Security news 44/2026

PHP

Un fallo en la gestión de memoria ante errores por falta de memoria (OOM) permite a un atacante sin autenticación ejecutar código de forma remota (RCE) y tomar el control del servidor web. También se ven afectados productos con PHP integrado, como Palo Alto PAN-OS y Siemens RUGGEDCOM APE1808.

Qué hacer: Actualice de inmediato PHP en todos los servidores y plataformas de hosting según la distribución o el fabricante y compruebe la disponibilidad de parches para PAN-OS.

PHP

El estado global de PHP puede seguir apuntando a la memoria de la petición después de haberse liberado (use-after-free). Un atacante puede aprovecharlo para ejecutar código de forma remota. Junto con CVE-2026-109618, son los fallos explotados en los ataques PHP2Shell.

Qué hacer: Despliegue la versión corregida de PHP junto con el parche de CVE-2026-109618 y, mientras tanto, restrinja el acceso desde Internet a las aplicaciones PHP innecesarias.

GitLab CE/EE

Debido a un control insuficiente de las expresiones regulares en la configuración de CI/CD, un atacante sin autenticación puede ejecutar código arbitrario en el servidor GitLab. Están afectadas las versiones 19.2 a 19.4 anteriores a los parches.

Qué hacer: Actualice a 19.2.8, 19.3.5 o 19.4.2 y, en las instancias accesibles desde Internet, busque indicios de compromiso.

Google Brotli (Node.js, .NET, Envoy, Istio, Debian y otros)

Un atacante remoto puede provocar un desbordamiento de búfer en el decodificador Brotli de las versiones 1.0.3 a 1.2.0 mediante un flujo de datos comprimido manipulado. Con ello obtiene acceso a memoria sensible, puede tumbar el servicio o, potencialmente, ejecutar código.

Qué hacer: Actualice la biblioteca Brotli a 1.0.10, 1.1.1 o 1.2.1 y aplique los parches de los fabricantes de productos que incluyen Brotli.

Cisco Secure Firewall ASA / FTD

Un error lógico en el servicio Remote Access SSL VPN se manifiesta cuando un tunnel group tiene configurada la autenticación secundaria. Un atacante sin autenticación puede entonces, mediante una petición manipulada, provocar el reinicio del equipo y con ello una denegación de servicio (DoS).

Qué hacer: Actualice ASA/FTD según las recomendaciones de Cisco y compruebe si utiliza autenticación secundaria en la SSL VPN.

Linux kernel (RHEL, OpenShift y otros)

Al fusionar paquetes TCP, el kernel pierde el indicador de fragmentos compartidos, de modo que el procesamiento ESP (IPsec) puede descifrar datos directamente en páginas de la page cache. Un atacante local con una cuenta normal puede así escribir en memoria fuera de los límites permitidos y comprometer todo el sistema.

Qué hacer: Instale el kernel corregido de su distribución y reinicie los servidores.

Adobe Commerce (Magento)

El fallo permite subir un archivo peligroso y ejecutar código si la víctima visita una URL manipulada o una página comprometida. Los ataques PolyShell que lo explotan ya han comprometido cientos de tiendas.

Qué hacer: Aplique los parches de Adobe en todas las instalaciones de Commerce/Magento y compruebe si han aparecido en ellas archivos subidos desconocidos.

Ivanti Connect Secure

El servicio dsinvoked confía indebidamente en los datos de configuración de DSCache, lo que permite una escalada de privilegios hasta root. Los atacantes encadenan este fallo con otros y obtienen acceso root sin autenticación.

Qué hacer: Actualice Ivanti Connect Secure según las instrucciones del fabricante y restrinja el acceso a la administración del equipo.

VMware ESXi

Debido a un registro insuficiente, un administrador malintencionado puede realizar algunas operaciones sin que queden registradas. El fallo tiene por sí solo una gravedad baja, pero aun así se explota en ataques.

Qué hacer: Actualice ESXi según VMware y restrinja y supervise las cuentas de administrador.

PHP2Shell: atacantes obtienen root en 25 servidores y en firewalls Palo Alto

Atacantes presuntamente vinculados a China desarrollaron su propio exploit para los fallos de PHP y obtuvieron acceso root en 25 servidores; en una red vinculada al Gobierno de EE. UU. probablemente siguen teniendo acceso. Los ataques se prolongan desde hace más de una semana, comprometen con éxito firewalls Palo Alto y, por ahora, fracasan contra WordPress. Más de 22,6 millones de instancias expuestas están potencialmente en riesgo, por lo que actualizar PHP es la máxima prioridad.

Fallo de GitLab explotado contra la infraestructura de Alpine Linux

Entre el 20 y el 21 de octubre, unos atacantes intentaron explotar el fallo CVE-2026-97229 en el servidor de desarrollo GitLab del proyecto Alpine Linux. Ante un posible compromiso, el proyecto reconstruyó el servidor y restableció todas las contraseñas. Quien tuviera un GitLab sin parchear accesible desde Internet debería considerar un procedimiento similar.

Los ataques PolyShell comprometen cientos de tiendas en Adobe Commerce

Los ataques PolyShell que explotan el fallo CVE-2026-48356 ya han vulnerado cientos de tiendas en línea en Adobe Commerce/Magento. Al mismo tiempo se observa tráfico que explota el fallo de Brotli (CVE-2026-111497). Afecta a hostings y operadores de tiendas en línea, que deberían aplicar los parches sin demora y revisar sus instalaciones.

Grupo APT explota Cisco SD-WAN para desplegar el malware KeyDrift

El grupo APT UAT-11473, de seguimiento reciente, explota el fallo de omisión de autenticación CVE-2026-20127 en los controladores Cisco Catalyst SD-WAN y despliega en ellos su propio malware KeyDrift. Los administradores de Cisco SD-WAN deberían verificar que tienen aplicados los parches y buscar indicios de compromiso.

