Recursos afectados: Configuración de tiempo de ejecución insegura en PHP-CGI/PHP-FPM.

Descripción: INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a la configuración de PHP-CGI/PHP-FPM de ICT Innovations, paquete multiusuario basado en la web. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack). A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE: CVE-2026-7190: CVSS v4.0: 5.1 | CVSS AV: N/AC: L/AT: N/PR: N/UI: A/VC: L/VI: L/VA: N/SC: N/SI: N/SA: N | CWE-79 Identificador INCIBE-2026-810

Solución: La vulnerabilidad ha sido solucionada por el equipo de ICT Innovations en marzo de 2026.

CVE: CVE-2026-7190.

Recursos afectados: Módulo de autenticación de usuarios de la plataforma de gestión comercial.

Descripción: INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica, que afecta a módulo de autenticación de usuarios de Futurum Software, plataforma de gestión empresarial en la nube diseñada para crear y administrar negocios de marketing multinivel. La vulnerabilidad ha sido descubierta por Diego González Aguín (Celerx). A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE: CVE-2026-14571: CVSS v4.0: 9.1 | CVSS AV: N/AC: L/AT: P/PR: N/UI: N/VC: H/VI: L/VA: L/SC: H/SI: L/SA: L | CWE-89 Identificador INCIBE-2026-802

Solución: La vulnerabilidad ya se ha corregido en el módulo de autenticación de usuarios de Futurum Software.

CVE: CVE-2026-14571.

Recursos afectados: Fireware OS en dispositivos Firebox: Versiones desde 2025.1 y anteriores a 2026.4. Versiones desde 12.0 y anteriores a 12.12.4. Para los modelos T15 y T35: versiones desde 12.0 y anteriores a 12.5.22. CVE-2026-103594 afecta específicamente a las versiones desde 2026.2 y anteriores a 2026.4, y desde 12.12 y anteriores a 12.12.4, en equipos configurados como FireCloud Gateway.

Descripción: El equipo WatchGuard AI Security Research y Laurent Gaffie, de secorizon.com, han informado sobre 7 vulnerabilidades en Fireware OS, 6 de severidad crítica y 1 alta. Su explotación podría permitir ejecutar código arbitrario, realizar acciones administrativas sin autenticación, corromper memoria o provocar una denegación de servicio, según la configuración del equipo. Identificador INCIBE-2026-798

Solución: Actualizar Fireware OS a la versión correspondiente: 2026.4 para la línea 2025/2026. 12.12.4 para la línea 12.x. 12.5.22 para los modelos T15 y T35. Las correcciones se detallan en los boletines del fabricante.

CVE: CVE-2026-103594, CVE-2026-112710, CVE-2026-112709, CVE-2026-93865, CVE-2026-93857, CVE-2026-93866, CVE-2026-103593.

Recursos afectados: NetScaler ADC y NetScaler Gateway 14.1, anteriores a 14.1-73.49. NetScaler ADC y NetScaler Gateway 13.1, anteriores a 13.1-64.32. NetScaler ADC 14.1-FIPS, anteriores a 14.1-73.49 FIPS. NetScaler ADC 13.1-FIPS y 13.1-NDcPP, anteriores a 13.1.37.286. La afectación corresponde a las interfaces de administración que utilizan PHP: NSIP, SNIP con administración habilitada y Cluster IP.

Descripción: Los investigadores lcfr-hax, sagitzadik-wiz, tomash-areion y amyb-oai han informado sobre 2 vulnerabilidades de severidad crítica de PHP que afectan a NetScaler ADC y NetScaler Gateway. Su explotación podría permitir a un atacante sin autenticación ejecutar código en el contexto del proceso PHP afectado. Identificador INCIBE-2026-799

Solución: Actualizar a las siguientes versiones o posteriores de la misma rama: NetScaler ADC y NetScaler Gateway: 14.1-73.49 o 13.1-64.32. NetScaler ADC 14.1-FIPS: 14.1-73.49 FIPS. NetScaler ADC 13.1-FIPS y 13.1-NDcPP: 13.1.37.286. Consultar el boletín CTX697263. Restringir el acceso GUI y API de todas las direcciones de administración a redes administrativas de confianza y bloquear su acceso desde Internet, siguiendo la guía de Citrix. Los servicios en la nube gestionados por Citrix ya están corregidos y no requieren actuaciones de sus clientes.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: VMware Cloud Foundation y VMware vSphere Foundation: SDDC Manager 9.1.1, 9.1.0 y 9.0.x. VMware Cloud Foundation: SDDC Manager 5.2.x. Broadcom considera crítico el impacto en SDDC Manager 9.1.1.x y alto en las versiones anteriores indicadas.

