Las amenazas y vulnerabilidades más relevantes del 23 al 26 de octubre, según los avisos de INCIBE-CERT, CISA, CERT-FR, BSI, los fabricantes y otras fuentes especializadas.
41 incidenciasPublicado el TLP:CLEAR
Estimado cliente:
Le enviamos el resumen semanal de las amenazas y vulnerabilidades más relevantes, según los avisos de INCIBE-CERT, CISA, las agencias europeas CERT-FR (Francia) y BSI (Alemania), los fabricantes y otras fuentes especializadas. Incluimos también los avisos del 22 de octubre publicados después del cierre del boletín anterior. Hemos identificado 41 incidencias, ocho de ellas son actualizaciones de la vulnerabilidad de PHP «php2shell» que ya le comunicamos. Para cada una indicamos a qué afecta, qué ocurre, qué hay que hacer y las fechas de aviso y de solución. Le recomendamos revisar primero las marcadas como CRÍTICA y EXPLOTADA.
AVISO MÁS GRAVE · ACTUAR HOY
Fortinet: actualización crítica para FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator
Fortinet ha publicado de urgencia versiones nuevas que corrigen vulnerabilidades críticas y altas en sus cortafuegos, consolas de gestión, pasarelas de correo y servidores de autenticación. Los detalles técnicos no se publicarán hasta el 10 de noviembre, por lo que conviene actualizar antes de que los atacantes los conozcan. INCIBE-CERT y el ACSC australiano recomiendan priorizar los equipos expuestos a Internet.
Qué hacer: Actualizar a FortiOS 8.0.2, 7.6.8, 7.4.13 o 7.2.14; FortiManager y FortiAnalyzer 8.0.2, 7.6.8, 7.4.12 o 7.2.13; FortiMail 8.0.2, 7.6.7 o 7.4.9 (la 7.2 debe migrar); FortiAuthenticator 8.0.4 o 6.6.11. Guarde antes una copia de la configuración. Mientras tanto, limite la administración a IP de confianza, active la doble autenticación y no exponga FortiManager a Internet. Aviso y parche: 23/10/2026.
Fortinet FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator · HPE Aruba AOS-8 y AOS-10 · Cisco Snort 3 (Firepower, Meraki MX)
Explotadas — si usa el producto
Arista VeloCloud Orchestrator · Collabora Online con Nextcloud
php2shell — productos de terceros
Palo Alto y QNAP sin parche todavía; Synology, Tenable y cámaras Illustra ya corregidos; Cisco Expressway, Mitel y Fortinet pendientes
Alta — esta semana
ISC BIND, PaperCut, Cisco Unified CM y Secure Client, SolarWinds, Microsoft Edge, Splunk, Oracle Java SE, Apache Pulsar y Traffic Server, Brotli (Node.js y .NET), ASP.NET Core, Pillow, nuevo fallo de PHP con mitigación
Proveedores comprometidos
Railway (variables de entorno de clientes)
Vigilancia
Kernel Linux KSMBD, rsyslog y Tailscale SSH sin parche, campaña contra VPN, agentes de IA manipulados, bootkit BlackX
Actualizaciones de incidencias ya comunicadas
PHP «php2shell» (CVE-2026-109618 y CVE-2026-109619, aviso del 20/10/2026). Novedad: varios fabricantes confirman que sus equipos llevan PHP vulnerable. Actualizar PHP en el servidor no corrige estos equipos: hay que aplicar el firmware de cada fabricante.
CRÍTICASIN PARCHE
[Actualización] Palo Alto Networks PAN-OS, Panorama y WildFire
CVE-2026-109618 y CVE-2026-109619 · 8,7 según Palo Alto
Afecta a
PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2 sin la corrección; Panorama y WildFire WF-500 y WF-500-B, todas las versiones. Solo la interfaz web de administración (HTTPS y XML API) y las interfaces con perfil de administración.
Qué ocurre
El PHP de la interfaz de administración es vulnerable. Palo Alto describe un impacto en la disponibilidad del equipo.