Atacantes explotan un fallo crítico en Drupal Commerce Core

Drupal advierte de la explotación activa de un fallo altamente crítico de falta de autorización en el módulo Commerce Core (CVE-2026-118539). Están afectadas las versiones hasta la 2.41 y de la 3.0.0 a la 3.3.13. Los hostings con tiendas en línea en Drupal deberían actualizar el módulo con urgencia según el aviso de seguridad de Drupal.

Atacantes encadenan tres fallos de Ivanti Connect Secure y obtienen root

Los atacantes combinan tres fallos de Ivanti Connect Secure y obtienen acceso root a la pasarela VPN sin autenticación. CISA ha incluido CVE-2026-111357 y CVE-2026-118527 entre los fallos explotados activamente. Los operadores de VPN Ivanti deberían actualizar y revisar los equipos sin demora.

Una vulnerabilidad crítica del kernel de Linux amenaza Ubuntu, RHEL y otras

CSIRT.CZ alerta del fallo CVE-2026-98432 (CVSS 9,8) de tipo use-after-free, que se produce al establecer conexiones TCP sobre IPv4. Investigadores de Anthropic crearon un exploit que permite a un atacante remoto sin autenticación ejecutar comandos como root. Siga las actualizaciones del kernel de su distribución y aplíquelas lo antes posible.

La vulnerabilidad Broccoli2Shell en Brotli amenaza aplicaciones HTTP

CSIRT.CZ advierte del fallo Broccoli2Shell (CVE-2026-111497) en la biblioteca de compresión Brotli, que permite la ejecución remota de código. Están en riesgo las aplicaciones y servicios que usan Brotli para la compresión HTTP. El fallo ya se explota activamente, por lo que es necesario actualizar tanto la biblioteca como los productos que la incluyen.

Fortinet FortiSandbox

Mediante una omisión de autenticación por una ruta alternativa, un atacante remoto puede ejecutar código o comandos no autorizados con peticiones HTTP manipuladas. Están afectados FortiSandbox 4.2, 4.4.0–4.4.9 y 5.0.0–5.0.6, incluidas las versiones PaaS.

Qué hacer: Actualice según las instrucciones de Fortinet y restrinja el acceso a la interfaz web a redes de confianza.

Dell PowerProtect Data Domain

Un fallo de autenticación permite a un atacante remoto sin autenticación ejecutar comandos con privilegios de root y tomar el control de todo el sistema de copias de seguridad. El desbordamiento de pila CVE-2026-103780 tiene el mismo impacto.

Qué hacer: Actualice lo antes posible según las recomendaciones de Dell y no exponga la administración del equipo a Internet.

Progress WS_FTP Server (Windows)

Un fallo de tipo OS command injection permite, en determinadas configuraciones, ejecutar comandos arbitrarios en el servidor. El fallo relacionado CVE-2026-90865 permite ejecutar comandos incluso con privilegios elevados.

Qué hacer: Actualice a la versión 2024.0.7 o 2025.0.4.

Plugin de WordPress Acadlix LMS

En las versiones hasta la 1.1.9 se pueden eliminar archivos arbitrarios del servidor, por ejemplo wp-config.php, lo que conduce fácilmente a la ejecución remota de código. El nonce de protección aparece públicamente en el código de la página, por lo que el ataque en la práctica no requiere autenticación.

Qué hacer: Localice en el hosting los sitios con este plugin y desactívelo hasta que se despliegue la versión corregida.

TOTOLINK A950RG

Un atacante puede inyectar y ejecutar comandos en el router mediante una dirección MAC falsificada en los registros DHCP. El exploit es público y el mismo firmware sufre otros fallos de command injection (CVE-2026-116504, CVE-2026-116506).

Qué hacer: Averigüe si usted o sus clientes utilizan estos routers, restrinja el acceso a la administración y siga las actualizaciones de firmware del fabricante.

D-Link DIR-505

La interfaz web de administración contiene una puerta trasera (backdoor) en /secmark1524.cgi a través de la cual se puede controlar el equipo de forma remota. El exploit está disponible públicamente.

Qué hacer: Bloquee el acceso a la administración del equipo desde redes no confiables y consulte con el fabricante la disponibilidad de un parche.

OPNsense

Un usuario con el permiso System: Firmware puede guardar una URL de réplica de firmware maliciosa y ejecutar comandos como root. Con ello también puede desactivar la verificación de firmas de los paquetes.

Qué hacer: Actualice a OPNsense 26.7.8 y asigne permisos de firmware solo a las cuentas imprescindibles.

Juniper Session Smart Router / Conductor

Un atacante con permiso de escritura en la configuración puede ejecutar comandos como root a través de la configuración YANG. El fallo relacionado CVE-2026-103403 permite eliminar archivos y ejecutar comandos.

Qué hacer: Actualice según Juniper y limite el número de cuentas con permiso de escritura en la configuración.

Asterisk

Al usar el módulo res_config_ldap, un atacante sin autenticación puede inyectar un filtro LDAP mediante un nombre SIP manipulado y extraer datos de LDAP. El módulo no está activo por defecto.

Qué hacer: Si utiliza res_config_ldap, actualice a 20.20.1, 21.12.3, 22.10.1, 23.4.1 o Certified 20.7-cert11 o 22.8-cert3.

Dell OpenManage Enterprise

Un fallo de tipo OS command injection permite a un atacante remoto con privilegios bajos ejecutar comandos en el servidor de gestión de hardware. Las versiones anteriores a la 4.8.0 contienen además otros fallos similares.

Qué hacer: Actualice a la versión 4.8.0 y restrinja el acceso a la consola a la red de administración.