Descripción: Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en Brotli, integrado en Node.js. Broadcom confirma que afecta a SDDC Manager y podría permitir ejecutar código arbitrario. Existe explotación confirmada de Brotli, sin confirmación específica de ataques a SDDC Manager. Identificador INCIBE-2026-800

Solución: Los parches permanecen pendientes. Aplicar las medidas temporales oficiales, previa copia de seguridad: SDDC Manager 9.1.1.x: seguir KB460732, que bloquea cuerpos de peticiones Brotli en nginx y en el servicio de la interfaz. SDDC Manager 5.2.4, 9.0.2 y 9.1.0: seguir KB460734, que deshabilita el descompresor Brotli utilizado por el servicio de la interfaz. Completar las comprobaciones y reinicios indicados. Para otras versiones afectadas, confirmar la aplicabilidad con soporte. Consultar el boletín VMSA-2026-0008 para conocer la disponibilidad de correcciones definitivas.

CVE: CVE-2026-111497.

Recursos afectados: NoviGest Desktop App, versión 7.4.4-292: servicio Java RMI e importación de archivos XML del módulo SAFT.

Descripción: INCIBE ha coordinado la publicación de 2 vulnerabilidades, una de severidad crítica y otra de severidad…

Solución: Actualizar NoviGest Desktop App a la versión 8.0.0-300, en la que el fabricante confirma la corrección de ambas vulnerabilidades. Para CVE-2026-112197, los métodos remotos que acceden a datos requieren un token de sesión JWT validado en el servidor. Se han retirado las interfaces que exponían credenciales y permitían ejecutar SQL arbitrario, y se han reducido los privilegios de la cuenta de PostgreSQL para impedir la ejecución de programas y el acceso a archivos del servidor. Para CVE-2026-112198, el procesamiento XML utiliza un XMLStreamReader con las DTD y las entidades externas deshabilitadas. La validación de esquemas emplea procesamiento seguro y bloquea el acceso a DTD y esquemas externos.

CVE: CVE-2026-112197, CVE-2026-112198.

Recursos afectados: PAN-OS en cortafuegos PA-Series y VM-Series: 12.2: versiones anteriores a 12.2.4-h1. 12.1: versiones anteriores a 12.1.4-h13, 12.1.7-h11 o 12.1.10-h3, según la línea de mantenimiento. 11.2: desde 11.2.4 y anteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1, según la línea de mantenimiento. Prisma Cloud – Application Security Transporter Client: versiones anteriores a 0.2.9. En PAN-OS, la exposición requiere inspección Brotli y descifrado TLS/SSL activados en el plano de datos. Panorama y PAN-OS 11.1 y 10.2 no están afectados.

Descripción: Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en el decodificador Brotli que podría permitir a un atacante remoto sin autenticación revelar información, provocar una denegación de servicio o ejecutar código arbitrario. Identificador INCIBE-2026-793

Solución: Actualizar, según la línea utilizada, a: PAN-OS 12.2.4-h1. PAN-OS 12.1.7-h11. PAN-OS 11.2.10-h17. Prisma Cloud – Application Security Transporter Client 0.2.9. [Actualización 28/10/2026] Ya están disponibles las siguientes correcciones adicionales de PAN-OS: 11.2.7-h23. 11.2.13-h4. 11.2.16-h1. Actualizar a la versión corregida correspondiente a la línea de mantenimiento utilizada. Permanecen previstas PAN-OS 12.1.4-h13 para el 29/10/2026, y PAN-OS 12.1.10-h3 y 11.2.4-h23 para el 30/10/2026. Estas fechas son estimaciones; comprobar su disponibilidad en el boletín del fabricante. La versión 11.2.10-h16 corrige PHP, pero requiere actualizar a 11.2.10-h17 para corregir también Brotli. Como mitigación provisional, deshabilitar Brotli mediante set system setting brotli-encoding disable. Verificar con show system setting brotli que aparezca Enabled: no.

CVE: CVE-2026-111497.

Recursos afectados: HPE Networking Wireless Operating SystemsMobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con: AOS-10.8: 10.8.1.1 y anteriores de la rama. AOS-10.7: 10.7.2.6 y anteriores de la rama. AOS-10.4: 10.4.1.13 y anteriores de la rama. AOS-8.13: 8.13.3.0 y anteriores de la rama. AOS-8.10: 8.10.0.23 y anteriores de la rama. Productos que incorporan PHP vulnerableClearPass Policy Manager: 6.14.1 y anteriores y 6.11.16 y anteriores, sin los parches específicos de PHP. Las versiones fuera de soporte deben considerarse potencialmente afectadas. HPE Data Management Framework 7: DMF_Suite_4.10-rhel810. HPE Private Cloud AI: v1.11.0, 1.12.1 y 2026.07.01. Cray ClusterStor Data Services: 7.2 y 7.3.

