Security news 44/2026

PHP

Ante un error de falta de memoria (OOM), PHP puede dejar sin inicializar la memoria de la petición y la limpieza posterior sigue trabajando con ella. Así, un atacante sin autenticación puede ejecutar código de forma remota en el servidor (RCE). Según los informes, el fallo fue explotado por atacantes presuntamente vinculados a China mediante su propio exploit PHP2Shell.

Qué hacer: Actualice de inmediato PHP en todos los servidores web según las indicaciones del fabricante o de la distribución y compruebe si los servidores muestran indicios de compromiso.

PHP

El estado global de PHP puede seguir apuntando, incluso tras su liberación, a la memoria de la petición anterior, y las peticiones siguientes leen de ella datos no válidos. Así, un atacante puede ejecutar código de forma remota sin autenticación. El fallo se explota junto con CVE-2026-109618.

Qué hacer: Instale las versiones corregidas de PHP junto con el parche de CVE-2026-109618 y, tras la actualización, reinicie PHP-FPM y los servicios web.

GitLab CE/EE

Debido a una validación insuficiente de expresiones regulares en la configuración de CI/CD, un atacante sin autenticación puede ejecutar código arbitrario en el servidor GitLab. Están afectadas las versiones 19.2 anteriores a 19.2.8, 19.3 anteriores a 19.3.5 y 19.4 anteriores a 19.4.2.

Qué hacer: Actualice a 19.2.8, 19.3.5, 19.4.2 o posterior, restrinja el acceso a GitLab desde Internet y revise el servidor ante un posible compromiso.

Google Brotli (Node.js, .NET, Envoy, Istio, Debian y otros)

Un desbordamiento de búfer en el decodificador de Brotli en las versiones 1.0.3 a 1.2.0 permite a un atacante sin autenticación, mediante un flujo comprimido manipulado, leer memoria, tumbar el servicio y potencialmente ejecutar código. La biblioteca la utilizan numerosos servidores HTTP, proxies y entornos de ejecución.

Qué hacer: Actualice las bibliotecas y programas con Brotli a la versión 1.0.10, 1.1.1 o 1.2.1 e instale los paquetes corregidos de la distribución y de las aplicaciones dependientes.

Linux kernel (RHEL, OpenShift y otros)

Al fusionar paquetes de red en el kernel se pierde el indicador de memoria compartida. El descifrado ESP (IPsec) puede entonces sobrescribir datos en la page cache. Un usuario local con permisos normales puede comprometer la confidencialidad y la integridad del sistema.

Qué hacer: Instale el kernel corregido del proveedor de la distribución y reinicie los servidores, especialmente los que usan IPsec y los que tienen acceso multiusuario.

Cisco Secure Firewall ASA / FTD

Cuando el tunnel group tiene configurada autenticación secundaria, un atacante sin autenticación puede reiniciar el dispositivo con una única petición manipulada a la SSL VPN de acceso remoto. El resultado es una denegación de servicio (DoS).

Qué hacer: Actualice ASA/FTD según las recomendaciones de Cisco y, mientras tanto, considere restringir el acceso a la SSL VPN.

Ivanti Connect Secure

En la versión 22.8R2.4, el servicio dsinvoked confía indebidamente en los datos de configuración de DSCache, lo que permite la escalada de privilegios a root. Los atacantes lo encadenan con otro fallo zero-day, CVE-2026-118527, al menos desde el 1 de octubre.

Qué hacer: Instale las actualizaciones de seguridad de Ivanti y revise la pasarela en busca de indicios de compromiso.

Adobe Commerce / Magento

La carga sin restricciones de archivos peligrosos puede conducir a la ejecución de código si la víctima visita una URL manipulada. En la campaña PolyShell ya se han comprometido así cientos de tiendas online.

Qué hacer: Actualice Adobe Commerce según el fabricante y revise los directorios de archivos subidos en busca de webshells.

VMware ESXi

Debido a un registro insuficiente, un administrador malicioso puede realizar algunas operaciones sin que queden registradas. El fallo por sí solo no otorga acceso, pero ayuda al atacante a ocultar sus huellas.

Qué hacer: Actualice ESXi según el fabricante y restrinja y audite las cuentas de administrador.

Se explota un fallo de GitLab y Alpine Linux reconstruye su servidor

Entre el 20 y el 21 de octubre, unos atacantes intentaron explotar CVE-2026-97229 en la infraestructura de desarrollo de Alpine Linux. Ante el riesgo de compromiso, el proyecto reconstruyó su servidor GitLab y restableció todas las contraseñas. Más de 1000 servidores GitLab expuestos a Internet siguen sin parchear, por lo que, tras actualizar, revise también un posible compromiso.

Exploit PHP2Shell: los atacantes obtuvieron root en 25 servidores

Atacantes presuntamente vinculados a China desarrollaron su propio exploit para los fallos de PHP y tomaron el control de 25 servidores. Según el informe, probablemente siguen teniendo acceso a una red conectada con la administración pública estadounidense. En relación con el ataque se mencionan también fallos del kernel de Linux y de VMware ESXi, por lo que es necesario parchear toda la pila.

Desmantelada la botnet XCPE de 1,3 millones de Android TV boxes

Google, junto con socios y la policía, desconectó de sus servidores de mando y control una botnet de más de 1,3 millones de Android TV boxes. Según Google, el fabricante Videostrong introdujo deliberadamente una puerta trasera en los dispositivos y vendía el acceso a delincuentes. Estos usaban los boxes para fraude publicitario y para reenviar tráfico ajeno a través de conexiones domésticas, por lo que los ISP deberían vigilar el tráfico sospechoso procedente de los dispositivos finales de sus clientes.

