Security news 44/2026

PHP

Una gestión incorrecta del estado ante falta de memoria (OOM) deja sin inicializar la memoria de la petición, lo que puede provocarse repetidamente para lograr ejecución remota de código (RCE) sin autenticación. El fallo forma parte de los ataques PHP2Shell, en los que los atacantes obtuvieron root en servidores y en firewalls de Palo Alto (PAN-OS).

Qué hacer: Actualice de inmediato PHP en todos los servidores y nodos de hosting según el fabricante y compruebe la disponibilidad de parches para PAN-OS.

PHP

El estado global de PHP puede seguir apuntando, tras liberarse la memoria de la petición, a memoria no válida que leen las peticiones siguientes, lo que conduce a ejecución remota de código. Se explota junto con CVE-2026-109618 en la campaña PHP2Shell.

Qué hacer: Actualice PHP junto con el parche de CVE-2026-109618 y revise los servidores en busca de indicios de compromiso.

GitLab CE/EE

Un control insuficiente de las expresiones regulares en la configuración CI/CD permite a un atacante no autenticado ejecutar código arbitrario en el servidor GitLab (CVSS 10). El fallo ya se está explotando; los ataques han afectado, entre otros, a Alpine Linux.

Qué hacer: Actualice GitLab a 19.2.8, 19.3.5 o 19.4.2 o posteriores y restrinja el acceso a la instancia desde Internet.

Google Brotli (y productos dependientes)

Un desbordamiento de búfer en el decodificador de Brotli (Broccoli2Shell) permite, mediante un flujo comprimido manipulado, corromper la memoria, leer datos sensibles, tumbar el servicio o potencialmente ejecutar código. La biblioteca la utilizan, entre otros, Node.js, .NET, Envoy, Istio y Debian; ya se observa tráfico malicioso.

Qué hacer: Actualice las bibliotecas y binarios de Brotli a las versiones 1.0.10, 1.1.1 o 1.2.1 y aplique los parches de los productos y distribuciones dependientes.

Linux kernel (RHEL, OpenShift y otros)

Al agregar paquetes de red se pierde el indicador de memoria compartida, por lo que el descifrado IPsec (ESP) puede sobrescribir datos en la caché de páginas. Un atacante local autenticado puede así obtener privilegios completos en el sistema.

Qué hacer: Instale el kernel corregido según su distribución y reinicie los servidores.

Cisco Secure Firewall ASA / FTD

Un error lógico en el servicio Remote Access SSL VPN con autenticación secundaria configurada permite a un atacante no autenticado reiniciar el dispositivo mediante una petición manipulada (DoS).

Qué hacer: Actualice ASA/FTD según las recomendaciones de Cisco y, mientras tanto, valore restringir el acceso a la SSL VPN.

Ivanti Connect Secure

El servicio dsinvoked confía en los datos de configuración de DSCache, lo que permite escalar privilegios a root. Los atacantes lo encadenan con otros fallos y obtienen root sin autenticación.

Qué hacer: Actualice Ivanti Connect Secure según el fabricante y revise la pasarela en busca de indicios de compromiso.

Adobe Commerce (Magento)

La subida sin restricciones de archivos peligrosos permite ejecutar código y tomar el control de la cuenta o la sesión si la víctima abre una URL manipulada. En la campaña PolyShell se comprometieron así cientos de tiendas online.

Qué hacer: Actualice Adobe Commerce según el fabricante y revise las tiendas alojadas en busca de archivos subidos sospechosos.

VMware ESXi / vSphere / Cloud Foundation

Un registro insuficiente permite a un administrador malintencionado realizar determinadas operaciones sin que queden registradas. El fallo en sí tiene una puntuación baja, pero se explota para ocultar actividad.

Qué hacer: Actualice ESXi según VMware y limite y supervise las cuentas de administrador.

PHP2Shell: atacantes obtienen root en 25 servidores y firewalls de Palo Alto

Atacantes presuntamente vinculados a China desarrollaron su propio exploit para los fallos de PHP y obtuvieron root en 25 servidores; probablemente siguen teniendo acceso a una red vinculada al Gobierno de EE. UU. Los ataques llevan más de una semana, alcanzan también a firewalls de Palo Alto y potencialmente hay más de 22,6 millones de instancias expuestas en riesgo. Contra WordPress no han tenido éxito por ahora, pero aun así es necesario actualizar PHP de inmediato.

Nuevo fallo RCE en el núcleo de WordPress: 63 000 intentos de ataque en 24 h

Los atacantes intentan explotar una race condition en el núcleo de WordPress 4.7 a 7.1.3 que conduce a ejecución remota de código sin autenticación (CVSS 8,1, sin CVE). En las 24 horas posteriores a la publicación de los parches se registraron casi 63 000 intentos. Los proveedores de hosting deben verificar que los sitios de sus clientes tengan WordPress actualizado.

Atacantes explotan un fallo crítico en Drupal Commerce Core

Drupal advierte de la explotación activa de una falta de autorización en el módulo Commerce Core en versiones hasta la 2.41 y 3.0.0–3.3.13 (CVE-2026-118539). Afecta a tiendas online construidas sobre Drupal; es necesario actualizar el módulo según el aviso de seguridad de Drupal.