Descripción: El equipo de investigación interna de HPE Networking y diversos investigadores, entre ellos moonv…

Solución: Actualizar AOS a la versión corregida de su rama o una posterior: AOS-10.8: 10.8.1.2. AOS-10.7: 10.7.2.7. AOS-10.4: 10.4.1.14. AOS-8.13: 8.13.3.1. AOS-8.10: 8.10.0.24. Para ClearPass, instalar el Hotfix Patch to Address PHP Vulnerabilities CVE-2026-109618 and CVE-2026-109619 correspondiente a 6.14.1 o 6.11.16. Actualizar únicamente a esas versiones base no corrige completamente las vulnerabilidades. Las actualizaciones están disponibles en el portal de soporte de HPE Networking. El boletín general no especifica versiones corregidas para Data Management Framework 7, Private Cloud AI o Cray ClusterStor Data Services. Consultar con el soporte de HPE. Mientras se aplican las correcciones, restringir las interfaces de administración a una VLAN dedicada y mediante políticas de cortafuegos. En ClearPass, limitar también la exposición pública de los portales de invitados.

CVE: CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850, CVE-2026-79851, CVE-2026-79852, CVE-2026-79853, CVE-2026-79854, CVE-2026-79855, CVE-2026-79856, CVE-2026-79857, CVE-2026-79858, CVE-2026-79859, CVE-2026-79860, CVE-2026-79861, CVE-2026-79862, CVE-2026-79863, CVE-2026-79864, CVE-2026-79865, CVE-2026-79866, CVE-2026-79867, CVE-2026-79868, CVE-2026-79869, CVE-2026-79870, CVE-2026-79871, CVE-2026-79872, CVE-2026-79873, CVE-2026-79874, CVE-2026-79875, CVE-2026-79876.

Recursos afectados: PuMuKIT, versiones anteriores a la 5.0.8.

Descripción: INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta a la aplicación de…

Solución: No hay solución reportada por el momento.

CVE: CVE-2026-4337.

Recursos afectados: Sisense Cloud BI Platform (SaaS).

Descripción: INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad alta, que afectan a Cloud BI…

Solución: No se ha comunicado un parche para estos comportamientos.

CVE: CVE-2026-117493, CVE-2026-117494.

Recursos afectados: Aplicaciones e integraciones de terceros conectadas a Sage CRM que utilicen PHP vulnerable. La arquitectura estándar de Sage CRM no utiliza PHP y no está directamente afectada. Instalaciones de Sage CRM que utilicen una versión afectada de Oracle JRE 8. Debe comprobarse el entorno Java utilizado por Apache Tomcat. Sage continúa investigando el posible impacto en Eclipse Temurin OpenJRE 8 y 11. No ha confirmado una vía de explotación directa mediante las funciones estándar del CRM.

Descripción: [AVISO PRELIMINAR] Sage ha publicado tres comunicaciones sobre vulnerabilidades críticas de PHP y Java…

Solución: Identificar las integraciones PHP, actualizar su entorno a una versión corregida compatible y confirmar con su proveedor la aplicación de los parches. Revisar permisos, credenciales y registros. No se requiere un parche de Sage CRM para corregir PHP. Identificar el entorno Java utilizado realmente por Tomcat y aplicar la actualización correspondiente. Si no puede actualizarse, seguir las mitigaciones de Oracle sobre confianza y revocación de certificados. Respaldar la configuración y comprobar Tomcat y las integraciones después de los cambios. Actualizar Java en el servidor no garantiza que Tomcat utilice ese entorno. Sage no ha confirmado una nueva fecha para Sage CRM 2026 R2.

CVE: CVE-2026-109618, CVE-2026-109619, CVE-2026-91403.

Recursos afectados: Security Analytics: 8.2.8, 8.3.1, 8.3.2, 8.4.1.2 y 8.4.1.3. Symantec Privileged Access Manager (PAM): servidor y dispositivos con PHP vulnerable. El fabricante no publica un intervalo exhaustivo de versiones afectadas. Los clientes y agentes de PAM, PAM Server Control, A2A, Socket Filter Agents, Windows Proxies y Threat Analytics no están afectados.