Qué hacer
Las correcciones de PAN-OS están previstas entre el 26 y el 30/10, según la rama; Panorama y WildFire aún sin fecha. Mientras tanto, limitar la administración a IP internas de confianza.
Fechas
Aviso: 20/10/2026 (actualizado 23/10/2026) · Solución: sin solución (prevista 26-30/10/2026)
QNAP: QTS 6.1.0 y 5.2.11 o anteriores, QuTS hero h6.1.0, h6.0.x y h5.2.11, QuTScloud c5.2.9, QuMagie 2.10.1, Note Station 3 3.9.14, QNE 1.0.7, QVR Surveillance 3.0.3 (ARM32) y TVR OS 1.0.4. Synology: paquetes PHP 7.3 a 8.4, Mail Station y Synology Calendar.
Qué ocurre
Un atacante sin credenciales podría ejecutar código en el NAS, donde suelen estar las copias y los documentos de la empresa.
Qué hacer
QNAP aún no tiene parche: retire el NAS de Internet, desactive UPnP y las redirecciones de puertos y acceda por VPN. Synology: actualice Calendar a 3.0.4-21435, Mail Station a 30000002.3.19-20333 y PHP a 8.4.27-0051, 8.3.36-0051 o 8.2.35-0171; sustituya PHP 7.3.
[Actualización] Cisco Expressway, Cisco URWB y Mitel
CVE-2026-109618 y CVE-2026-109619
Afecta a
Cisco Expressway Series, Expressway Select Series y URWB. Mitel MiVoice 5000 R8.4, OpenScape Branch y SBC V11R3.4.3, OpenScape Voice Trace Manager V8 R0.12.00 y MiContact Center Enterprise 9.8 SP0 FP1, y versiones anteriores.
Qué ocurre
Equipos de telefonía y comunicaciones con PHP vulnerable. En URWB hace falta ser administrador.
Qué hacer
Cisco: Expressway 15.5.21 (sin fecha) y URWB 27.1.1 (febrero de 2027); mientras tanto, restrinja el acceso a la administración. Mitel: siga el artículo KB000128981 o contacte con su socio autorizado.
Fechas
Aviso: 20/10/2026 (actualizado 23/10/2026) · Solución: sin solución publicada
[Actualización] Tenable, cámaras Johnson Controls Illustra y Fortinet
CVE-2026-109618 y CVE-2026-109619
Afecta a
Tenable Security Center 6.9.1 y Enclave Security 1.9.1, y anteriores; cámaras Illustra MII, Gen 5, Gen5 Pano and Multi, Gen 4 y Essentials Gen 4. Fortinet sigue investigando FortiDDoS, FortiDDoS-F, FortiClient Cloud, FortiSOAR y FortiGuard, y descarta FortiADC, FortiSIEM, FortiMonitor y FortiEndpoint.
Qué ocurre
Los fabricantes confirman o investigan el impacto del fallo de PHP en sus productos.
Qué hacer
Tenable: aplicar el parche SC-202610.1 (PHP 8.2.35). Illustra: instalar el firmware del boletín JCI-PSA-2026-24 y no exponer las cámaras a Internet. Fortinet: seguir el aviso FG-IR-26-186.
VeloCloud Orchestrator (VCO) autoalojado anterior a 5.2.3.18, 6.1.3.10 y 6.4.2.12.
Qué ocurre
Cualquier usuario con una cuenta, incluso de solo lectura, puede hacerse operador y acceder a funciones internas del orquestador que gestiona la red SD-WAN. Se está explotando como zero-day.
Qué hacer
Actualizar a 5.2.3.18, 6.1.3.10 o 6.4.2.12 o posterior, limitar la interfaz web a las redes de administración y revisar la actividad reciente de los administradores. Si sospecha un compromiso, conserve los registros antes de actuar y contacte con Arista.
Collabora Online (servidor CODE integrado en Nextcloud)
CVE-2026-110447 · 9,2
Afecta a
Instalaciones de Nextcloud que usan el servidor CODE integrado de Collabora Online para editar documentos.