Un grupo APT explota Cisco SD-WAN para desplegar el malware KeyDrift

El grupo recién descrito UAT-11473 explota la omisión de autenticación CVE-2026-20127 en los controladores Cisco Catalyst SD-WAN y despliega su propio framework de malware KeyDrift. Los operadores de Cisco SD-WAN deberían verificar el estado de los parches y revisar los controladores.

Synology advierte del ransomware C3RB3R en sus NAS

Synology ha detectado un aumento de los ataques del ransomware C3RB3R contra sus dispositivos NAS e insta a los clientes a actualizar de inmediato. Afecta a empresas y clientes que tienen su NAS expuesto a Internet.

La campaña PolyShell compromete cientos de tiendas Adobe Commerce

Los ataques a través del fallo de carga de archivos CVE-2026-48356 han comprometido cientos de tiendas en Adobe Commerce y Magento. Al mismo tiempo, se detecta tráfico que explota el fallo de Brotli (CVE-2026-111497). Los proveedores de hosting con tiendas online deberían revisar los archivos subidos e instalar los parches.

CSIRT.CZ: fallo crítico del kernel de Linux en Ubuntu, RHEL y otras

CSIRT.CZ advierte de la vulnerabilidad CVE-2026-98432 (CVSS 9,8), de tipo use-after-free, en el establecimiento de conexiones TCP sobre IPv4. Según CSIRT.CZ, el fallo puede explotarse de forma remota. Afecta prácticamente a todos los servidores Linux, por lo que conviene seguir los parches del kernel de su distribución e instalarlos junto con el de CVE-2026-46300.

CSIRT.CZ: el fallo Broccoli2Shell en Brotli amenaza aplicaciones HTTP

CSIRT.CZ alerta de la vulnerabilidad crítica Broccoli2Shell (CVE-2026-111497) en la biblioteca de compresión Brotli, que puede permitir a un atacante la ejecución remota de código. El fallo ya se explota activamente y afecta a aplicaciones y proxies que procesan tráfico HTTP comprimido.

Progress WS_FTP Server (Windows)

Una inyección de comandos del sistema operativo en versiones anteriores a 2024.0.7 y 2025.0.4 permite, en determinadas configuraciones, ejecutar comandos arbitrarios. El fallo relacionado CVE-2026-90865 permite ejecutar comandos con privilegios elevados.

Qué hacer: Actualice a 2024.0.7 o 2025.0.4 y restrinja el acceso al servidor FTP.

Dell PowerProtect Data Domain

Una autenticación defectuosa permite a un atacante remoto sin autenticación ejecutar comandos con privilegios de root y tomar el control del sistema de copias de seguridad. Las mismas versiones sufren además el desbordamiento de pila CVE-2026-103780.

Qué hacer: Actualice cuanto antes según las recomendaciones de Dell y no exponga la administración de Data Domain a redes no confiables.

Plugin de WordPress AjaxLoadMore Cache

Las versiones hasta la 3.1.1 contienen un fallo que un atacante sin autenticación puede explotar para ejecutar código de forma remota en el sitio web.

Qué hacer: Busque el plugin en los sitios alojados y actualícelo, o desactívelo hasta que se publique un parche.

Plugin de WordPress Acadlix LMS

En las versiones hasta la 1.1.9, debido a una validación de rutas defectuosa, es posible borrar archivos arbitrarios del servidor, por ejemplo wp-config.php, lo que puede llevar a la toma de control del sitio. En la práctica, incluso un atacante no autenticado puede eludir la protección.

Qué hacer: Actualice el plugin a una versión posterior a la 1.1.9 o desactívelo.

Yamaha NWR100 (router Wi-Fi)

Una inyección de comandos del sistema operativo permite a un atacante sin autenticación ejecutar comandos arbitrarios en el router mediante una petición manipulada.

Qué hacer: Actualice el firmware según el fabricante y no exponga la administración del router a Internet.

D-Link DIR-505

La administración web del firmware 1.10B02 contiene una puerta trasera que permite la toma de control remota del dispositivo. El exploit está disponible públicamente y el mismo firmware sufre además un desbordamiento de pila en TFTP (CVE-2026-120189).

Qué hacer: Retire el dispositivo o aíslelo de Internet y bloquee el acceso a su administración.

OPNsense

En versiones anteriores a 26.7.8, un usuario con el permiso System: Firmware puede guardar una URL de mirror maliciosa y ejecutar comandos como root. También puede desactivar la verificación de firmas de los paquetes.

Qué hacer: Actualice a 26.7.8 o posterior y revise quién tiene permisos para administrar el firmware.

Juniper Session Smart Router / Conductor

Un atacante con permiso de escritura en la configuración puede ejecutar comandos como root a través de AccessManager. Un fallo similar, CVE-2026-103403, permite además borrar archivos.

Qué hacer: Actualice según Juniper y restrinja las cuentas con permiso de escritura en la configuración.

Dell OpenManage Enterprise

Las versiones anteriores a 4.8.0 contienen una inyección de comandos del sistema operativo que puede explotar incluso un usuario remoto con privilegios bajos. Otros fallos similares requieren privilegios elevados.

Qué hacer: Actualice a 4.8.0 y permita el acceso a la administración solo desde la red de gestión.

Tenda W18E

La función de captura de paquetes del diagnóstico permite a un usuario autenticado ejecutar comandos como root. Si el dispositivo está con la configuración de fábrica, el atacante ni siquiera necesita autenticarse.

Qué hacer: Proteja con contraseña los dispositivos nuevos antes de conectarlos a la red, actualice el firmware según el fabricante y restrinja el acceso a la administración.