Descripción: Broadcom ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a Security…

Solución: Symantec PAM: aplicar 4.2.3.85, 4.2.4.85, 4.3.0.85, 4.3.1.85 o 4.3.2.85, según la versión instalada. Security Analytics: aplicar el parche previsto para 8.3.2 durante la última semana de octubre cuando esté disponible. Las instalaciones anteriores deberán actualizar primero a 8.3.2. Esa versión sin el parche sigue afectada. Security Analytics 8.4.1.2 y posteriores: la corrección 8.4.1.4 está prevista para la segunda semana de noviembre. Broadcom también recomienda actualizar las instalaciones antiguas de OPMS, anteriores a 26.8.x, a 26.8.4 o posterior. ASM Core y las estaciones públicas no están afectados.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: VeloCloud Orchestrator On-Prem: Rama 5.2.x: versiones anteriores a 5.2.3.18. Rama 6.1.x: versiones anteriores a 6.1.3.10. Rama 6.4.x: versiones anteriores a 6.4.2.12. Las versiones fuera de soporte no han sido evaluadas. Las instancias alojadas, incluidas las dedicadas, ya están corregidas.

Descripción: Arista ha publicado una vulnerabilidad de severidad crítica que permite a usuarios autenticados obtener…

Solución: Actualizar a 5.2.3.18, 6.1.3.10 o 6.4.2.12, o versiones posteriores de la rama correspondiente. Mientras se actualiza, restringir la administración a redes de confianza y revisar los registros de actividad.

CVE: CVE-2026-114625.

Recursos afectados: Oracle Communications Diameter Signaling Router: 8.6.0 y 9.0.0. Oracle Communications EAGLE Application Processor: 17.0 y 17.1. Oracle Communications EAGLE Element Management System: 47.0. Oracle Communications EAGLE LNP Application Processor: 11.1. Oracle Communications LSMS: 14.0. Oracle Communications Performance Intelligence Center (PIC) Software: 10.4 y 10.5. Oracle Communications Unified Assurance: 6.1.1 a 7.0.0. Oracle Communications User Data Repository: 15.0. Oracle Solaris: 11.

Descripción: Oracle ha publicado una alerta sobre 2 vulnerabilidades críticas de PHP, conocidas como PHP2Shell, que…

Solución: Aplicar los parches específicos de cada producto siguiendo los documentos de disponibilidad e instalación enlazados desde la alerta de Oracle. El parche indicado para CVE-2026-109618 también corrige CVE-2026-109619.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: Aplicación web de la videoteca de las Cortes de Castilla-La Mancha, accesible en http: //videoteca.cortesclm.es/.

Descripción: INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a la aplicación…

Solución: La vulnerabilidad ha sido solucionada por el equipo de las Cortes de Castilla-La Mancha en octubre de 2026.

CVE: CVE-2026-103377.

Recursos afectados: Software de gestión de gimnasios IsMyGym, versiones anteriores a la v6.0.85.

Descripción: INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta al software de…

Solución: La vulnerabilidad ha sido solucionada por el equipo de Zuinq Studio en la versión 6.0.85.

CVE: CVE-2026-4316.

Recursos afectados: Cisco ha confirmado la afectación de los siguientes productos, sin especificar los intervalos de versiones afectadas: Expressway Series. Expressway Select Series. Ultra-Reliable Wireless Backhaul (URWB). En URWB, la explotación requiere autenticación como administrador. Otros productos y servicios continúan bajo investigación; consultar su estado en el boletín de Cisco.

Descripción: [AVISO PRELIMINAR] Cisco ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas del…

Solución: Cisco ha anunciado las siguientes versiones corregidas, cuya disponibilidad está pendiente: Expressway Series y Expressway Select Series: 15.5.21, con fecha por determinar. URWB: 27.1.1, prevista para febrero de 2027. Las fechas son estimadas y pueden cambiar. Cisco indica que no existen soluciones alternativas que corrijan estas vulnerabilidades. Consultar el boletín del fabricante y aplicar las actualizaciones correspondientes cuando estén disponibles.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: PAN-OS, ramas 12.2, 12.1, 11.2, 11.1 y 10.2, en versiones anteriores a las correcciones previstas por el fabricante. Panorama, todas las versiones. WildFire Appliance WF-500 y WF-500-B, todas las versiones. En PAN-OS, la afectación se limita a la interfaz web de administración, incluidos HTTPS y XML API. Las interfaces del plano de datos están afectadas si tienen asociado un perfil de administración.

Descripción: [AVISO PRELIMINAR] Palo Alto Networks ha publicado un aviso sobre el impacto de dos vulnerabilidades…

Solución: El fabricante prevé publicar las correcciones de PAN-OS entre el 26 y el 30 de octubre de 2026, según la rama. Las fechas son estimadas y pueden cambiar. Las correcciones de Panorama y WildFire Appliance no tienen fecha anunciada. Consultar la matriz de versiones del boletín del fabricante y aplicar las actualizaciones cuando estén disponibles. Mientras tanto, restringir la administración de PAN-OS y Panorama a direcciones IP internas de confianza. La protección mediante Threat Prevention requiere configurar la inspección del tráfico de administración conforme a las instrucciones del fabricante.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: Tenable Security Center, versiones 6.9.1 y anteriores. Tenable Enclave Security, versiones 1.9.1 y anteriores.