Qué ocurre
Una inyección de comandos permite ejecutar código en el servidor cuando el servicio CODE no está en marcha. Hay ataques confirmados.
Qué hacer
Aplicar la actualización de Collabora y Nextcloud en cuanto esté disponible para su versión o, si no la necesita, desactivar el servidor CODE integrado.
Fechas
Aviso: 23/10/2026 · Solución: no consta; consultar al fabricante
Sin explotación confirmada por ahora, pero de gravedad crítica. Recomendamos parchear en los próximos días.
CRÍTICA
Fortinet FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator
CVE pendientes de publicar (10/11/2026)
Afecta a
FortiOS 8.0.0-8.0.1, 7.6.0-7.6.7, 7.4.0-7.4.12 y 7.2.0-7.2.13; FortiManager y FortiAnalyzer 8.0.0-8.0.1, 7.6.0-7.6.7, 7.4.0-7.4.11 y 7.2.0-7.2.12; FortiMail 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8 y 7.2.0-7.2.9; FortiAuthenticator 8.0.0-8.0.3 y 6.6.0-6.6.10. También FortiSASE, FortiManager Cloud y despliegues en nube pública.
Qué ocurre
Vulnerabilidades críticas y altas descubiertas con pruebas asistidas por inteligencia artificial. Fortinet pide actualizar ya los equipos expuestos a Internet.
Qué hacer
FortiOS 8.0.2, 7.6.8, 7.4.13 o 7.2.14; FortiManager y FortiAnalyzer 8.0.2, 7.6.8, 7.4.12 o 7.2.13; FortiMail 8.0.2, 7.6.7 o 7.4.9; FortiAuthenticator 8.0.4 o 6.6.11. FortiSASE se actualiza solo; FortiManager Cloud puede requerir actualización manual. Si ya actualizó FortiMail por el aviso anterior (CVE-2026-104286), ya tiene estas versiones.
HPE Aruba Networking AOS-8 y AOS-10 — 8 fallos de gravedad máxima
CVE-2026-79844 a CVE-2026-79851 (y 64 más)
Afecta a
Controladores, pasarelas, mobility conductors y puntos de acceso Wi-Fi de Aruba con ArubaOS AOS-8 o AOS-10.
Qué ocurre
Un atacante sin credenciales y sin interacción del usuario puede saltarse la autenticación o inyectar comandos y SQL para tomar el control del equipo. No hay explotación conocida.
Qué hacer
Actualizar a la versión corregida del boletín de HPE. Mientras tanto, limitar la CLI y la web de gestión a una VLAN dedicada y filtrar el acceso con el cortafuegos.
Todos los productos que usan el motor de inspección Snort 3, sea cual sea su configuración: Secure Firewall Threat Defense, Meraki MX, Unified Threat Defense en IOS XE, Cyber Vision, Snort 3 libre, Cloud-delivered Firewall y Secure Access.
Qué ocurre
Dos grupos de fallos críticos de memoria y de cálculo en el motor que inspecciona el tráfico del cortafuegos, y otros dos de gravedad alta.
Qué hacer
FTD 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 o 10.1.0; IOS XE 17.12.8, 17.15.6, 17.18.5, 26.1.2 o 26.2.1 con su imagen UTD; Cyber Vision 5.6.0; Snort 3.12.4.0. Meraki MX conectados al Dashboard, CDFW y Secure Access ya se han actualizado solos. No hay alternativas.
Boletines adicionales del 21/10 recogidos por CERT-FR
Afecta a
Cisco Secure Client, el cliente VPN de los usuarios; Expressway desde X14 hasta antes de X15.5.20; IOS XR 24.1 a 24.4 y 7.9 a 7.11 (routers ASR 9000) sin las versiones o parches SMU corregidos.
Qué ocurre
En Secure Client, un usuario del equipo puede elevar sus privilegios. Expressway tiene credenciales estáticas, y en IOS XR hay otros fallos de seguridad.
