoto no autenticado provocar una denegación de servicio (DoS) o la ejecución arbitraria de código en el sistema. - CVE-2026-71560: con una puntuación de 9.1 en CVSS v3.1. Existe una vulnerabilidad de lectura fuera de límites (out-of-bounds read) en búfer que podría permitir a un actor malicioso causar una denegación de servicio o la divulgación no autorizada de información confidencial. - CVE-2026-71559: con una puntuación de 7.5 en CVSS v3.1. Existe una vulnerabilidad en el proceso de deserialización de datos no confiables que podría permitir a un atacante provocar la caída del servicio (DoS) mediante un fallo incontrolado (panic). Recomendación - Actualizar todas las variaciones y módulos de Apache Fury inmediatamente a la versión 1.5.0 o superior, la cual incluye los parches de seguridad que corrigen estas fallas. Referencias - https://nvd.nist.gov/vuln/detail/CVE-2026-71558 - https://nvd.nist.gov/vuln/detail/CVE-2026-71559 - https://nvd.nist.gov/vuln/detail/CVE-2026-71560 - https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2026-71558 - https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2026-71559 - https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2026-71560