Descripción: [AVISO PRELIMINAR] Tenable ha publicado dos boletines para abordar el posible impacto de dos vulnerabilidades críticas de PHP en Tenable Security Center y Tenable Enclave Security. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ya dispone de un parche para actualizar este componente. Identificador INCIBE-2026-777

Solución: [Actualización 26/10/2026] Aplicar el parche SC-202610.2, que actualiza PHP a la versión 8.2.35, conforme a los boletines TNS-2026-30 y TNS-2026-31. Tenable Security Center: disponible para 6.6.0, 6.7.2, 6.8.0 y 6.9.1 sobre Oracle Linux 8 o posterior y Red Hat Enterprise Linux 8 o posterior. Tenable Enclave Security: disponible para Security Center 6.7.5, 6.8.0 y 6.9.1 sobre Enclave Security 1.7.0, 1.8.0 y 1.9.1, respectivamente. Seguir las instrucciones específicas para Security Center y Enclave Security. La instalación requiere detener el servicio y volver a iniciarlo.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: QTS 6.1.0; QTS 5.2.11 y anteriores. QuTS hero h6.1.0; h6.0.x; h5.2.11 y anteriores. QuTScloud c5.2.9 y anteriores. QuMagie 2.10.1 y anteriores. Note Station 3 3.9.14 y anteriores. QNE (ADRA) 1.0.7 y anteriores. QVR Surveillance 3.0.3 y anteriores, únicamente en modelos ARM32. TVR OS 1.0.4 y anteriores. [Actualización 26/10/2026] Para QTS, QuTS hero y QuTScloud, la afectación comprende las compilaciones anteriores a las versiones corregidas indicadas en Solución. Los números de rama del listado original deben interpretarse junto con esas compilaciones.

Descripción: QNAP ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a varios de sus productos y podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario. [Actualización 26/10/2026] QNAP ha publicado correcciones para QTS, QuTS hero y QuTScloud. Continúa preparando actualizaciones para otros productos afectados. Identificador INCIBE-2026-778

Solución: [Actualización 26/10/2026] Actualizar a la versión correspondiente a la rama instalada o a una posterior: QTS 6.1.0.3656 build 20261023. QTS 5.2.11.3661 build 20261023. QuTS hero h6.1.0.3656 build 20261023. QuTS hero h6.0.2.3656 build 20261023. QuTS hero h5.2.11.3661 build 20261023. QuTScloud c5.2.9.3661 build 20261023. Las correcciones de Note Station 3, QNE (ADRA), QVR Surveillance para ARM32 y TVR OS siguen pendientes. QuMagie continúa entre los productos afectados, sin versión corregida especificada. Consultar el boletín QSA-26-18 y mantener las mitigaciones hasta aplicar las correcciones. Las actualizaciones de QNAP no cubren el PHP de contenedores de Container Station ni de aplicaciones de terceros; solicitar sus correcciones al proveedor correspondiente. Mientras tanto: Retirar la exposición directa a Internet y desactivar las redirecciones de puertos y UPnP. Utilizar una VPN y restringir la administración a redes de confianza. Detener las aplicaciones afectadas y los servicios que no sean necesarios. Revisar QuLog Center y ejecutar Security Center y Malware Remover actualizados. Desactivar Web Server no protege la interfaz de administración. Estas medidas reducen la exposición, pero no corrigen las vulnerabilidades.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1. Oracle GraalVM for JDK: 17.0.21 y 21.0.13. Oracle GraalVM Enterprise Edition: 21.3.20.

Descripción: Oracle ha publicado una alerta de seguridad para una vulnerabilidad de severidad crítica en el componente…

Solución: Aplicar el parche correspondiente mediante el documento de disponibilidad de parches de Java SE enlazado en la alerta de Oracle y seguir sus instrucciones de instalación. Oracle recomienda planificar la actualización a una versión con soporte.

CVE: CVE-2026-91403.

Recursos afectados: Las versiones afectadas de las ramas mantenidas son PHP 8.2.x anterior a 8.2.35, PHP 8.3.x anterior a 8.3.36, PHP 8.4.x anterior a 8.4.27 y PHP 8.5.x anterior a 8.5.12. PHP considera en riesgo las instalaciones que procesan solicitudes web, incluidas las que utilizan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor en Apache mod_php. PHP 8.1 y las ramas anteriores ya no reciben actualizaciones regulares del proyecto. PHP ha publicado parches de código fuente para las ramas 7.4, 8.0 y 8.1; otros sistemas pueden disponer de retroportaciones de sus distribuidores o proveedores de soporte.