Qué hacer
Actualizar Secure Client a la versión que indica Cisco en su boletín, Expressway a X15.5.20 e IOS XR a la versión o SMU corregidos de su rama.
PaperCut NG/MF y PaperCut Hive (gestión de impresión)
CVE-2026-11744, 14780, 82077 y 87739
Afecta a
PaperCut Hive anterior a 2.3.0; PaperCut NG/MF 24.x anterior a 24.1.11, 25.x anterior a 25.0.13 y 26.0.x anterior a 26.0.5. Es un software de control de impresión muy usado en empresas, colegios y administraciones.
Qué ocurre
Permiten ejecutar código en el servidor, saltarse la política de seguridad, acceder a datos y realizar ataques XSS. En el pasado, fallos de PaperCut se han aprovechado en campañas de ransomware.
Qué hacer
Actualizar a PaperCut Hive 2.3.0 y a PaperCut NG/MF 24.1.11, 25.0.13 o 26.0.5, y no exponer la consola de administración a Internet.
Splunk Enterprise 10.4.0-10.4.3, 10.2.0-10.2.7, 10.0.0-10.0.10 y 9.4.0-9.4.15; Splunk SOAR anterior a 8.7.0.
Qué ocurre
Fallos de control de acceso, de neutralización de entradas y en componentes de terceros (como PostgreSQL) de la plataforma de registros y seguridad.
Qué hacer
Actualizar Splunk Enterprise a 10.4.4, 10.2.8, 10.0.11 o 9.4.16 y Splunk SOAR a 8.7.0. Son versiones posteriores a las del boletín anterior: hay que volver a actualizar.
Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1; GraalVM for JDK 17.0.21 y 21.0.13; GraalVM Enterprise 21.3.20.
Qué ocurre
Un fallo crítico en el componente de cifrado de conexiones (JSSE) se puede explotar por red sin autenticación y afecta a la confidencialidad e integridad de los datos. Java está presente en muchas aplicaciones de gestión y servidores.
Qué hacer
Aplicar el parche de la alerta de Oracle y planificar el paso a una versión con soporte.
CVE-2026-105869, 111813, 111816, 111811 y CVE-2025-31699 (críticas)
Afecta a
Apache Pulsar 2.8.1 a 4.0.13 y 4.1.0 a 4.2.4; Apache Traffic Server 8.0.0-8.1.11, 9.0.0-9.2.15, 10.0.0-10.1.4 y 10.2.0.
Qué ocurre
En Pulsar, un atacante sin cuenta puede hacerse superusuario con un token falsificado. En Traffic Server hay contrabando de peticiones, envenenamiento de la caché y acceso sin credenciales a la caché compartida.
Qué hacer
Pulsar: actualizar a 4.0.14 o 4.2.5 (o quitar anonymousUserRole). Traffic Server: actualizar a 10.1.5 o 10.2.1; la 9.2.16 no corrige CVE-2026-111817.
BIND anterior a 9.20.30 y 9.21.27, y BIND Supported Preview Edition anterior a 9.20.30-S1. BIND es el servidor DNS más usado en servidores Linux, paneles de alojamiento y redes corporativas.
Qué ocurre
Un atacante remoto sin autenticación puede dejar sin servicio la resolución de nombres o, en algunos casos, ejecutar código en el servidor.
Qué hacer
Actualizar a BIND 9.20.30, 9.21.27 o 9.20.30-S1, o al paquete corregido de su distribución. Si su DNS lo gestiona un proveedor, pídale confirmación.
Navegadores: Microsoft Edge y Firefox para Android
353 CVE en Edge (CVE-2026-112992 a CVE-2026-113344) · CVE-2026-113470
Afecta a
Microsoft Edge anterior a 156.0.4314.42; Firefox para Android anterior a 158.0.2.
Qué ocurre
Microsoft ha corregido un número muy elevado de fallos de seguridad en Edge, heredados de Chromium. Mozilla corrige otro fallo en Firefox para Android.