Un grupo APT explota Cisco SD-WAN para desplegar el malware KeyDrift

El grupo recién identificado UAT-11473 explota una omisión de autenticación en Cisco Catalyst SD-WAN Controllers (CVE-2026-20127) y despliega su propio malware KeyDrift. Los administradores de SD-WAN deben verificar el estado de los parches y revisar los controladores en busca de indicios de compromiso.

Encadenar tres fallos de Ivanti Connect Secure da root sin autenticación

Los atacantes combinan tres fallos de Ivanti Connect Secure, entre ellos CVE-2026-111357 y CVE-2026-118527, y obtienen acceso root a la pasarela VPN sin autenticación. Los operadores de estas pasarelas deben actualizar y revisar los dispositivos en busca de indicios de intrusión.

La campaña PolyShell compromete cientos de tiendas en Adobe Commerce

Los ataques PolyShell que explotan CVE-2026-48356 han comprometido cientos de tiendas en Adobe Commerce/Magento. Al mismo tiempo aparece tráfico malicioso dirigido al fallo de la biblioteca Brotli. Los hostings con tiendas en Magento deben revisar las actualizaciones y los archivos subidos.

CSIRT.CZ: un fallo crítico del kernel Linux amenaza Ubuntu, RHEL y otras

La vulnerabilidad CVE-2026-98432 (CVSS 9,8), de tipo use-after-free, se produce al establecer conexiones TCP sobre IPv4. Según los investigadores de Anthropic, permite a un atacante no autenticado ejecutar comandos como root en servidores con Multipath TCP (MPTCP) a la escucha. Los administradores de servidores Linux deben seguir y desplegar los kernels corregidos de su distribución.

CSIRT.CZ: la vulnerabilidad Broccoli2Shell en Brotli amenaza apps HTTP

El fallo CVE-2026-111497 en la biblioteca de compresión Brotli puede permitir la ejecución remota de código mediante datos comprimidos manipulados. Afecta a aplicaciones y proxies que utilizan Brotli; es necesario actualizar la biblioteca y los productos dependientes.

Fortinet FortiSandbox / FortiSandbox PaaS

Una omisión de autenticación por una ruta alternativa permite al atacante ejecutar código o comandos no autorizados mediante peticiones HTTP manipuladas. Afecta a las versiones 5.0.0–5.0.6, 4.4.0–4.4.9 y a todas las 4.2.

Qué hacer: Actualice FortiSandbox según Fortinet y restrinja el acceso a su interfaz web.

AjaxLoadMore Cache

Ejecución remota de código sin autenticación en las versiones hasta la 3.1.1 (CVSS 10); el atacante puede tomar el control del sitio web.

Qué hacer: Busque esta extensión en los sitios alojados y actualícela según el fabricante o, en su caso, desactívela.

Progress WS_FTP Server (Windows)

Una OS command injection permite, en determinadas configuraciones, ejecutar comandos arbitrarios en el servidor; la vulnerabilidad relacionada CVE-2026-90865 permite la ejecución con privilegios elevados.

Qué hacer: Actualice WS_FTP Server a 2024.0.7 o 2025.0.4 o posteriores.

Dell PowerProtect Data Domain

Una autenticación defectuosa permite a un atacante remoto no autenticado ejecutar comandos con privilegios de root y tomar el control del sistema de copias de seguridad. Al mismo tiempo se han corregido otros fallos, p. ej. el desbordamiento de pila CVE-2026-103780.

Qué hacer: Actualice Data Domain lo antes posible según las recomendaciones de Dell y restrinja el acceso de red a la gestión.

Yamaha NWR100 (router Wi-Fi)

Una OS command injection permite a un atacante no autenticado ejecutar comandos arbitrarios en el router mediante una petición manipulada.

Qué hacer: Actualice el firmware según el fabricante y no exponga la gestión del router a Internet.

TOTOLINK A950RG

Una command injection a través del parámetro de dirección MAC permite ejecutar comandos de forma remota en el router; el exploit es público. El mismo modelo presenta otros fallos críticos (CVE-2026-116504, CVE-2026-116506).

Qué hacer: Si opera estos routers en instalaciones de clientes, bloquee la gestión remota y siga la disponibilidad de un parche del fabricante.

Juniper Session Smart Router / Conductor

Una OS command injection en AccessManager permite a un atacante con permiso de escritura en la configuración ejecutar comandos como root; la CVE-2026-103403 relacionada permite borrar archivos y ejecutar comandos.

Qué hacer: Actualice según Juniper y compruebe quién tiene permiso para modificar la configuración.

Asterisk

Al usar el controlador LDAP realtime res_config_ldap, es posible inyectar un filtro LDAP a través del nombre de usuario SIP y leer información de LDAP sin autenticación. El módulo no está activo por defecto.

Qué hacer: Actualice a Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 o Certified 20.7-cert11/22.8-cert3.

Dolibarr ERP CRM

Un administrador autenticado puede eludir la lista de comandos permitidos en la exportación y ejecutar comandos del sistema con la cuenta del servidor web.

Qué hacer: Actualice Dolibarr a la versión 24.0.0 o posterior.

OnCell G3150A-LTE

Con la gestión por SMS activada, un atacante con los permisos necesarios puede ejecutar comandos arbitrarios en el dispositivo.

Qué hacer: Actualice el firmware según el fabricante y desactive la gestión por SMS si no la necesita.