Descripción: PHP ha publicado dos vulnerabilidades críticas en su núcleo que pueden permitir a un atacante remoto no autenticado ejecutar código con los privilegios del proceso web. Ambas tienen una puntuación CVSS v4.0 de 9, 2. Se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones. La actividad reportada se refiere al conjunto de vulnerabilidades y no identifica por separado cuál de los dos CVE se utilizó en cada caso. Identificador INCIBE-2026-762

Solución: Aplicar las versiones corregidas cuando estén disponibles. El equipo de seguridad prevé publicar parches el 21 de octubre de 2026, incluidos parches retrocompatibles para las ramas PHP 7.4, 8.0 y 8.1. Se añadirán las versiones corregidas exactas cuando se publiquen. [Actualización 21/10/2026] Ya se encuentra disponible la actualización que soluciona las vulnerabilidades mencionadas en este aviso. Se recomienda actualizar PHP de inmediato a la versión corregida correspondiente a su rama: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Para Linux/Debian, consulte la página de descargas de PHP. Si utiliza paquetes de una distribución o un proveedor de soporte LTS, compruebe que incluyen las correcciones. Para PHP 8.1, 8.0 y 7.4, PHP ofrece parches de código fuente retroportados: PHP 8.1, PHP 8.0 y PHP 7.4. Si su proveedor no ofrece una versión corregida, contacte con él o migre a una rama mantenida. PHP advierte de que el repositorio voluntario rpms.remirepo.net no dispondrá de actualizaciones hoy; recomienda utilizar los paquetes de la distribución o compilar PHP desde el código fuente. Medidas temporales si no es posible actualizar inmediatamente Para CVE-2026-109618, PHP señala memory_limit=-1, aplicado de forma administrativa, como mitigación de configuración principal. Reiniciar los procesos y compruebe que ninguna configuración de aplicación, directorio o pool vuelve a establecer un límite finito. memory_limit=128M no desactiva la vulnerabilidad. El valor -1 no es una solución completa y puede aumentar el consumo de memoria del servidor. Mantener post_max_size en un valor bajo: PHP recomienda 8 MB si no se permiten cargas de archivos y 32 MB si son necesarias. Mantenga upload_max_filesize por debajo de post_max_size y aplique límites en el servidor web o proxy al tamaño de la solicitud ya decodificada, campos, partes multipart, cabeceras y profundidad de anidamiento. Estos controles deben contemplar solicitudes sin una cabecera Content-Length válida. Si la aplicación no necesita formularios multipart, bloquearlos antes de que lleguen a PHP. No utilizar RLIMIT_AS ni RLIMIT_DATA: pueden provocar fallos de asignación que activen la ruta vulnerable. Los límites de memoria de co…

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: FacturaScripts: 2025.61

Descripción: INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad media, que afectan a…

Solución: Ambas vulnerabilidades han sido solucionadas en los commits: https: //github.com/NeoRazorX/facturascripts/commit/aa728f642b467bb73bf183067912bd97536d06a6 https: //github.com/NeoRazorX/facturascripts/commit/ac32f1e2f5ca8b16b5c8f023a3d8824faa693155.

CVE: CVE-2026-11959, CVE-2026-11960.

Recursos afectados: FortiOS: 8.0.0–8.0.1; 7.6.0–7.6.7; 7.4.0–7.4.12; 7.2.0–7.2.13. FortiManager y FortiAnalyzer: 8.0.0–8.0.1; 7.6.0–7.6.7; 7.4.0–7.4.11; 7.2.0–7.2.12. FortiMail: 8.0.0–8.0.1; 7.6.0–7.6.6; 7.4.0–7.4.8; 7.2.0–7.2.9. FortiAuthenticator: 8.0.0–8.0.3; 6.6.0–6.6.10. El anuncio también contempla FortiSASE, FortiManager Cloud y despliegues en nubes públicas, sin especificar versiones.

Descripción: [AVISO PRELIMINAR] Fortinet ha anunciado actualizaciones que corrigen vulnerabilidades críticas y altas…

Solución: Actualizar a las siguientes versiones corregidas o posteriores de cada rama: FortiOS: 8.0.2; 7.6.8; 7.4.13; 7.2.14. FortiManager y FortiAnalyzer: 8.0.2; 7.6.8; 7.4.12; 7.2.13. FortiMail: 8.0.2; 7.6.7; 7.4.9. La rama 7.2 requiere migrar a una rama corregida. FortiAuthenticator: 8.0.4; 6.6.11. FortiSASE tiene anunciada una actualización automática. FortiManager Cloud puede requerir actualización manual; en nubes públicas, seguir el procedimiento del proveedor. Guardar una copia de la configuración antes de actualizar. Mientras tanto, restringir la administración a IP de confianza, aplicar MFA y evitar la exposición de FortiManager a Internet. Consultar las indicaciones del fabricante.