Qué hacer
Comprobar que Edge está en la versión 156.0.4314.42 o posterior (se actualiza solo al reiniciar el navegador) y actualizar Firefox para Android a 158.0.2.
SolarWinds Observability Self-Hosted y Patch Manager
CVE-2026-28328 a CVE-2026-28331
Afecta a
SolarWinds Observability Self-Hosted y SolarWinds Patch Manager anteriores a 2026.4.
Qué ocurre
Fallos que permiten elevar privilegios, falsificar peticiones desde el servidor (SSRF), ataques XSS y acceso o alteración de datos en herramientas que gestionan la red y los parches de la empresa.
PHP — nuevo fallo de ejecución remota (no es php2shell)
CVE-2026-115560
Afecta a
Aplicaciones PHP que cambian el gestor de serialización de sesiones en tiempo de ejecución y tienen activado el progreso de subida de archivos. Es una configuración poco habitual.
Qué ocurre
En esa combinación concreta, un atacante podría ejecutar código. PHP considera la explotación poco probable y no publicará parche de urgencia.
Qué hacer
Configurar session.upload_progress.enabled=0 y reiniciar PHP. Si ya lo aplicó como mitigación de php2shell, no tiene que hacer nada más. La corrección llegará en la próxima versión.
Fechas
Aviso: 23/10/2026 · Solución: sin parche (mitigación disponible)
Descompresor Brotli — Node.js, .NET, Bun, Python y Envoy
CVE-2026-111497
Afecta a
Node.js 22.x, 24.x y 26.x sin las actualizaciones del 21/10; Microsoft .NET; Bun; paquetes brotli y brotlicffi de Python; proxies Envoy.
Qué ocurre
Datos comprimidos manipulados pueden corromper la memoria y ejecutar código en el servidor. Ya hay una prueba de concepto pública para Node.js.
Qué hacer
Instalar la actualización de Node.js del 21/10, las actualizaciones de .NET publicadas por Microsoft el 25/10 y las de cada componente afectado, y reconstruir los contenedores.
Webs y aplicaciones en Python que procesan imágenes con Pillow en servidores con Ghostscript instalado.
Qué ocurre
Un nombre de archivo EPS manipulado se pasa sin comprobar a Ghostscript y permite ejecutar órdenes en el servidor.
Qué hacer
Actualizar Pillow a la versión corregida, no procesar archivos EPS de origen desconocido y mantener Ghostscript actualizado (véase el boletín anterior).
Fechas
Aviso: 23/10/2026 · Solución: no consta en las fuentes
Servidores Linux con el servidor SMB del kernel (ksmbd) activado; redes Tailscale que permiten el reenvío de puertos en Tailscale SSH.
Qué ocurre
Los fallos de KSMBD permiten ejecutar código, uno de ellos antes de autenticarse. En Tailscale, un dispositivo comprometido puede llegar a root en otros servidores de la red. Ninguno tiene parche.
Qué hacer
Desactivar ksmbd si no se usa y no exponer el puerto 445 a Internet. En Tailscale, revisar las ACL y desactivar el reenvío de puertos de Tailscale SSH si no es necesario.
Fechas
Aviso: 22/10/2026 y 25/10/2026 · Solución: sin parche
4. Proveedores comprometidos (cadena de suministro)
ALTAEXPLOTADA
Railway — robo de variables de entorno de clientes
Afecta a
Clientes de la plataforma cloud Railway, que aloja más de 16 millones de servicios.
Qué ocurre
Un tercero accedió a los sistemas que guardan las variables de entorno de los clientes y, en algunos casos, obtuvo su contenido descifrado: claves de API y credenciales de bases de datos y registros.
Qué hacer
Si usa Railway, rote todos los secretos y variables de entorno, incluidas las credenciales de registros privados, y revise los registros de sus servicios.