Recursos afectados: Los siguientes productos que incorporan Snort 3, independientemente de su configuración, en versiones anteriores a las corregidas: Cisco Cloud-delivered Firewall (CDFW). Cisco Cyber Vision. Cisco Meraki MX Security Appliances. Cisco Secure Access (CSA). Cisco Secure Firewall Threat Defense (FTD) Software. Open Source Snort 3. Unified Threat Defense (UTD) on Cisco IOS XE Software.

Descripción: Cisco ha publicado 4 vulnerabilidades: 2 de severidad crítica y 2 de severidad alta. En caso de ser…

Solución: Actualizar a las versiones corregidas de la rama correspondiente: Open Source Snort 3: 3.12.4.0. Cisco Cyber Vision: 5.6.0; las versiones anteriores a 5.6 deben migrar a una versión corregida. FTD: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 o 10.1.0, según la rama. UTD sobre IOS XE: 17.12.8, 17.15.6, 17.18.5, 26.1.2 o 26.2.1, con la imagen UTD correspondiente indicada en el boletín. Cisco ha actualizado CDFW y CSA automáticamente. Los dispositivos Meraki conectados a Dashboard también han recibido automáticamente el paquete corregido. Consultar las condiciones de actualización en el boletín del fabricante. No existen soluciones alternativas.

CVE: CVE-2026-20043, CVE-2026-20236.

Recursos afectados: Los siguientes paquetes de DSM, en versiones anteriores a las corregidas: PHP 7.4, PHP 8.0, PHP 8.1, PHP 8.2, PHP 8.3 y PHP 8.4. Mail Station. Synology Calendar. PHP 7.3 también está afectado y no dispone de corrección por haber finalizado su vida útil.

Descripción: [AVISO PRELIMINAR] Synology ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan…

Solución: Actualizar a las siguientes versiones corregidas o posteriores: Synology Calendar: 3.0.4-21435. Mail Station: 30000002.3.19-20333. PHP 7.4: 7.4.33-0131. PHP 8.0: 8.0.30-0122. PHP 8.1: 8.1.34-0120. PHP 8.2: 8.2.35-0171. PHP 8.3: 8.3.36-0051. PHP 8.4: 8.4.27-0051. Sustituir PHP 7.3 por una rama con soporte y corregida, comprobando la compatibilidad de las aplicaciones. Consultar el boletín de Synology para obtener las actualizaciones correspondientes.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: MiVoice 5000, versiones R8.4 y anteriores. OpenScape Branch, versiones V11R3.4.3 y anteriores. OpenScape SBC, versiones V11R3.4.3 y anteriores. OpenScape Voice Trace Manager, versiones V8 R0.12.00 y anteriores. MiContact Center Enterprise, versiones 9.8 SP0 FP1 y anteriores. Mitel continúa investigando otros productos. La evaluación del fabricante comprende únicamente versiones con soporte.

Descripción: [AVISO PRELIMINAR] Mitel ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP…

Solución: Mitel remite al artículo KB000128981 de su base de conocimiento de seguridad para consultar las medidas aplicables a cada producto. El boletín público no especifica las versiones corregidas. Si no se dispone de acceso, contactar con un socio autorizado de Mitel. Consultar las actualizaciones del boletín del fabricante para conocer los cambios en la evaluación y las correcciones.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: Fortinet está investigando el impacto de las vulnerabilidades en los siguientes productos: FortiADC y FortiADC Manager. FortiDDoS y FortiDDoS-F. FortiSIEM y FortiMonitor. FortiClient Cloud. FortiSOAR y FortiSOAR PaaS. FortiGuard y FortiEndpoint. Fortinet no ha confirmado todavía qué versiones de estos productos están afectadas.

Descripción: [AVISO PRELIMINAR] Fortinet está evaluando el impacto de dos vulnerabilidades críticas en el núcleo de…

Solución: Para productos Fortinet, consultar el aviso FG-IR-26-186 y aplicar las actualizaciones que publique el fabricante para cada producto afectado. Para instalaciones independientes de PHP, actualizar a las versiones corregidas de la rama correspondiente: 8.2.35, 8.3.36, 8.4.27 o 8.5.12.

CVE: CVE-2026-109618, CVE-2026-109619.

Recursos afectados: Apache Pulsar, versiones: Iguales o posteriores a 2.8.1 y anteriores a 4.0.14. Iguales o posteriores a 4.1.0 y anteriores a 4.2.5. Apache Traffic Server, versiones: Desde 8.0.0 hasta 8.1.11. Desde 9.0.0 hasta 9.2.15. Desde 10.0.0 hasta 10.1.4. 10.2.0.

Descripción: George Chen y otros investigadores, junto con la comunidad de Apache, han informado sobre 16…

Solución: Apache PulsarActualizar a 4.0.14 o 4.2.5, según la rama utilizada, o a una versión posterior que incorpore las correcciones. Si no es posible actualizar inmediatamente, eliminar la configuración anonymousUserRole del broker y del servicio WebSocket, o restringir el acceso a sus interfaces HTTP a clientes de confianza. Apache Traffic ServerActualizar a 9.2.16, 10.1.5 o 10.2.1, según la rama utilizada. Los usuarios de versiones anteriores deben migrar a una versión corregida. La versión 9.2.16 no incluye la corrección de CVE-2026-111817. Para corregir esta vulnerabilidad, actualizar a 10.1.5 o 10.2.1. Si se mantiene la rama 9.2.x, mantener deshabilitada la opción proxy.config.http.drop_chunked_trailers.

CVE: CVE-2026-105869, CVE-2026-111813, CVE-2025-31699, CVE-2026-111816, CVE-2026-111811.

Recursos afectados: Splunk Enterprise10.4.0 a 10.4.3; 10.2.0 a 10.2.7; 10.0.0 a 10.0.10; 9.4.0 a 9.4.15; Splunk SOARVersiones anteriores a 8.7.0; En Splunk Enterprise 9.4.x no está presente el servicio PostgreSQL al que afectan algunas vulnerabilidades de componentes de terceros.

Descripción: Splunk ha publicado tres boletines de seguridad que corrigen vulnerabilidades en Splunk Enterprise y…

Solución: Actualizar Splunk Enterprise a la versión corregida correspondiente a la rama instalada: 10.4.4, 10.2.8, 10.0.11 o 9.4.16, o a una versión posterior. Actualizar Splunk SOAR a la versión 8.7.0 o posterior.

CVE: CVE-2026-76299, CVE-2026-76302, CVE-2025-61726, CVE-2025-61731, CVE-2025-61732, CVE-2025-68119, CVE-2025-68121, CVE-2026-25679, CVE-2026-27137, CVE-2026-27140, CVE-2026-27143, CVE-2026-27144, CVE-2026-32280, CVE-2026-32281, CVE-2026-32283, CVE-2026-33186, CVE-2026-39830, CVE-2026-39831, CVE-2026-39832, CVE-2026-39833, CVE-2026-39834, CVE-2026-42508, CVE-2026-46595, CVE-2026-27141, CVE-2026-39821, CVE-2026-76407, CVE-2026-76531.

Recursos afectados: GitLab Community Edition (CE) y Enterprise Edition (EE). Los rangos afectados varían según el CVE; el fallo crítico CVE-2026-110264 afecta a versiones desde la 7.0 anteriores a las versiones corregidas. 18.11: anteriores a 18.11.13. 19.0: anteriores a 19.0.10. 19.1: anteriores a 19.1.9. 19.2: anteriores a 19.2.9. 19.3: anteriores a 19.3.6. 19.4: anteriores a 19.4.3. 19.5: anteriores a 19.5.1. La versión mínima afectada difiere para algunas de las vulnerabilidades incluidas en el boletín.

Descripción: GitLab ha publicado una actualización crítica que corrige vulnerabilidades en CE y EE. La de mayor…

Solución: Actualizar las instalaciones autogestionadas de GitLab a la última versión corregida disponible para su rama: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13. GitLab.com ya ejecuta una versión corregida. Los clientes de GitLab Dedicated con 19.3.5-internal0, 19.4.2-internal0 o posterior ya incluyen la corrección, según el fabricante. GitLab ofrece detecciones de amenazas para ayudar a identificar intentos de explotación en instancias autogestionadas.

CVE: CVE-2026-110264.

Recursos afectados: Las vulnerabilidades afectan a las versiones vulnerables de los siguientes productos, independientemente de la configuración del dispositivo: Cisco Emergency Responder. Cisco Prime Collaboration Deployment. Cisco Unified Communications Manager (Unified CM). Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P). Cisco Unified Communications Manager Session Management Edition (Unified CM SME). Cisco Unity Connection.

Descripción: Cisco ha publicado 8 vulnerabilidades: 3 de severidad crítica y 5 de severidad alta, que en caso de ser…

Solución: Actualizar los productos afectados a las versiones corregidas indicadas por Cisco: Versión 15: actualizar a 15SU5. Versión 14: migrar a una versión corregida. No hay soluciones alternativas para estas vulnerabilidades. Para comprobar las versiones afectadas y las instrucciones de actualización, consultar la información de versiones corregidas del boletín de Cisco.

CVE: CVE-2026-76473, CVE-2026-76474, CVE-2026-76475, CVE-2026-76476, CVE-2026-76477, CVE-2026-76478, CVE-2026-76479, CVE-2026-76481.