Fechas
Aviso: 22/10/2026 · Solución: no aplica (rotar credenciales)
Ejecución de código con máximos privilegios o caída al arrancar por red
Según cada fabricante; desactivar PXE si no se usa (23/10)
Kernel de Linux en Debian, Ubuntu, SUSE y Red Hat Varios CVE
Elevación de privilegios, fuga de datos y caídas
Corregido: instalar el kernel de cada distribución y reiniciar (23/10)
IBM AIX, Cognos, Db2, QRadar, Sterling B2B y WebSphere eXtreme Scale Unas 200 CVE
Ejecución de código, elevación de privilegios y otros
Corregido: parches en cada boletín de IBM (15-23/10)
Mattermost Server 11.7.x MMSA-2026-00708
Fallo de seguridad no detallado
Corregido: 11.7.14 (22/10)
Amenazas destacadas
Ataques a cortafuegos y VPN: una campaña contra equipos perimetrales expuestos, como Fortinet FortiGate y Palo Alto GlobalProtect, ha dejado al descubierto más de 70.000 credenciales. Actualice el equipo, cambie las contraseñas de VPN y active la doble autenticación (23/10).
php2shell: siguen los intentos masivos de explotación, algunos para instalar la botnet Mirai «Potassium», y hubo un intento cuatro días antes de que se publicara el fallo. Wordfence no ha observado todavía compromisos confirmados. Confirme que todos sus servidores tienen PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 y que se han reiniciado los procesos de PHP.
Agentes de IA manipulados: un archivo de instrucciones AGENTS.md malicioso en la carpeta Descargas intentó que un asistente de programación con IA instalase un paquete npm malicioso. Exija confirmación antes de que estas herramientas ejecuten comandos (25/10).
Ransomware con IA: afiliados de los grupos INC y The Gentlemen usan agentes de IA para automatizar las intrusiones (23/10).
Bootkit BlackX: salta Secure Boot en equipos Windows que no tienen aplicadas las revocaciones de arranque y desactiva el antivirus. Aplique las revocaciones de Secure Boot y actualice el firmware (24/10).
Nuestras recomendaciones
Actualizar ya los Fortinet (FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator), los Aruba y los cortafuegos Cisco con Snort 3, empezando por los expuestos a Internet.
Revisar los NAS, cámaras y centralitas: QNAP y Palo Alto siguen sin parche para php2shell; retírelos de Internet y limite la administración a IP de confianza.
Aplicar los parches de BIND, PaperCut, Java, ASP.NET Core, Node.js y Splunk en servidores y aplicaciones, y reconstruir los contenedores.
Si usa Railway u otras plataformas cloud afectadas, rotar claves y credenciales.
Cambiar las contraseñas de VPN y activar la doble autenticación en todos los accesos remotos.
Limitar los permisos de las herramientas de IA que pueden ejecutar comandos en los equipos.
Si necesita ayuda para revisar su exposición a alguna de estas incidencias, contacte con su responsable en Solutions ITS. Estaremos encantados de ayudarle.
Un saludo, Equipo de Ciberseguridad · Solutions ITS
Fuentes: INCIBE-CERT, CISA (avisos, avisos ICS y catálogo KEV), CERT-FR (ANSSI, Francia), BSI CERT-Bund (Alemania), ACSC, Microsoft MSRC, PHP, WordPress, avisos de los fabricantes (Fortinet, Cisco, Palo Alto, QNAP, Synology, Tenable, Mitel, Johnson Controls, Arista, HPE, Splunk, Oracle, Apache), SANS ISC, Wordfence, BleepingComputer y The Hacker News. Boletín elaborado a partir de información pública; no sustituye a una auditoría de seguridad específica. TLP:CLEAR.
Protección de datos y baja del boletín. Recibe este boletín por su relación como cliente de Solutions ITS, responsable del tratamiento de sus datos de contacto, con la finalidad de informarle sobre amenazas y vulnerabilidades que pueden afectar a sus sistemas, sobre la base de la relación contractual y del interés legítimo, conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 34/2002 (LSSI-CE). Sus datos no se ceden a terceros salvo obligación legal.
Si no desea seguir recibiendo este boletín, envíe un correo a [email protected] con el asunto «BAJA». En esa misma dirección puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Si considera que no se han atendido correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
